≡En resumen
- Cada finalidad necesita su base jurídica: gestionar la petición suele apoyarse en el contrato, mientras que grabar para calidad exige interés legítimo bien ponderado o consentimiento.
- La información se puede dar por capas: un aviso breve en la llamada con responsable, finalidad y derechos, y el resto en una página de tu web.
- Desde el 2 de agosto de 2026 es aplicable el artículo 50 del Reglamento de IA: quien llama debe saber que habla con un sistema de IA, salvo que sea evidente.
- En clínicas y consultas la llamada suele contener datos de salud, una categoría especial que aconseja minimizar, no grabar por defecto y valorar una evaluación de impacto.
- El proveedor de voz e IA es un encargado del tratamiento: necesitas un contrato del artículo 28 del RGPD y revisar si sus servidores o subencargados están fuera del Espacio Económico Europeo.
01 Qué datos tratas cuando una IA graba y transcribe una llamada
Una llamada atendida por un agente de voz genera bastantes más datos personales de los que parece. No solo está la voz: también el texto de la conversación, el resumen que se guarda en tu sistema y el registro técnico de cada llamada. Todo eso son datos personales y el RGPD se aplica a cada uno de ellos.
Si aún no tienes claro qué es un agente de voz con IA y cómo procesa una conversación por dentro, empieza por ahí: entenderás mejor por qué cada pieza del sistema tiene sus propias obligaciones.
Audio de la llamada
La grabación completa o parcial. Es el dato más delicado: contiene la voz, el tono y todo lo que se dice, incluido lo que no hacía falta contar.
Transcripción
El texto de la conversación generado por el reconocimiento del habla. Es más fácil de buscar, copiar y compartir, lo que también lo hace más fácil de filtrar.
Resumen y datos extraídos
Nombre, teléfono, motivo de la llamada, cita reservada o pedido. Es lo que realmente necesitas para trabajar y lo que suele acabar en tu CRM.
Metadatos
Número de origen, fecha, hora, duración, transferencias y resultado de la llamada. Aunque no haya grabación, siguen siendo datos personales.
Las mismas reglas valen para un chatbot de atención al cliente que recoge datos por escrito. Aquí nos centramos en el teléfono, porque la voz añade dos problemas propios: el aviso tiene que darse hablando, en pocos segundos, y la grabación captura mucha más información de la necesaria.
02 Base jurídica para grabar llamadas: consentimiento, contrato o interés legítimo
El artículo 6.1 del RGPD dice que un tratamiento solo es lícito si se cumple al menos una de las bases que enumera. El consentimiento es una de ellas, pero no la única, y no siempre la más adecuada. La clave es pensar en finalidades, no en «la grabación» en general: atender la llamada, dejar constancia de lo acordado y revisar la calidad del servicio son finalidades distintas y pueden tener bases distintas.
Decide la base de cada finalidad antes de activar el agente, porque condiciona lo que tienes que contar al cliente y los derechos que puede ejercer.
| Finalidad | Base que suele plantearse | Qué implica en la práctica |
|---|---|---|
| Atender la llamada y gestionar la petición (cita, reserva, pedido, presupuesto) | Ejecución de un contrato o de medidas precontractuales a petición del interesado (art. 6.1.b RGPD) | Solo puedes tratar los datos necesarios para esa gestión |
| Transcribir y resumir para registrar la gestión | La misma, cuando el registro es necesario para prestar el servicio | Guarda el resumen; el audio completo no suele ser imprescindible |
| Grabar el audio para control de calidad o formación | Interés legítimo con ponderación documentada (art. 6.1.f) o consentimiento (art. 6.1.a) | Con interés legítimo, el cliente puede oponerse (art. 21); con consentimiento, puede negarse y retirarlo |
| Quejas y reclamaciones en empresas sujetas a la Ley 10/2025 | La propia ley obliga a grabar si el cliente da su consentimiento expreso (art. 12.1) | Indicar cómo acceder a la grabación y conservarla al menos hasta notificar la resolución |
| Mejorar o entrenar modelos de IA con tus llamadas | Finalidad distinta que necesitaría su propia base y su propia información | Lo prudente es excluirlo expresamente en el contrato con el proveedor |
El interés legítimo no es un comodín. Exige comparar tu interés (por ejemplo, revisar errores del agente) con las expectativas y derechos de quien llama, y dejar esa ponderación por escrito. Si la llamada puede contener datos sensibles, esa balanza se inclina con facilidad hacia el cliente.
