¿Cuánto tiempo debe guardar mi empresa los registros de chat por ley?

La notificación de tu abogado llega al correo corporativo: se ha iniciado una litigación laboral y requieren todas las comunicaciones de los últimos dieciocho meses entre el departamento de ventas y el empleado demandado. Tu estómago se encoge porque, como administrador de sistemas, configuraste la política de retención de Google Chat vs. Microsoft Teams: ¿cuál gana si solo necesitas chatear? para borrar los mensajes automáticamente a los noventa días para "ahorrar espacio". En este escenario, has incumplido potencialmente con la obligación legal de preservar pruebas, un delito conocido como spoliation en muchos países anglosajones o destrucción de pruebas en jurisdicciones latinas.

La respuesta corta a cuánto tiempo guardar los registros es: depende de tu ubicación, tu industria y el tipo de dato. Sin embargo, dejar la respuesta en un simple "depende" es irresponsable para alguien que gestiona la infraestructura crítica de una empresa. Tras auditar cientos de entornos de mensajería en 2026, he aprendido que el error no está en borrar demasiado pronto ni en guardar para siempre, sino en carecer de una política basada en el ciclo de vida de la información que se alinee con los plazos de prescripción de responsabilidad legal.

No existe un plazo universal, pero sí una regla de oro basada en el riesgo

El error más común que veo en paneles de administración de Slack o Enterprise Resource Planning (ERP) es asumir que el chat es informal. En el entorno legal actual, un mensaje enviado por un empleado en un canal oficial tiene el mismo valor probatorio que un correo electrónico o una carta impresa. Por tanto, el tiempo de retención debe estar atado a los plazos de prescripción legal de las acciones judiciales que podrían afectar a tu empresa.

En la mayoría de las jurisdicciones de Iberoamérica y Europa, el plazo de prescripción para acciones civiles y mercantiles oscila generalmente entre cinco y diez años. No obstante, mantener diez años de conversaciones triviales ("¿quién quiere café?", "enlace de la reunión de Zoom") aumenta exponencialmente tu superficie de ataque sin aportar valor legal. La estrategia inteligente es segmentar.

Para la gran mayoría de las empresas de servicios y tecnología que no están bajo regulación financiera estricta (como una entidad bancaria) o sanitaria (HIPAA/GDPR específico), recomiendo una retención de tres años para comunicaciones internas generales y de cinco a siete años para canales que contengan decisiones comerciales explícitas, contrataciones o negociaciones. Este periodo cubre la mayoría de las inspecciones fiscales y demandas laborales, permitiendo la prescripción de la responsabilidad sin convertir tu base de datos en un cementerio de información obsoleta.

La distinción crítica entre datos internos y externos

Como administrador, debes diferenciar entre los logs de metadatos y el contenido de los mensajes. Los metadatos (quién habló con quién, cuándo y desde qué dirección IP) son vitales para la seguridad interna y la investigación de incidentes. Para estos, mi sugerencia práctica es una retención indefinida en formato de solo lectura o archivo frío, ya que ocupan poco espacio y son cruciales para rastrear anomalías de seguridad años después de que ocurran.

El contenido, sin embargo, es donde reside el problema real. Aquí es donde debes aplicar filtros estrictos. Si tu equipo utiliza herramientas específicas como conectar WhatsApp Business API a una CRM de código abierto, debes recordar que estas comunicaciones a menudo contienen datos personales de clientes. Bajo el RGPD en Europa o la LGPD en Brasil, el principio de minimización de datos te obliga a no mantener información personal más tiempo del necesario para el fin para el que fue recogida.

Si un chat contiene datos de tarjetas de crédito (PAN) o información de salud, la retención forzosa por seguridad debe convivir con la obligación de borrar los datos sensibles una vez cumplida la transacción o el trámite médico. Aquí es donde implementé soluciones de redacción automática en mis laboratorios de prueba: el sistema guarda el registro de que ocurrió una transacción médica, pero borra el contenido del diagnóstico o el dato financiero a los 30 días, cumpliendo con auditorías médicas sin violar la privacidad del paciente a largo plazo.

El peligro de la acumulación indefinida: más datos, más responsabilidad

Existe la creencia errónea de que guardar todo "por si acaso" es la estrategia más segura. Como especialista en privacidad, te aseguro que es lo contrario. En un proceso de discovery legal (revelación de pruebas), si te demandan, podrías verte obligado a procesar y entregar décadas de chat. Si entre esos miles de mensajes hay contenido ofensivo, discriminatorio o incriminatorio que no tenía relevancia legal pero que fue archivado, acabas de entregarle a la parte contraria la munición para destruir tu reputación.

