El cumplimiento en redes sociales significa poder demostrar tres cosas a posteriori: que una persona cualificada revisó una publicación antes de que saliera, que la publicación incluía las divulgaciones que exige tu regulador, y que todavía conservas una copia recuperable de qué se publicó, cuándo y quién lo hizo. Todo lo demás — herramientas, calendarios, niveles de aprobación — existe para que producir esas tres pruebas salga barato.
En un banco grande ese trabajo recae en una suite de cumplimiento de siete cifras. En una asesoría de cuatro personas, un despacho de abogados de dos socios, una clínica dental o el equipo de comunicación de un ayuntamiento, tiene que funcionar con un programador de publicaciones, una unidad compartida y una hoja de cálculo, sin contratar a nadie. Esta guía es la versión para empresas pequeñas.
Un aviso: yo llevo una herramienta de programación, no una consultoría de cumplimiento. Lo que sigue es la forma operativa a la que los equipos regulados acaban llegando una y otra vez. Los números de las normas, los plazos de conservación y la redacción obligatoria vienen de tu regulador o de tu asesoría jurídica — cambian según el país, el sector y la licencia. Consíguelos por escrito y luego construye el proceso a su alrededor.
Las cuatro obligaciones que hay debajo de cualquier régimen
Si le quitas el lenguaje específico de cada sector, casi todos los reglamentos sobre redes sociales piden las mismas cuatro cosas:
- Revisión antes de publicar. Alguien con autoridad para decir que no mira el contenido primero, y ese hecho queda registrado.
- Divulgación. Las relaciones pagadas, los riesgos materiales, el estatus profesional y — esto es nuevo — la participación de la IA se indican en la propia publicación, no enterrados.
- Registros. Lo que publicas sobrevive con independencia de la plataforma, junto con las ediciones y las eliminaciones.
- Control. Personas concretas tienen el acceso, y ese acceso se retira cuando se van.
Cubre esas cuatro y estarás por delante de la mayoría de las pequeñas firmas reguladas, que suelen tener una opinión firme sobre el tono de voz y ningún registro de quién aprobó qué.
Qué normas te afectan de verdad
| Sector | Regímenes habituales (ejemplos) | A qué te obliga en la práctica |
|---|---|---|
| Servicios financieros | Normas de FINRA y la SEC en EE. UU.; normas de promociones financieras de la FCA en el Reino Unido | Aprobación previa del contenido promocional por una persona cualificada; advertencias de riesgo dentro de la publicación; comunicaciones conservadas |
| Salud y sanidad | Legislación de privacidad del paciente como HIPAA; códigos de publicidad de los colegios médicos nacionales; normas de autorregulación publicitaria sobre afirmaciones de salud | Nada de información identificable de pacientes sin consentimiento por escrito; afirmaciones fundamentadas; reglas estrictas sobre imágenes de antes/después y testimonios |
| Legal | Normas de publicidad y captación de clientes de los colegios de abogados | Etiquetas obligatorias en algunas jurisdicciones; nada de garantías de resultado; copias de la publicidad conservadas durante un plazo determinado |
| Sector público | Legislación de archivos públicos y de transparencia | Las publicaciones, y a menudo los comentarios debajo, son registros; eliminar y bloquear tiene que seguir una política escrita y aplicada de forma coherente |
| Todos | Códigos de consumo y publicidad; legislación de protección de datos; normas de transparencia del Reglamento de IA de la UE | Divulgación clara de lo pagado y lo regalado; tratamiento lícito de los datos personales en comentarios y mensajes directos; transparencia sobre contenido con IA |
Merece la pena sacar dos patrones de esa tabla.
Primero, en servicios financieros la distinción que no deja de importar es la que hay entre contenido estático e interactivo. A grandes rasgos, tu perfil, las publicaciones fijadas y las promociones programadas son publicidad que necesita visto bueno antes de aparecer; un intercambio en directo en las respuestas se supervisa, no se aprueba previamente. Por eso programar ayuda al cumplimiento: convierte un acto espontáneo en un elemento en cola con un paso de revisión por delante.
