Hoteles en España: registro de viajeros, pasaportes e IA generativa

España recibió casi 94 millones de turistas internacionales en 2024, según el INE. Detrás de ese récord hay miles de hoteles, apartamentos turísticos y agencias de viajes que manejan cada día pasaportes, números de tarjeta y reservas detalladas. Desde el 2 de diciembre de 2024, además, deben comunicar parte de esos datos al Ministerio del Interior en un plazo máximo de 24 horas.

Al mismo tiempo, la IA generativa se ha instalado en la recepción y en los departamentos de gestión. Sirve para responder a una reseña negativa, traducir un mensaje o redactar una confirmación. Pero el prompt contiene a veces mucho más que el texto de una reseña.

El registro de viajeros: lo que establece el Real Decreto 933/2021

El Real Decreto 933/2021, de 26 de octubre, regula las obligaciones de registro documental e información de las actividades de hospedaje y alquiler de vehículos a motor. Tras varios aplazamientos, el nuevo sistema entró en vigor el 2 de diciembre de 2024. Los datos se envían a través de SES.HOSPEDAJES, la plataforma del Ministerio del Interior.

Afecta a hoteles, albergues, campings, alojamientos turísticos y rurales, y también a las plataformas digitales que comercializan estas estancias en España y a los operadores turísticos que actúan como intermediarios. La lista de datos es larga:

• identidad del viajero: nombre, apellidos, sexo, fecha de nacimiento, nacionalidad, tipo y número de documento, domicilio, teléfono y correo electrónico;

• relación de parentesco cuando un viajero es menor;

• datos de la estancia: fechas y horas de entrada y salida, número de viajeros;

• datos de pago: medio utilizado, identificación de la tarjeta o del IBAN, titular y fecha de pago.

Esta información debe comunicarse de manera inmediata, y en todo caso en un plazo no superior a 24 horas, y conservarse hasta tres años.

Por qué estos datos acaban en herramientas de IA

Las fugas nacen de gestos cotidianos. Un recepcionista pega la conversación completa con un cliente para obtener una respuesta amable, con el localizador de la reserva, el número de pasaporte que aparece en el hilo y el teléfono. Una agencia de viajes pide reformular el resumen de un grupo con la lista de participantes. El departamento de contabilidad pide a un asistente que "ordene" una hoja de incidencias de pago con los cuatro últimos dígitos de las tarjetas y los nombres de los titulares.

El sector depende mucho del personal de temporada, formado en pocos días y que trabaja en varios idiomas. Una formación al inicio de la temporada no basta: la IA les ahorra tiempo y la usan sin pensar en lo que pegan. El coste de estos usos sin control se explica en nuestro artículo sobre el coste real de la IA en la sombra.

Reseñas y correos: el caso más frecuente

Responder a reseñas es ya una tarea diaria en los hoteles. El riesgo aparece cuando el empleado añade contexto para que la respuesta sea precisa: número de habitación, fechas exactas, una reclamación de reembolso, un problema de salud que mencionó el cliente o el nombre del niño que se hizo daño en la piscina. Ese contexto son datos personales, a veces de categoría especial según el RGPD.

Lo mismo ocurre con los correos. Una solicitud de cambio de estancia incluye a menudo una copia del documento de identidad o una captura de una transferencia. Si el empleado lo reenvía todo a un asistente de IA de uso público para redactar la respuesta, el hotel pierde el control de unos datos que está obligado a proteger.

El marco legal: RGPD, LOPDGDD y AEPD

Los datos recogidos para el registro de viajeros siguen sujetos al RGPD y a la Ley Orgánica 3/2018 (LOPDGDD). La Agencia Española de Protección de Datos (AEPD) es la autoridad competente. El artículo 32 del RGPD exige medidas técnicas y organizativas adecuadas al riesgo, y un fichero que combina documentos de identidad y medios de pago es claramente de alto riesgo. Nuestra checklist del Reglamento de IA y del artículo 32 del RGPD detalla esas medidas.

El RGPD fija además el principio de limitación de la finalidad: los datos recogidos por una obligación de seguridad ciudadana no deben reutilizarse libremente, ni entregarse a un servicio externo sin contrato. En el terreno de la IA, la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, completa el sistema. Explicamos su papel en nuestro artículo sobre la AESIA y la preparación de las empresas españolas para el Reglamento de IA.

Qué puede hacer un hotel o una agencia desde hoy

Prohibir la IA en la recepción no es realista. Es mejor poner un marco:

1. Inventariar las herramientas que se usan de verdad en recepción, reservas, marketing y contabilidad, incluidos los móviles personales.

2. Fijar una regla sencilla: nunca un número de documento, de tarjeta o un IBAN en un asistente de IA, ni siquiera para traducir.

3. Ofrecer una herramienta aprobada, con un contrato de encargo del tratamiento conforme.

4. Anonimizar automáticamente los datos sensibles antes del envío, para que el empleado conserve la utilidad de la herramienta.

5. Guardar un registro de los incidentes evitados.

La anonimización suele ser el mejor equilibrio: el nombre se convierte en un seudónimo, el número de pasaporte en un identificador ficticio con el mismo formato, y la respuesta generada sigue siendo útil. Nuestro artículo sobre la anonimización que preserva el formato explica cómo funciona.

En resumen

Desde diciembre de 2024, los alojamientos y los intermediarios turísticos españoles tienen todavía más datos de identidad y de pago. La IA generativa es útil para reseñas, correos y traducciones, pero cada copia y pega puede exponer un pasaporte o una tarjeta bancaria. Enmarcar estos usos, anonimizar antes del envío y conservar pruebas de los controles permite afrontar a la AEPD con tranquilidad.

ZeusLock detecta y anonimiza números de pasaporte, DNI, tarjeta e IBAN antes de que lleguen a ChatGPT, Copilot o Gemini, directamente en el navegador de sus equipos. Solicite una demo de ZeusLock y vea cómo proteger su recepción sin frenarla.