Lista de verificación norteamericana "Preparado para la IA": SMS/10DLC, billetera y privacidad multiestado

"Listo para IA" no es un modelo. Es una superficie de acción.

Ahora, todos los proveedores de retención de clientes incluyen un modelo de aprendizaje automático (LLM) en su presentación. Esa es, sin duda, la parte más sencilla. Un modelo capaz de redactar un mensaje, segmentar una audiencia o resumir un grupo de clientes potenciales es, en 2026, prácticamente un producto básico. Lo que no es un producto básico —y lo que realmente determina si un agente autónomo es beneficioso o perjudicial en el mercado norteamericano— es todo lo que subyace al modelo: los canales legítimos a través de los cuales puede contactar al cliente, el estado de consentimiento que debe respetar y las obligaciones regulatorias que varían según el estado donde resida el cliente.

El modo de fallo es específico. Un agente sin una superficie de acción conforme, registrada y con identidad verificada es inútil o peligroso. Inútil, porque redacta un SMS perfecto que no puede enviar a través de los operadores, o crea una audiencia de supresión que no puede enviar a la plataforma publicitaria. Peligroso, porque actúa (envía, segmenta, reorienta) sin respetar la solicitud de eliminación, la exclusión voluntaria o la señal de Control de Privacidad Global del cliente, y ahora usted es responsable de un incidente de cumplimiento que una auditoría rastreará directamente hasta una decisión automatizada.

Esta pieza es una lista de verificación, no una propuesta. El objetivo es brindarle a un líder de operaciones minorista, QSR o D2C de América del Norte preguntas concretas para que las tenga en cuenta en una evaluación de proveedores, explicando la razón por la que cada una es importante. Algunos de estos son aspectos en juego que cualquier plataforma seria debería superar; algunos todavía están madurando para casi todos. La medida honesta en materia de adquisiciones es preguntar cuál es cuál y desconfiar de cualquier proveedor que afirme tener una cobertura uniforme y completa en todos ellos.

1. SMS/MMS: Consentimiento TCPA y registro de operador 10DLC/código corto

Los SMS son el canal de retención con mayor intención de compra en Norteamérica, y también el que está más regulado. Cada mensaje de texto que envíe conlleva dos obligaciones. La primera es el consentimiento según la Ley de Protección del Consumidor Telefónico (TCPA): generalmente se requiere el consentimiento previo expreso por escrito para enviar SMS de marketing, la suscripción debe ser específica y estar documentada, y se deben respetar las solicitudes de STOP y de exclusión voluntaria con prontitud. La segunda es el registro a nivel de operador. Para enviar mensajes de aplicación a persona en EE. UU., se registra la marca y los casos de uso bajo 10DLC (códigos largos de 10 dígitos) o se proporciona un código corto; De cualquier forma, los operadores y The Campaign Registry se interponen entre tu plataforma y el teléfono del cliente.

Por qué es importante para un agente: un sistema autónomo que propone "enviar un mensaje de texto a los clientes VIP inactivos con una oferta de recuperación" propone una acción que solo se completa si la marca está registrada, el caso de uso de la campaña está aprobado, se respetan los límites de rendimiento y, lo que es fundamental, cada destinatario tiene un estado de consentimiento TCPA válido. Pregunte al proveedor dónde se almacena el consentimiento, si se registra por canal, si las exclusiones voluntarias se propagan en tiempo real por toda la plataforma y cómo se gestiona y mantiene el registro mediante 10DLC o código corto. Si la respuesta es ambigua, el agente intentará enviar algo que se filtre, se limite o, peor aún, se entregue a alguien que nunca dio su consentimiento para recibirlo.

2. Notificaciones push y en la app: tu alcance propio que nadie puede cancelar

Las notificaciones push y la mensajería dentro de la aplicación son los canales que controlas con mayor precisión. No hay registro del operador entre tú y el dispositivo, ni coste de entrega por mensaje, y la relación se mantiene dentro de tu propia aplicación o billetera, en lugar de en la bandeja de entrada de otra persona. Esa independencia es precisamente la razón por la que deben incluirse en una lista de verificación de preparación para la IA: cuando un agente necesita actuar al instante (una alerta de bajada de precio, un recordatorio de carrito abandonado, un aviso de puntos a punto de caducar), las notificaciones push de origen son el medio con menor probabilidad de ser interceptadas, filtradas o limitadas por un intermediario.