Segundo, los equipos del sector público tienen el problema contrario. Su riesgo no es la publicación que sale, es la eliminación: un concejal que borra un comentario incómodo puede estar creando un problema de archivos y, en algunas jurisdicciones, un problema de derechos. Escribe la regla de moderación antes de necesitarla.
Obligación 1: el rastro de aprobación
Un rastro de aprobación no es "ella dijo que sí por Slack". Un rastro que sobrevive a una reclamación contiene, para cada publicación:
- El contenido exacto tal y como se envió — pie de foto, medios, enlaces, plataforma de destino
- Quién lo envió, con marca de tiempo
- Quién lo revisó, y qué autoridad tiene esa persona
- Cualquier comentario recibido, literal, y qué cambió como respuesta
- La aprobación en sí, con nombre y marca de tiempo
- La hora de publicación y la URL en vivo
La mayor parte de eso son metadatos que tu programador ya genera. La laguna en los procesos improvisados está en el medio: la revisión y la aprobación con nombre.
No todo necesita el mismo rigor. Clasifica tu contenido por niveles de riesgo y escribe esos niveles en tu política — las promociones, las afirmaciones de rendimiento y cualquier cosa que toque las circunstancias de un cliente pasan por revisión completa; una foto de un evento o una oferta de empleo, no. La mecánica, incluido cómo evitar que el feedback llegue en cinco mensajes distintos a lo largo de tres días, está en nuestra guía del flujo de aprobación de contenido, con una versión para equipos internos en la guía del flujo de aprobación de contenido en equipo.
Esta es la parte para la que SocialKit está construido de verdad. Los flujos de aprobación vienen con los planes Team y Enterprise: se redacta una publicación, se enruta para revisión y no puede publicarse automáticamente hasta que se apruebe, con el calendario mostrando qué está esperando a quién. Hay un tutorial paso a paso sobre cómo configurar un flujo de aprobación de contenido. El precio es plano — cada plan incluye las 11 plataformas compatibles y publicaciones programadas ilimitadas, desde €29/mes a fecha de julio de 2026, con una prueba de 7 días.
Una clínica lo lleva así: la gerente de la consulta redacta el lunes, el responsable clínico revisa el martes por la mañana, y nada se publica sin ese segundo nombre asociado. Quince minutos a la semana, y "¿quién aprobó esto?" tiene respuesta.
Obligación 2: tres tipos de divulgación
Los equipos regulados tratan la divulgación como una sola cosa. Son tres, con detonantes distintos.
Divulgación comercial. Colaboraciones pagadas, productos regalados, enlaces de afiliación, contenido de empleados sobre su propio empleador. La regla práctica que se sostiene en casi todos los códigos publicitarios: la divulgación va dentro de la publicación, cerca del principio, en lenguaje sencillo, legible antes de que nadie pulse "más" — no en el primer comentario, ni como el último hashtag de un bloque de treinta. Nuestra guía sobre cómo revelar contenido patrocinado cubre la colocación en cada plataforma.
Divulgación regulatoria. Advertencias de riesgo, estatus profesional, límites jurisdiccionales y la redacción que exija tu regulador. Lo difícil en redes sociales es que tienen que ser autónomas: cada publicación tiene que cumplir por sí misma, porque alguien verá el reel sin ver nunca tu biografía ni la página enlazada. Una promoción que solo tiene sentido junto a un descargo de responsabilidad en tu web es una promoción con un problema. Si la redacción obligatoria no cabe, consulta nuestra referencia de límites de caracteres antes de diseñar el formato, y pregúntate si esa plataforma es el sitio adecuado para ese mensaje.
Divulgación de IA. Esta es la nueva, y merece su propia sección.
Obligación 3: las normas de transparencia del Reglamento de IA de la UE
Si operas en la UE, o tu contenido llega a personas de allí, las obligaciones de transparencia del artículo 50 del Reglamento de IA son lo más reciente de la lista. Se aplican a los responsables del despliegue — la organización que usa un sistema de IA — así que un equipo de marketing de dos personas con una herramienta generativa está dentro del ámbito, no solo la empresa que construyó el modelo. A fecha de julio de 2026, esas obligaciones serán aplicables el 2 de agosto de 2026.
