Las implicaciones legales de la compra instantánea en ChatGPT

Antes del tema principal, y vista la buena acogida la semana pasada, ahí van en plan rápido 7 novedades técnicas de los últimos 7 días que algún día seguramente tendrán consecuencias legales:

• OpenAI lanzó nuevo SDK para conectar apps (Booking, Expedia, Spotify, Canva, etc) con ChatGPT, de forma que puedas interactuar con ellas directamente desde el chatbot. El paraíso del prompt injection.
• Agent Builder es la nueva herramienta de OpenAI para crear agentes de forma visual y sin (casi) código. Aquí una demo rápida. Agujeros de seguridad, venid a mí 😋
• Gemini 2.5 Computer Use es el nuevo modelo de Gemini para agentes que interpretan interfaces online en tiempo real, con mínima latencia y récords en rankings. Ya hay quien especula con webs diseñadas con patrones oscuros solo para agentes…
• Sonnet 4.5 (Claude) es capaz de clonar mediante vibe coding… al propio Claude. Esa ingeniería inversa 😬
• CodeMender es el nuevo agente de Google para localizar y resolver vulnerabilidades críticas automáticamente en código 👀
• Comet, el navegador de Perplexity repleto de IA (y de potenciales agujeros de seguridad) ya está disponible para todos (hasta ahora era bajo suscripción).
• Mercor AI lanzó APEX o AI Productivity Index, el primer benchmark que mide cómo rinden los modelos más punteros en trabajos reales. En el “Big Law Associate Benchmark” lideran GPT 5 y Sonnet 4.5. ¿Futuro comparador de CVs? 🤔

Vamos ahora con el TEMA PRINCIPAL

La semana pasada OpenAI presentó Instant Checkout en ChatGPT, su tecnología para compra instantánea desde el propio chatbot y a través de un nuevo protocolo de compra llamado el Agentic Commerce Protocol o ACP.

La idea es que tú buscas algo que te interese vía ChatGPT, te ofrece las mejores opciones y si el comerciante usa la opción de Checkout, sin salir del chatbot puedes realizar la compra. A cambio OpenAI se lleva una pequeña comisión por ello.

Por ahora la opción solo está disponible en EEUU y Canadá y cuenta ya con la participación de dos grandes “Comercios de comercios” como son Shopify y Etsy, además de la colaboración de Stripe para la gestión de pagos.

Cuando llegue a Europa, ¿qué posibles implicaciones legales podría tener? Vamos a verlas en modo sintético:

1.- Quién es quién y responsabilidades: OpenAI dice que no actúa como comerciante que registra la venta, eso será el e-commerce que venda online con ese sistema. Los pagos se procesan con la pasarela virtual del propio comerciante, ya sea Stripe u otra compatible en el futuro. Mientras que los reembolsos, cargos, cumplimiento y demás corresponden al comerciante o en su defecto la plataforma de pagos.

OpenAI se encarga de la experiencia Instant Checkout, mostrando y transmitiendo el flujo de datos que el comerciante fija.

La siguiente imagen ilustra bien cómo funcionará el sistema.

2.- Textos legales e información precontractual: OpenAI dice que el checkout debe incluir enlaces visibles a la política de privacidad y las condiciones de contratación del comerciante.

El en el feed del producto debe aparecer la identidad del vendedor, sus políticas y textos legales en general y la ventana de desistimiento. Ya me veo venir que nos faltarán huecos y opciones para toda la info precontractunal requerida.

3) Protección de datos y roles: Para usuarios en la UE, OpenAI Ireland es el responsable del tratamiento respecto del uso de ChatGPT. Pero el comerciante es el responsable de los datos respecto al pedido realizado. Será curioso en casos tipo Etsy y Shopify, los primeros que han firmado, que en realidad son intermediarios de tiendas online. De modo que ya hay comerciante e intermediario. Pues ahora incluiremos otro intermediario en esas relaciones mediante ChatGPT.

¿Acabaremos en alguna corresponsabilidad? 🤔

Al conectar tu tienda con ChatGPT, te aplicarán los Connectors Terms de OpenAI que regulan cuanta info le da una app de tercero a OpenAI. La empresa dice que recopilará la mínima necesaria para mostrar y ejecutar la compra, pero no concreta el detalle por ahora.

4) Seguridad de pagos: la guía de producción exige TLS/HTTPS, cabeceras de firma, control de versiones y recomienda permit-listing de IPs de salida de ChatGPT.

OpenAI no quiere quedar bajo el alcance de la normativa PCI, por tanto regula en detalle todo lo relativo a los pagos delegados.

5.- La transparencia del ranking: OpenAI dice que los resultados de producto son orgánicos y que, al comparar varios comerciantes para el mismo producto, considera factores como disponibilidad, precio, calidad, si es vendedor primario y si Instant Checkout está habilitado, entre otros. Más allá de eso señala que no se “prefiere” por sí mismo a Instant Checkout.

Sea como sea, esto implica deberes de transparencia hacia comerciantes y consumidores, y con lo sensible que está el tema ya por la pérdida de tráfico vía IA, como para ahora perder parte del negocio por preferenciar unos productos sobre otros.

También hay que pensar que ChatGPT está muy cerca de caer bajo el radar de la DSA por números en Europa (casi 45 millones ya). Si eso llega a ocurrir, las obligaciones de transparencia y diseño (recomendadores, interfaces, info sobre comerciantes) serán importantes. Y eso cuando EEUU no está siendo precisamente fan de la DSA, pidiendo a sus grandes empresas que la incumplan si condiciona derechos de sus ciudadanos…

Quedan otros detalles tipo impuestos, geoblocking, atención post venta y demás, pero hasta donde OpenAI se pronuncia, todo eso es problema del comerciante (lo lógico, en verdad).

Veremos cómo y cuándo nos llega Instant Checkout a Europa pero sin duda será otro tema importante a tener en cuenta en el mundo IA y legal.

Jorge Morell Ramos

Dicho esto, ahí va la actualidad del 18 al 24 de agosto al en IA y Derecho (publicaré todas las semanas pendientes, las tengo recopiladas).

60 noticias sobre regulación, tribunales, propiedad intelectual e industrial, protección de datos, Legaltech y otras.