03 Cómo informar al cliente: primera capa en la llamada y segunda en la web
El artículo 13 del RGPD obliga a informar en el momento en que obtienes los datos, es decir, al principio de la llamada. Leer una política de privacidad completa por teléfono sería absurdo, y la ley española lo resuelve con la información por capas: el artículo 11 de la Ley de Protección de Datos (LOPDGDD) permite dar una información básica y remitir a una dirección electrónica u otro medio donde consultar el resto de forma sencilla e inmediata.
Esa información básica debe incluir, como mínimo, la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si vas a elaborar perfiles con los datos, también hay que decirlo.
-
1
Preséntate como IA
La primera frase identifica a tu empresa y deja claro que atiende un asistente virtual con inteligencia artificial.
-
2
Avisa de la grabación o transcripción
Di qué haces con la llamada (grabar, transcribir o ambas) y para qué, con palabras sencillas.
-
3
Identifica al responsable
El nombre de la empresa que decide sobre los datos, que puede no coincidir con tu nombre comercial.
-
4
Menciona los derechos y dónde ampliar
Indica que se pueden ejercer los derechos de protección de datos y una dirección web fácil de recordar con la información completa.
-
5
Ofrece la alternativa
Si la grabación depende del consentimiento, pregunta y respeta la respuesta. Y recuerda cómo hablar con una persona.
«Hola, has llamado a Clínica Ejemplo. Te atiende un asistente virtual con inteligencia artificial. Transcribimos esta llamada para gestionar tu cita; el responsable es Clínica Ejemplo S.L. Puedes ejercer tus derechos de acceso, supresión y demás, y leer toda la información en clinicaejemplo.es/privacidad. ¿Nos autorizas además a grabar el audio para revisar la calidad del servicio? Si en cualquier momento prefieres hablar con una persona, dímelo.»
Es un ejemplo para ilustrar la estructura, no un texto legal validado. Adáptalo a tus finalidades y bases jurídicas reales y haz que lo revise quien lleve tu protección de datos.
| Información | Apartado del artículo 13 |
|---|---|
| Identidad y datos de contacto del responsable | 13.1.a |
| Contacto del delegado de protección de datos, si lo tienes | 13.1.b |
| Finalidades y base jurídica de cada una | 13.1.c |
| Intereses legítimos concretos, si usas esa base | 13.1.d |
| Destinatarios o categorías de destinatarios, como el proveedor de voz e IA | 13.1.e |
| Transferencias fuera del Espacio Económico Europeo y garantías aplicadas | 13.1.f |
| Plazo de conservación o criterios para fijarlo | 13.2.a |
| Derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad | 13.2.b |
| Derecho a retirar el consentimiento, cuando sea la base | 13.2.c |
| Derecho a reclamar ante la autoridad de control (en España, la AEPD) | 13.2.d |
| Existencia de decisiones automatizadas y elaboración de perfiles, si las hay | 13.2.f |
04 Avisar de que habla con una IA: Reglamento de IA y Ley 10/2025
Además del RGPD, la llamada tiene que cumplir la transparencia propia de la IA. El artículo 50.1 del Reglamento europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689) exige que los sistemas de IA destinados a interactuar directamente con personas se diseñen para que estas sepan que están hablando con una IA, salvo que resulte evidente para una persona razonablemente informada. Según su artículo 50.5, esa información debe darse de manera clara y distinguible, como tarde en la primera interacción.
Formalmente la obligación recae en el proveedor del sistema, pero en un agente de voz el saludo lo configuras tú. Lo práctico es asumirlo como propio y decirlo en la primera frase. Esta obligación es aplicable desde el 2 de agosto de 2026, según el artículo 113 del Reglamento.
- ✓El saludo deja claro que atiende un asistente virtual o un sistema de inteligencia artificial.
- ✓El agente no se hace pasar por una persona ni usa un nombre humano sin aclarar que es una IA.
- ✓Si alguien pregunta «¿eres una máquina?», responde con la verdad.
- ✓Quien llama puede pedir una persona y el agente sabe cuándo y a quién transferir.
- ✓Si usas análisis de emociones a partir de la voz, revisa antes si es un sistema de reconocimiento de emociones y qué exige el Reglamento.