Dos deberes importan para redes sociales:
- Imagen, audio y vídeo sintéticos. Si publicas contenido generado o manipulado con IA que se parece a personas, lugares o hechos reales — un deepfake en el sentido del Reglamento — tienes que divulgar que está generado o manipulado artificialmente.
- Texto generado por IA sobre asuntos de interés público. Si publicas texto generado o manipulado con IA para informar al público sobre un asunto de interés público, tienes que divulgarlo, salvo que el contenido haya pasado por revisión humana y una persona u organización concreta asuma la responsabilidad editorial sobre él.
Lee ese segundo deber con atención, porque es más estrecho de lo que sugiere el pánico. Un pie de foto de producto corriente redactado con ayuda de la IA y editado por un humano no suele ser "información sobre un asunto de interés público". Una explicación de salud pública hecha por una clínica, o la publicación de un ayuntamiento sobre un cambio de política, plausiblemente sí lo es. En cualquier caso, la vía de la revisión humana más la responsabilidad editorial es el rastro de aprobación descrito arriba — una coincidencia agradable para quien ya lo tenga montado.
Una obligación aparte, aplicable desde febrero de 2025, pide a las organizaciones que garanticen que el personal que usa sistemas de IA tenga suficiente alfabetización en IA para su puesto. Para un equipo pequeño eso no es un programa de formación; es una página escrita que enumera las herramientas aprobadas, los usos permitidos y quién revisa el resultado. Nuestra plantilla de política de uso de IA para equipos de redes sociales cubre eso, y la parte del etiquetado — etiquetas de IA nativas de cada plataforma, qué decir y dónde — está en nuestra guía sobre divulgación de contenido IA en redes sociales. Resuelve también por adelantado las decisiones de criterio sobre rostros, voces y testimonios sintéticos; esas están en ética de la IA en el marketing en redes sociales.
Un matiz honesto: el calendario del Reglamento ha atraído propuestas de modificación desde que entró en vigor. Confirma la situación actual de tus propias obligaciones en lugar de fiarte de cualquier artículo de blog, este incluido.
Obligación 4: la conservación de registros, y dónde se acaba un programador
La respuesta directa, porque equivocarse aquí sale caro: SocialKit no es un producto de archivado. Es un programador con un paso de aprobación, que guarda tus borradores, aprobaciones, calendario y publicaciones publicadas — lo que cubre bien la revisión antes de publicar. No hace captura de cumplimiento de comentarios y mensajes directos entrantes, no tiene bandeja de entrada unificada ni cola de moderación, y no produce el archivo a prueba de manipulaciones, de tipo WORM, que las firmas financieras supervisadas suelen estar obligadas a conservar.
Si eres un bróker-dealer o un asesor de inversiones bajo un régimen de supervisión, necesitas un proveedor de archivado dedicado — la categoría de compliance capture, empresas como Smarsh, Global Relay y Proofpoint. Eso es una partida de presupuesto real, y prefiero decirlo a venderte un programador como sustituto.
| Requisito | Programador con aprobaciones | Archivo dedicado |
|---|---|---|
| Prueba de que una publicación se revisó y por quién | Sí | Normalmente |
| Copia de lo que publicaste, y cuándo | Sí | Sí |
| Captura de los comentarios y mensajes directos que recibiste | No | Sí |
| Captura de ediciones y eliminaciones según ocurren | No | Sí |
| Almacenamiento a prueba de manipulaciones con pista de auditoría | No | Sí |
| Alertas de supervisión y marcado por léxico | No | Sí |
Para las firmas que no están bajo un régimen formal de supervisión — la mayoría de clínicas, la mayoría de despachos pequeños, la mayoría de ayuntamientos, la mayoría de marcas B2B con un equipo legal nervioso — una práctica ligera de conservación es proporcionada y genuinamente defendible:
- Elige un plazo de conservación y anota el número. Sácalo de tu regulador, no de la media de lo que ofrecen las herramientas.
- Exporta cada mes. Una carpeta fechada por mes: un CSV de lo que se publicó, los archivos de medios y capturas en PDF o pantallazos de las publicaciones en vivo. Quince minutos con un café.
- Guárdalo en algún sitio que no puedas editar a la ligera. Una carpeta en la nube aparte, con permisos de escritura restringidos e historial de versiones, para que nadie pueda reescribir la historia en silencio — tú incluido.
