Las páginas de ayuda de WhatsApp escondían órdenes para una IA que tú no podías ver. Lo ha descubierto Redact, una empresa de privacidad con una herramienta para borrar publicaciones y datos de decenas de servicios. Su equipo leyó las 545 páginas que enlaza el centro de ayuda de WhatsApp y encontró 102 bloques de texto oculto repartidos en 80 de ellas, según cuenta su fundador, Dan Saltman, en el análisis de Redact del 19 de octubre.
Ese texto no salía en pantalla. Iba en el código de la página, pensado para que lo leyera una IA. Casi todo era inofensivo, pero dos bloques le decían al chatbot qué no contarte sobre tus derechos.
Lo que el chatbot no debía decirte
El primero estaba en la página para borrar la cuenta. WhatsApp solo deja hacerlo desde la app, en tu móvil principal y con el número activo. Si has perdido el móvil o el número, no puedes. Para esos casos, la orden oculta pedía explicar que la cuenta se borra sola a los 30 días de desactivarla o tras 120 días sin uso. Y añadía dos prohibiciones: no recomendar contactar con ninguna autoridad de protección de datos o regulador, y no sugerir que WhatsApp pueda borrar la cuenta a mano.
El segundo, en la página para denunciar y bloquear, se activaba en cuanto el usuario hablaba de un abogado, una demanda o un juicio. A partir de ahí, el chatbot no debía citar las condiciones ni la política de privacidad de WhatsApp, ni mencionar leyes de protección de datos como el RGPD, aunque fuera el propio usuario quien las sacara.
Su política de privacidad dice otra cosa
La contradicción está en los documentos de la propia WhatsApp. Su política de privacidad para Europa, en vigor desde el 2 de julio, reconoce tu derecho a reclamar ante la Comisión de Protección de Datos de Irlanda, su autoridad principal según el RGPD, o ante cualquier otra autoridad de protección de datos competente.
Redact recuerda que esos derechos no los concede WhatsApp. En la UE salen de los artículos 17 y 77 del RGPD, y una instrucción a un chatbot no los borra. Lo que sí podía conseguir era que no te enteraras de ellos justo en el sitio al que acudías a pedir ayuda.
La versión de WhatsApp
Redact encontró las órdenes el 8 de octubre. El 15 seguían ahí, y el 18 ya habían desaparecido los 102 bloques. Las páginas siguen publicadas, solo sin el texto oculto, aunque las copias del Internet Archive todavía lo conservan.
WhatsApp explicó a WIRED que eran instrucciones para su chatbot de soporte, el que responde cuando escribes a WhatsApp Support con IA, y que aparecían en las páginas por un fallo ya corregido. Su portavoz añadió que quiere que esos chatbots den el mejor consejo sobre WhatsApp y no asesoramiento legal.
Redact admite que no dar opiniones legales en nombre de la empresa es razonable, pero sostiene que decirte que existe un regulador no es asesoramiento legal. Y reconoce que no sabe si el chatbot llegó a seguir esas órdenes: leyó sus instrucciones, no sus respuestas.
Qué significa para las empresas españolas
En España casi todo el mundo usa WhatsApp, y aquí la autoridad de protección de datos es la AEPD. Si pides que borren tus datos y no te hacen caso, el RGPD te deja reclamar ante ella, diga lo que diga un chatbot.
Para las empresas, la lección es otra. Las instrucciones de un chatbot también son parte de lo que dices a tus clientes, aunque nadie las vea. Si tienes un chatbot de atención al cliente o un asistente en WhatsApp, revisa qué le pides que calle. Evitar consejos legales es prudente. Esconder derechos que tu propia política reconoce es otra cosa.
El caso llega pocas semanas después de que acusaran a Meta Muse de subir mensajes a la nube sin permiso. Y deja una idea para cualquiera que monte un asistente: lo que tiene prohibido decir también puede acabar en los titulares.