Las obligaciones son menores que con los SMS, pero no nulas. Las notificaciones push aún dependen de que el cliente haya instalado la aplicación y otorgado el permiso de notificación, y una plataforma madura trata ese permiso como un estado de consentimiento que debe respetarse, no como un megáfono que se puede usar indebidamente. Pregunte si el agente puede determinar quién es contactable mediante notificaciones push y quién debe ser contactado por SMS o correo electrónico, y si las reglas de frecuencia y horarios de silencio se aplican de forma centralizada. Un agente que no comprende la diferencia entre los canales propios y los subcontratados optimizará para lo incorrecto.

3. Activación de medios pagados: Segmentación de clientes y conversiones API para supresión y audiencias similares.

La retención no se limita a los canales propios. Dos de las estrategias más valiosas que un agente puede implementar son las de publicidad pagada: excluir a los clientes existentes, a los que compraron recientemente o a los que se dieron de baja del gasto en adquisición, para dejar de pagar por llegar a quienes ya tienes, y crear audiencias similares a partir de tus mejores grupos para encontrar más clientes. Ambas requieren enviar audiencias propias a las plataformas publicitarias: Google Customer Match y las integraciones de Conversiones del lado del servidor API que Meta, Google y TikTok ahora exigen para una sincronización de audiencias y conversiones duradera y que respete la privacidad.

La represión es la mitad subestimada de esto. También es donde convergen el cumplimiento y la eficiencia de los medios: un cliente que ha pedido que no se le venda ni se comparta, o que haya sido eliminado, debe quedar fuera de las audiencias que usted sincroniza con las plataformas publicitarias, no solo fuera de su lista de correo electrónico. Pregunte al proveedor si la activación de la audiencia es bidireccional y en tiempo real, si los estados de supresión fluyen hacia las plataformas publicitarias automáticamente y si las señales de privacidad (eliminación, exclusión voluntaria, no compartir) se respetan en la capa de sincronización de la audiencia y no solo en la capa de envío. Un agente que puede construir algo parecido pero que no puede suprimirlo de manera confiable es un pasivo disfrazado de crecimiento.

4. Privacidad multiestado: CCPA/CPRA, la creciente complejidad de la red y el cumplimiento de las Buenas Prácticas de Privacidad (BPC)

No existe una única ley de privacidad en Estados Unidos y el mosaico se amplía cada año. La CCPA de California, modificada por la CPRA, otorga a los consumidores el derecho de optar por no participar en la "venta" y "compartir" información personal y solicitar su eliminación. La VCDPA de Virginia, la CPA de Colorado y una lista cada vez mayor de otros estatutos estatales se basan en sus propias definiciones, derechos de exclusión voluntaria y obligaciones, frecuentemente con requisitos superpuestos pero no idénticos. Los derechos de un cliente ahora dependen en parte del estado en el que vive, lo que significa que su plataforma tiene que resolver las obligaciones por persona, no por campaña.

Dos requisitos merecen especial atención en la evaluación de un proveedor. Primero, el Control Global de Privacidad (GPC): California y otros estados consideran la señal GPC a nivel de navegador como una opción válida para no vender ni compartir datos, lo que significa que respetarla no es opcional y no puede ser un proceso manual. Segundo, la propagación. Una solicitud de eliminación o de no venta debe llegar a todas las plataformas posteriores (el almacén de consentimiento de SMS, la audiencia de notificaciones push y la sincronización de medios pagados descrita anteriormente), no solo a la base de datos principal. Pregunte cómo la plataforma asigna una solicitud individual del consumidor al conjunto completo de obligaciones específicas de cada estado, cómo se procesa y respeta el GPC y con qué rapidez se propaga una supresión o eliminación a todos los lugares donde un agente podría actuar. Esta es precisamente la capa donde un agente sin supervisión puede causar más daño si la configuración falla.

5. Cumplimiento normativo: SOC 2 Type II y PCI-DSS como estándares de adquisición

Antes de que importen los mecanismos del canal, sus equipos de seguridad y compras se harán una pregunta fundamental: ¿se puede confiar en que esta plataforma almacene datos de clientes? En el sector minorista empresarial norteamericano, dos certificaciones funcionan como requisito de entrada. SOC 2 Type II demuestra que los controles de seguridad, disponibilidad y confidencialidad del proveedor no solo están diseñados, sino que operan eficazmente durante un período de tiempo. PCI-DSS se aplica siempre que se trate de datos de tarjetas de pago, y un programa de venta minorista o de comida rápida que maneje transacciones casi siempre los incluye en algún punto.

Estos son requisitos básicos, y debes tratarlos como tales: presentes y actuales, no aspiracionales. Pero la pregunta específica de la IA va un paso más allá: cuando un agente realiza una acción, ¿existe un registro inmutable y consultable de lo que hizo, con qué datos, bajo qué estado de consentimiento y por qué? La autonomía eleva el nivel de auditabilidad, porque "el sistema decidió" no es una respuesta aceptable para un regulador o una revisión de seguridad empresarial. Solicita ver el registro de auditoría de las acciones del agente, no solo la portada del informe SOC 2.

