Un agente de voz IA procesa datos personales en cada llamada — nombre, teléfono, motivo de la consulta y, según el negocio, datos especialmente protegidos (salud en una clínica, datos de un asunto legal en un despacho). Usarlo en España es perfectamente legal, pero el RGPD pone condiciones concretas: saber quién trata los datos y dónde, informar a quien llama, firmar el contrato de encargo con el proveedor y poder atender los derechos del interesado. Nada de esto es exótico —es lo mismo que ya te exige tu gestor de correo o tu CRM—, pero con voz hay matices propios.
Esta guía repasa lo que exige la norma y las preguntas exactas que hacer a cualquier proveedor. (Es una guía práctica, no asesoramiento jurídico: para tu caso concreto, tu DPO o asesor legal tienen la última palabra.)
Lo que exige el RGPD, punto por punto
1. Base jurídica y finalidad
Atender la llamada de un cliente o interesado tiene encaje natural (ejecución de contrato o interés legítimo, según el caso), igual que cuando contesta una persona. La clave es la finalidad limitada: los datos recogidos en la llamada se usan para gestionar esa llamada — no para entrenar modelos de terceros ni para otros fines sin base propia.
2. Información al interesado (el "quién te atiende")
Quien llama debe poder saber que le atiende un sistema automatizado y que la llamada se procesa — la práctica correcta (y la que además genera confianza) es que el agente se identifique como asistente al inicio. Si grabas o transcribes, aplica lo mismo que con una grabación clásica: informar al inicio de la llamada. El detalle de la política de privacidad hace el resto.
3. Contrato de encargo de tratamiento (art. 28)
El proveedor del agente es tu encargado de tratamiento: necesitas el contrato de encargo firmado, que especifique qué datos trata, para qué, dónde y con qué subencargados (motores de voz, telefonía). Sin ese contrato no hay despliegue serio — pídelo antes de firmar nada.
4. Dónde se alojan y procesan los datos
El punto donde más se diferencian los proveedores. Muchas plataformas de voz procesan en servidores de EE. UU. por defecto, lo que exige garantías adicionales para la transferencia internacional. La opción sin fricción: datos alojados y procesados en Europa. Pregunta específicamente por cada pieza de la cadena — transcripción (STT), modelo (LLM) y síntesis de voz (TTS) pueden ser proveedores distintos, y basta uno fuera para que haya transferencia.
5. Minimización y conservación
El agente debe recoger lo necesario para la gestión —no más— y las transcripciones deben tener un plazo de conservación definido, igual que cualquier otro registro. Un buen despliegue lo configura desde el diseño: qué se guarda, cuánto tiempo, quién accede.
6. Derechos del interesado
Acceso, supresión, oposición: si un cliente pide qué datos tienes de sus llamadas o que se borren, tienes que poder atenderlo. La ventaja práctica de un agente bien montado es que todo queda registrado y localizable — más trazable que las notas de papel de un teléfono humano.
7. Datos especialmente protegidos (clínicas, despachos)
En salud o asuntos legales, el listón sube: el agente debe recoger lo imprescindible y no hacer valoraciones (agenda la cita, no pregunta el historial), y los requisitos de alojamiento europeo y encargo de tratamiento pasan de recomendables a innegociables. Así lo aplicamos en clínicas y despachos.
Las preguntas exactas para el proveedor
- ¿Dónde se alojan y procesan los datos — incluidos STT, LLM y TTS? ¿Todo en la UE?
- ¿Firmáis contrato de encargo de tratamiento con lista de subencargados?
- ¿Las conversaciones se usan para entrenar modelos? (La respuesta debe ser no, salvo acuerdo expreso.)
- ¿Cómo se informa a quien llama y cómo se identifica el agente?
- ¿Qué plazos de conservación tienen transcripciones y grabaciones, y cómo se borran?
- ¿Cómo atendéis una solicitud de acceso o supresión de un interesado?
Un proveedor serio responde las seis por escrito sin despeinarse. Las evasivas en la 1 o la 3 son descalificatorias. (La lista completa de comprobaciones pre-firma, más allá del RGPD, está en qué preguntar antes de contratar.)
Preguntas frecuentes
¿Es legal usar un agente de voz IA con datos de clientes en España?
Sí, cumpliendo el RGPD como con cualquier tratamiento: base jurídica y finalidad claras, información a quien llama, contrato de encargo con el proveedor, datos con garantías (idealmente alojados en Europa), plazos de conservación y capacidad de atender los derechos del interesado. No exige autorizaciones especiales; exige hacerlo bien.
¿El agente tiene que decir que es una IA?
Es la práctica correcta y la que recomendamos configurar: el agente se identifica como asistente al inicio. Además de transparencia, funciona mejor comercialmente — la naturalidad de la conversación hace el resto.
¿Puedo usar un agente de voz en una clínica, con datos de salud?
Sí, con el listón alto: alojamiento y procesamiento en Europa, encargo de tratamiento firmado, el agente limitado a gestión (citas, información general) sin recoger historial clínico, y conservación definida. En salud, estos puntos van por escrito o no hay proyecto.
¿Qué pasa si mi proveedor procesa en EE. UU.?
Hay vías legales (garantías de transferencia), pero añaden complejidad y dependencia de marcos que cambian. La opción robusta para una pyme es el proveedor con toda la cadena en Europa — es una de las diferencias reales entre plataformas construidas para el mercado americano y soluciones diseñadas para España (la comparativa).
¿Las llamadas se usan para entrenar la IA?
No deben, salvo que lo acuerdes expresamente. Es una pregunta obligada al proveedor: tus llamadas son datos de tus clientes, no materia prima. Exige la respuesta en el contrato de encargo.
En resumen
El RGPD no es un obstáculo para usar agentes de voz — es el filtro que separa proveedores serios de improvisados. Los seis puntos de arriba se resuelven con un buen contrato de encargo, cadena de procesamiento en Europa y un agente configurado para recoger lo justo e identificarse. Nosotros trabajamos así por defecto; si quieres las respuestas a las seis preguntas por escrito para tu caso, escríbenos — y el resto de criterios de elección están en cómo elegir un agente de voz IA.