- Mantén un índice. Una fila por publicación: fecha, plataforma, tipo de contenido, aprobador, URL en vivo, y si después se editó o se retiró y por qué.
- Registra las eliminaciones en lugar de hacerlas en silencio. Si una publicación se retira, el registro de ella no.
Para automatizarlo, SocialKit expone una API y webhooks en todos los planes, incluido Solo. Un webhook de publicación publicada que dispare hacia una hoja de Google, un bucket de S3 o tu propia base de datos mantiene ese registro actualizándose sin que nadie tenga que acordarse de exportar.
Control: acceso, offboarding y el problema de las cuentas personales
El modo de fallo poco glamuroso no es una publicación mala. Es un antiguo colaborador que todavía tiene permisos de administrador en la página de LinkedIn, o una contraseña compartida en una nota por ahí.
Control mínimo viable: inicios de sesión individuales con nombre en lugar de una cuenta compartida, autenticación de dos factores en todas partes, una lista documentada de quién tiene permisos de administrador en cada canal, y un paso de offboarding que retira el acceso el último día. Revísalo cada trimestre — nuestra checklist de auditoría de redes sociales incluye una pasada de accesos, y quién puede hacer qué queda más claro cuando los roles del equipo de redes sociales están escritos en lugar de asumidos.
Después está la cuestión de las cuentas personales, la que más pesa en los sectores regulados. Un asesor recomendando un producto desde su propia cuenta, un médico comentando la publicación pública de un paciente, un abogado hablando de un asunto en curso — cada uno puede ser un evento regulatorio con independencia de en qué perfil ocurrió. Eso va en tu política de redes sociales escrita, un documento de gobernanza distinto del SOP de redes sociales paso a paso que gobierna el día a día. Las profesiones con publicidad restringida — los despachos de abogados en particular — necesitan una sección explícita de uso personal, no un genérico "usa el sentido común".
Decide también por adelantado qué pasa cuando algo sale mal: quién puede pausar la cola, quién habla, si una corrección es una publicación nueva o una edición. Nuestra guía de gestión de crisis en redes sociales cubre la secuencia; el detalle específico de cumplimiento es que la corrección y su momento forman parte del registro, así que documenta la decisión y no solo el arreglo. Todo este paquete es lo que quiere decir una política cuando habla de gobernanza de redes sociales.
Empieza por aquí: una implantación en dos semanas
No necesitas montar un proyecto para esto. Dos sesiones concentradas y una cita recurrente en la agenda:
Semana 1 — establece los hechos.
- Hazle a tu regulador o a tu asesoría jurídica tres preguntas por escrito: qué necesita aprobación previa, qué redacción exigen las publicaciones promocionales y cuánto tiempo hay que conservar los registros.
- Enumera cada canal que tienes y quién tiene permisos de administrador en cada uno. Quita a cualquiera que no debería estar ahí.
- Elige tu plazo de conservación y dónde va a vivir el archivo.
Semana 2 — construye el proceso.
- Activa un paso de aprobación para que nada se publique sin un revisor con nombre, y define niveles para que las publicaciones de bajo riesgo no se queden atascadas tras la misma puerta que las promociones.
- Mete la redacción de divulgación obligatoria en una plantilla de pie de foto por plataforma, para que nadie tenga que acordarse.
- Añade una sección de IA a la política: herramientas aprobadas, usos permitidos, quién revisa el resultado, cuándo lo etiquetas.
- Haz la primera exportación mensual y empieza la hoja de cálculo del índice — o monta un webhook y déjalo correr.
Y luego, cada trimestre: relee la política, revisa la lista de accesos, comprueba diez publicaciones archivadas contra lo que hay en vivo, y confirma que nada en la guía de tu regulador se ha movido. Agéndalo como un bloque recurrente de 45 minutos — la práctica que sobrevive es la que tiene hueco en el calendario, no la que tiene buenas intenciones.
Nada de esto te hace a prueba de auditorías. Sí significa que cuando alguien pregunte quién aprobó una publicación de hace catorce meses y qué decía, puedes responder en cinco minutos — lo que, para una pequeña firma regulada, es la mayor parte de la batalla.