6. Convenciones de billetera y móviles: Apple y Google tarjetas de membresía

La fidelización reside en el bolsillo del cliente, y cada vez más, en su cartera. Las tarjetas de membresía Apple Wallet y Google Wallet se han convertido en una expectativa básica de comodidad para los programas de venta minorista y de restaurantes de comida rápida: una tarjeta que el cliente añade una sola vez, que actualiza su saldo y nivel dinámicamente, y que puede mostrar una notificación relevante según la ubicación o la hora en la pantalla de bloqueo. Para un agente, la tarjeta de la cartera es tanto una superficie de alcance propia como una visualización del estado en tiempo real: el saldo de puntos que el agente acaba de actualizar debería ser el mismo que ve el cliente sin necesidad de abrir una aplicación.

Las obligaciones aquí tienen más que ver con la corrección y las convenciones que con la ley. Un pase de billetera que muestra un saldo obsoleto, una oferta vencida o un nivel que el cliente ya no tiene erosiona la confianza más rápido que ningún pase. Pregunte si la plataforma emite y actualiza la billetera Apple y Google de forma nativa, si las actualizaciones son en tiempo real y si las acciones del agente (un bono otorgado, un cupón canjeado, un cambio de nivel) se reflejan en la tarjeta sin una sincronización manual. La convención móvil es la diferencia entre un programa de fidelización que el cliente lleva y uno que olvida.

7. Resolución de identidad en tiempo real: la base que permite que todo esto actúe al instante.

Todo lo anterior presupone que la plataforma sabe a quién se dirige, y que lo sabe ahora mismo, no en el lote de mañana. La resolución de identidad en tiempo real es la base que vincula una dirección de correo electrónico, un número de teléfono number, un token de notificación push del dispositivo, un ID de fidelización, un pase de monedero y un identificador de publicidad de pago con una única persona identificada. Sin ella, los canales se fragmentan: el cliente que se dio de baja por SMS sigue recibiendo publicidad de retargeting porque el identificador de la plataforma publicitaria nunca se vinculó, o el agente otorga puntos a un perfil que es uno de tres duplicados.

Para un agente autónomo, esto no es un lujo; es la condición previa para actuar legítimamente en el momento. El consentimiento es por persona, la eliminación es por persona, la supresión es por persona y la accesibilidad es por persona en todos los canales; y ninguna de estas obligaciones puede cumplirse si la identidad se resuelve con horas de retraso o nunca. Pregunte con qué rapidez se resuelve una nueva señal (una compra, una exclusión voluntaria, una bandera de GPC, una adición a la billetera) en el perfil unificado y si el agente lee ese perfil resuelto al momento de tomar una decisión. Una demostración puede ocultar un gráfico de identidad lento o impreciso. La producción no.

El LLM es la parte fácil. La superficie de acción dócil es el foso.

Repase la lista y observe de qué no se trata: no se trata de cuán inteligente es el modelo. Se trata de si las decisiones del modelo pueden convertirse en acciones legítimas en un mercado específico, regulado y centrado en dispositivos móviles. SMS que aprueban el registro del operador y el consentimiento TCPA. Envíe su propio contenido directamente. Sincronización de medios pagados que suprime con la misma fiabilidad con la que se expande. Obligaciones de privacidad resueltas por persona en un mosaico estatal cada vez más amplio, con GPC respetado automáticamente. Certificaciones de seguridad que su equipo de adquisiciones ya requiere. Tarjetas de billetera que se mantienen correctas. Y debajo de todo esto, un gráfico de identidad lo suficientemente rápido como para hacer que cada una de esas obligaciones true en el momento.

Es por eso que una evaluación de preparación para la IA debería pasar la mayor parte de su tiempo debajo del modelo. El proveedor con el mejor LLM y una superficie de acción delgada ofrece demostraciones impresionantes y una producción arriesgada. El proveedor con una superficie de acción localizada, conforme y resuelta por identidad puede poner a funcionar un modelo ordinario de forma segura, y esa combinación es lo que realmente agrava la retención. Sea escéptico ante cualquiera que afirme una cobertura uniforme y terminada en todos los artículos aquí; la respuesta madura reconoce lo que está en juego, lo que aún está madurando y exactamente dónde se encuentra la pista de auditoría.

Si está analizando sus propias deficiencias en la preparación para la IA en Norteamérica y desea poner a prueba una plataforma con esta lista de verificación, con gusto la analizaremos con usted, canal por canal y obligación por obligación. Contáctenos o solicite una demostración y plantéenos sus preguntas más complejas sobre cumplimiento normativo.