Si tu empresa está dentro del ámbito de la Ley 10/2025 de servicios de atención a la clientela (servicios básicos como suministros, transporte o telecomunicaciones, y empresas grandes que venden a consumidores), hay dos reglas más: los sistemas automatizados deben permitir pedir atención por una persona en cualquier momento de la interacción (art. 8.2), y las quejas o reclamaciones presentadas por teléfono deben grabarse si el cliente da su consentimiento expreso (art. 12.1). Si todavía estás valorando si te conviene un agente de voz o tu centralita de siempre, incluye estas obligaciones en la comparación.
05 Datos de salud en llamadas: clínicas, consultas y otras categorías especiales
El artículo 9.1 del RGPD prohíbe, salvo excepciones, tratar categorías especiales de datos, entre ellas los datos relativos a la salud y los datos biométricos dirigidos a identificar a una persona. Y el concepto de dato de salud es amplio: el artículo 4.15 incluye la información sobre la prestación de servicios de atención sanitaria que revele el estado de salud de alguien.
En la práctica, una llamada para pedir cita con el ginecólogo o un «me duele la muela desde ayer» ya contiene datos de salud. Si atiendes llamadas de una clínica, una consulta o un centro de fisioterapia, parte de tu tráfico telefónico será siempre sensible.
| Situación | Qué tener en cuenta |
|---|---|
| Dar, cambiar o cancelar citas sanitarias | La gestión de la asistencia sanitaria tiene su propia excepción (art. 9.2.h RGPD), pero limita lo que se pregunta al mínimo necesario |
| Grabar el audio para revisar la calidad | No encaja de forma automática en la gestión de la asistencia: valora el consentimiento explícito (art. 9.2.a) o, mejor, no grabar el audio |
| Reconocer al paciente por su voz | Pasa a ser un dato biométrico (art. 4.14) y una categoría especial: evítalo salvo que esté muy justificado |
| Reutilizar las llamadas para entrenar modelos | Es una finalidad nueva sobre datos sensibles: exclúyela en el contrato con el proveedor |
Un buen diseño reduce el riesgo antes de que llegue al papel: el agente no pregunta síntomas si no los necesita para dar la cita, deriva cualquier posible urgencia a una persona y guarda solo el resumen administrativo. Es la forma en que planteamos la IA para clínicas dentales: automatizar las citas sin convertir el teléfono en un archivo de datos médicos.
06 Cuánto tiempo guardar grabaciones y transcripciones
No hay un plazo legal único para todas las grabaciones de llamadas. Lo que fija el RGPD son dos principios: minimización (art. 5.1.c), es decir, tratar solo los datos adecuados, pertinentes y limitados a lo necesario, y limitación del plazo de conservación (art. 5.1.e), que impide guardarlos más tiempo del necesario para su finalidad. Además, debes informar del plazo o de los criterios para fijarlo.
Cuando la finalidad termina, la LOPDGDD (art. 32) prevé el bloqueo: los datos se reservan solo para atender posibles responsabilidades ante jueces o autoridades durante el plazo de prescripción y después se destruyen.
| Dato | Para qué lo guardas | Plazo de ejemplo |
|---|---|---|
| Audio completo | Revisar errores del agente y calidad | Corto y con borrado automático, por ejemplo 30 días |
| Transcripción | Resolver dudas sobre lo que se habló | Mientras dure la gestión, más un margen breve |
| Resumen en el CRM | Historial de la relación con el cliente | Mientras dure la relación comercial |
| Grabación de una reclamación (Ley 10/2025) | Constancia de la queja | Al menos hasta notificar la resolución al cliente |
| Datos bloqueados | Atender posibles responsabilidades | Solo el plazo de prescripción, sin otro uso |
- ✓Desactiva la grabación de audio cuando con la transcripción o el resumen sea suficiente.
- ✓Configura el agente para que no pida datos que no necesita, como el DNI para una simple consulta.
- ✓No grabes ni transcribas números de tarjeta: deriva los pagos a un canal seguro.
- ✓Enmascara en las transcripciones los datos sensibles que no aporten nada a la gestión.
- ✓Programa el borrado automático en la plataforma de voz y revisa que también se aplica en las copias.