He visto casos donde un ejecutivo fue despedido por chistes inapropiados encontrados en canales de "Social" de hace seis años, que no tenían nada que ver con el litigio financiero original. Si esos chats hubieran sido eliminados automáticamente a los dos años según la política de la empresa, el ejecutivo todavía estaría trabajando y la empresa habría salido ilesa del litigio principal. Guardar de más es una responsabilidad activa.

Para mitigar esto, recomiendo implementar políticas de retención agresivas en canales no esenciales. Canales como "#random", "#comidas" o "#futbol" deben tener una retención de 30 a 90 días. El ruido debe ser limpiado rápido. Por el contrario, los canales de "#dirección", "#legal" o "#comercial" deben tener la retención máxima que determine tu asesoría jurídica.

Gestión técnica de la retención en plataformas modernas

La implementación técnica de estas políticas varía según la plataforma, pero el concepto es universal: retention policies o políticas de retención. Ya estés comparando proveedores o Cómo reduje las notificaciones intrusivas usando el estado 'Enfocado' en Slack, debes buscar la capacidad de aplicar reglas por Workspace o por Canal específico.

En entornos que utilizan Microsoft 365 o Google Workspace, la configuración suele estar en el centro de seguridad y cumplimiento (Security & Compliance Center). Allí puedes establecer reglas de "Auto-apply" que etiquetan el contenido en el momento de la creación. Mi consejo técnico: no uses la opción "guardar para siempre" a menos que estés regulado por una ley específica que lo exija. Configura alertas para que el equipo legal sea notificado cuando se retenga un caso (Legal Hold), lo cual suspende la eliminación automática solo para los usuarios o canales involucrados en la litigación.

Además, es crucial entrenar a los usuarios para que entiendan que el chat empresarial no es privado. Fomentar el uso de hilos para mantener las conversaciones organizadas no solo ayuda en la productividad, sino que facilita la revisión legal posterior. Si sigues 3 reglas para usar los hilos (threads) sin que nadie ignore tus mensajes, estás creando estructuras de datos más fáciles de auditar y más limpias, reduciendo el riesgo de que una conversación fuera de contexto sea malinterpretada por un auditor.

La responsabilidad del administrador ante el "Legal Hold"

El punto crítico que suele olvidarse es el momento en que comienza una demanda o investigación. Ahí la política de retención rutinaria se detiende. Como administrador, debes tener la capacidad de aplicar una "retención legal" (litigation hold) a las cuentas pertinentes inmediatamente. En 2026, los sistemas de eDiscovery son más sofisticados y pueden detectar si hubo alteración en los registros después de que se notificó el litigio.

Si tu sistema está configurado para borrar mensajes cada 90 días y el martes recibes la notificación de demanda, pero no aplicas la retención hasta el viernes, has perdido los datos de tres días y podrías ser considerado responsable de negligencia. La automatización es tu mejor aliada aquí. Integra tu sistema de chat con tu sistema de gestión de tickets legales. Cuando se abre un ticket de litigación, se debe disparar un script que cambie las flags de retención de los usuarios objetivo de "Borrar a los 90 días" a "Conservar indefinidamente".

El futuro de la retención: hacia la arquitectura de datos efímera

Mirando hacia el resto de este año y más allá, la tendencia en seguridad corporativa no es guardar más, sino guardar mejor. Estamos viendo un movimiento hacia arquitecturas donde el chat por defecto es efímero (desaparece tras ser leído), y solo se conserva explícitamente aquello que el usuario marca como "registro" o "contractual". Esto invierte la carga de la prueba: en lugar de tener que justificar por qué borraste algo, el sistema te obliga a decidir conscientemente qué es lo suficientemente importante como para formar parte del archivo permanente de la empresa.

Este cambio cultural requiere que los administradores dejemos de ser simples "guardianes del almacenamiento" y nos convirtamos en arquitectos de información. Tu trabajo no es simplemente comprar discos duros más grandes; es diseñar el flujo de información para que la empresa tenga la información que necesita para defenderse en 2028, sin que el chat de hoy se convierta en la prueba de su culpa. Lo más honesto que puedo decirte es que si tu política actual es "no borrar nada porque sí", ya estás viviendo con un riesgo bomba de relojería. Define tus plazos, segmenta tus canales y automatiza la retención legal. Tu empresa te lo agradecerá cuando llegue la primera auditoría.