Privacidad y RGPD en agentes de voz IA: guía para empresas

Un agente de voz procesa datos personales en cada llamada: la voz del cliente, su número, y todo lo que cuenta durante la conversación. Por eso el RGPD en agentes de voz no es un detalle técnico que resolver al final del proyecto, sino una decisión de diseño que condiciona qué proveedor eliges, dónde se procesa el audio y qué le dices al llamante en los primeros segundos. Bien resuelto, es una ventaja competitiva; ignorado, es un riesgo innecesario.

Esta guía recoge lo que una empresa debe tener claro antes de poner un agente telefónico IA a atender su teléfono.

Qué exige el RGPD en agentes de voz con IA

La normativa europea de protección de datos no menciona a los agentes de voz, pero sus principios aplican con total claridad. El tratamiento necesita una base jurídica: en la mayoría de los casos, el interés legítimo de atender al cliente que llama o la ejecución de la relación contractual. El llamante debe saber quién trata sus datos y para qué. Y los datos recogidos deben limitarse a lo necesario: un agente que agenda citas no necesita conservar la conversación completa indefinidamente.

Hay un matiz específico de la voz: es un dato personal en sí misma, y si se usara para identificar a la persona por sus características físicas se convertiría en dato biométrico, con exigencias reforzadas. Los agentes telefónicos de atención al cliente no identifican por voz — usan el audio solo para entender qué se dice — pero conviene que el proveedor lo deje por escrito.

Grabación y transcripción de llamadas: qué es legal y qué no

Grabar llamadas es legal si se cumplen tres condiciones: informar antes de que empiece la conversación, tener una finalidad concreta (calidad, formación del sistema, registro de la gestión) y no conservar las grabaciones más tiempo del necesario para esa finalidad.

La transcripción automática — convertir la llamada en texto para que el sistema la procese — sigue las mismas reglas. Lo que marca la diferencia es el destino de esos datos: un agente serio se entrena con el conocimiento del negocio y no envía las conversaciones de tus clientes a entrenar modelos de terceros. Es la primera pregunta que deberías hacer a cualquier proveedor.

Lo que no es defendible: grabar sin avisar, usar las conversaciones para finalidades distintas de las declaradas, o conservarlas "por si acaso" sin plazo definido.

Cómo informar al llamante sin ahuyentarlo

La obligación de informar se resuelve en la práctica con una locución breve al inicio: quién atiende, que la llamada puede grabarse y dónde consultar más información. No hace falta leer una política de privacidad entera — basta la información esencial por capas, con el detalle disponible en la web.

Hay además una cuestión de honestidad que va más allá de la norma: el llamante debe saber que habla con un asistente inteligente y no con una persona. La experiencia real es que a la mayoría le importa poco, siempre que le resuelvan rápido. La transparencia genera confianza; el disimulo, cuando se descubre, la destruye.

Dónde se procesan los datos de voz: cloud, UE o tu servidor

Es la decisión de arquitectura con más peso normativo. Tres opciones habituales: proveedores cloud que procesan en centros de datos de la UE, proveedores con transferencias internacionales amparadas en cláusulas contractuales tipo, y despliegues sobre infraestructura propia para quien exige control total.

Para la mayoría de las empresas, un proveedor con procesamiento en la UE y compromisos contractuales claros es el equilibrio razonable entre garantías y coste. Sectores con requisitos reforzados — legal, sanitario, financiero — pueden justificar arquitecturas donde el dato nunca sale de su control. Es una conversación que debe darse en el diseño, no después del incidente: en cómo trabajamos esta decisión aparece en la primera sesión de cada proyecto de voz.

Cuánto tiempo puedes conservar las conversaciones

El RGPD no fija plazos concretos: exige que los definas y los cumplas. El criterio es la finalidad. Una grabación para verificar la calidad de la gestión pierde su sentido en semanas; el registro de una cita agendada puede justificar conservar los datos de la gestión mientras la relación con el cliente siga viva; y ciertas gestiones con relevancia contractual pueden requerir plazos mayores.

Lo operativo es sencillo: definir plazos por tipo de dato, automatizar el borrado y documentarlo en el registro de actividades de tratamiento. Un agente bien construido hace esto solo — es software, y borrar a plazo fijo es trivial si se diseña desde el principio.

Privacidad en la práctica: cómo lo resolvimos en un bufete real

Pocos sectores son tan sensibles con la confidencialidad como el legal. En el agente telefónico que construimos para un bufete, que conversa en castellano, agenda citas y gestiona recados con notificación en tiempo real al equipo, la privacidad fue requisito de diseño: el llamante es informado al inicio, los datos de cada gestión quedan registrados en el panel del despacho — no en sistemas de terceros fuera de su control — y el contenido de los recados solo es accesible para el equipo autorizado.

El aprendizaje trasladable a cualquier sector: el cumplimiento no se añade al final, se decide al principio. Y cuando el proveedor construye el agente a medida, las decisiones de privacidad se adaptan a tu negocio y no al revés.

Si estás valorando poner voz inteligente a tu teléfono, el RGPD no es el obstáculo que a veces se pinta: es una lista de decisiones razonables que, tomadas a tiempo, se resuelven en el diseño. Las empresas que llevan años grabando llamadas en sus centralitas ya conviven con estas mismas reglas — la IA solo obliga a hacerlas explícitas.