Lo que sí merece guardarse es el resumen estructurado de cada llamada en tu CRM: es útil para el equipo y contiene muchos menos datos que una grabación. Ten en cuenta también las copias de seguridad, porque un plazo de borrado que no llega a los backups no se está cumpliendo del todo.
07 El proveedor de voz e IA: contrato de encargado y transferencias internacionales
La plataforma que atiende la llamada trata los datos por tu cuenta, así que es un encargado del tratamiento. El artículo 28.3 del RGPD exige un contrato o acto jurídico que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados. Detrás de un agente de voz suele haber una cadena: operador de telefonía, reconocimiento del habla, modelo de lenguaje y síntesis de voz. Cada eslabón que toque datos es un subencargado, y según el artículo 28.2 necesita tu autorización previa por escrito, específica o general.
- ✓Solo trata los datos siguiendo tus instrucciones documentadas, también en cuanto a transferencias internacionales.
- ✓Su personal está sujeto a confidencialidad.
- ✓Aplica las medidas de seguridad del artículo 32 del RGPD.
- ✓Te informa de los subencargados y de sus cambios para que puedas oponerte.
- ✓Te ayuda a atender los derechos de los clientes y a cumplir las obligaciones de los artículos 32 a 36.
- ✓Al terminar el servicio, suprime o devuelve los datos, a tu elección.
- ✓Te facilita la información necesaria para demostrar el cumplimiento y permite auditorías.
Mira también dónde están los servidores. Si el proveedor o alguno de sus subencargados trata los datos fuera del Espacio Económico Europeo, se aplican las reglas de transferencias internacionales del capítulo V del RGPD: una decisión de adecuación, como la del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023) para empresas estadounidenses certificadas, o garantías adecuadas como las cláusulas contractuales tipo. Y debes mencionarlo en la segunda capa de información.
Esta revisión de proveedores no es exclusiva del teléfono: es la misma que conviene hacer cada vez que vas a implantar inteligencia artificial en tu empresa con herramientas de terceros.
08 Evaluación de impacto y medidas de seguridad para las grabaciones
El artículo 35 del RGPD obliga a hacer una evaluación de impacto (EIPD) antes de empezar cuando un tratamiento probablemente entrañe un alto riesgo, en particular si usa nuevas tecnologías. Entre los casos que cita expresamente está el tratamiento a gran escala de categorías especiales de datos. La AEPD publicó una lista orientativa de criterios y señala que, en la mayoría de los casos, cumplir dos o más implica que la EIPD es necesaria.
| Criterio de la lista | Cuándo puede darse en llamadas con IA |
|---|---|
| Nuevas tecnologías o uso innovador de tecnologías consolidadas | Modelos de lenguaje y voz aplicados a conversaciones con clientes |
| Categorías especiales de datos | Clínicas, consultas, seguros o cualquier llamada donde se hable de salud |
| Datos biométricos para identificar a una persona | Verificación de la identidad por la voz |
| Tratamiento a gran escala | Volumen alto de llamadas o de clientes afectados |
| Perfilado o decisiones automatizadas | Puntuar clientes o decidir sin intervención humana si se atiende una petición |
| Sujetos vulnerables | Llamadas de menores de 14 años o de personas mayores con algún grado de discapacidad, entre otros |
2 o más
criterios de la lista hacen necesaria la evaluación de impacto en la mayoría de los casos
Fuente: AEPD, lista de tratamientos que requieren EIPD (art. 35.4 RGPD)
72 horas
plazo máximo, cuando sea posible, para notificar a la AEPD una brecha de seguridad con riesgo
Fuente: RGPD, artículo 33
- ✓Cifrado de las grabaciones y transcripciones en tránsito y en reposo.
- ✓Acceso por roles: solo quien lo necesita escucha audios o lee transcripciones completas.
- ✓Registro de accesos y descargas, revisado de forma periódica.
- ✓Doble factor de autenticación en el panel de la plataforma de voz.
- ✓Pruebas periódicas de que las medidas funcionan, como prevé el artículo 32.1.d del RGPD.
- ✓Procedimiento escrito para detectar, documentar y notificar una brecha de seguridad.
09 Acceso, supresión y oposición: derechos sobre las grabaciones
Quien llama mantiene todos sus derechos sobre la grabación y la transcripción. Tienes que responder sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la solicitud, prorrogable otros dos meses si es complejo, avisando de la prórroga dentro del primer mes (art. 12.3 RGPD).
Acceso y copia
El cliente puede pedir saber qué datos tienes y obtener una copia (art. 15.3). La copia no debe perjudicar los derechos de otras personas que aparezcan en la llamada (art. 15.4).
Rectificación
Si la transcripción recoge mal un nombre, una dirección o lo acordado, el cliente puede pedir que se corrija (art. 16).
Supresión
Puede pedir que borres sus datos cuando ya no sean necesarios, retire el consentimiento o se oponga con éxito, entre otros supuestos (art. 17).
Oposición
Si grabas por interés legítimo, puede oponerse por motivos relacionados con su situación particular, y debes dejar de tratar sus datos salvo motivos legítimos imperiosos (art. 21).
1 mes
plazo general para responder a una solicitud de derechos, prorrogable dos meses más
Fuente: RGPD, artículo 12.3
15 a 22
artículos del RGPD con los derechos que debes mencionar ya en la primera capa de información
Fuente: LOPDGDD, artículo 11.2
10 Checklist antes de activar la grabación en tu agente de voz
- ✓Has listado las finalidades (gestión, registro, calidad, reclamaciones) y la base jurídica de cada una.
- ✓El saludo dice que atiende una IA, quién es el responsable, para qué se graba o transcribe y dónde ampliar información.
- ✓La segunda capa está publicada en tu web con todo lo que exige el artículo 13 del RGPD.
- ✓Quien llama puede negarse a la grabación, si depende del consentimiento, y pedir una persona.
- ✓Has decidido qué se guarda (audio, transcripción, resumen) y durante cuánto tiempo, con borrado automático.
- ✓El agente no pregunta datos innecesarios y deriva a una persona los temas sensibles o urgentes.
- ✓Tienes firmado el contrato de encargado con el proveedor, conoces sus subencargados y el contrato excluye que use tus llamadas para entrenar sus modelos.
- ✓Sabes dónde se tratan los datos y qué garantía cubre cualquier transferencia fuera del Espacio Económico Europeo.
- ✓Has valorado si necesitas una evaluación de impacto, has documentado la decisión y el tratamiento figura en tu registro de actividades.
- ✓Puedes localizar, exportar y borrar las llamadas de una persona para atender sus derechos.
Ninguno de estos puntos impide automatizar el teléfono. Al contrario: tomar estas decisiones al principio hace que el agente sea más sencillo, recoja menos datos y genere más confianza. Si vas a poner en marcha un asistente telefónico con inteligencia artificial, incluye la protección de datos en el diseño de la conversación y no como un añadido al final.
Preguntas frecuentes
Sí, siempre que cada finalidad tenga una base jurídica del artículo 6 del RGPD, informes al inicio de la llamada y conserves los datos solo el tiempo necesario. Con datos de salud u otras categorías especiales, las exigencias son mayores.
No. La información básica debe incluir, como mínimo, quién es el responsable, para qué se tratan los datos y que se pueden ejercer los derechos, además de indicar dónde consultar el resto de la información, según el artículo 11 de la LOPDGDD.
Depende de la finalidad. Si la transcripción es necesaria para gestionar lo que pide el cliente, suele apoyarse en la ejecución del contrato o de medidas precontractuales. Para usos adicionales, como revisar la calidad, necesitas otra base, que puede ser el interés legítimo o el consentimiento.
Sí. El artículo 50 del Reglamento europeo de IA, aplicable desde el 2 de agosto de 2026, exige que las personas sepan que interactúan con un sistema de IA salvo que sea evidente, como tarde en la primera interacción. Lo más sencillo es decirlo en el saludo.
No hay un plazo único: solo el tiempo necesario para la finalidad, y debes informar de ese plazo o de los criterios para fijarlo. Después, los datos se bloquean durante el plazo de prescripción de posibles responsabilidades y se destruyen.
Si la grabación se basa en el consentimiento, continúa la llamada sin grabar o pásala a una persona. Si se basa en el interés legítimo, el cliente puede oponerse y debes atender su petición salvo que acredites motivos legítimos imperiosos.
Como encargado del tratamiento, solo debe tratar los datos siguiendo tus instrucciones. Si los usa para sus propios fines, el RGPD lo considera responsable de ese tratamiento. Lo recomendable es excluirlo expresamente en el contrato.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗
