Un agente de voz con inteligencia artificial puede atender llamadas y gestionar citas tratando datos como el teléfono, el nombre o la información de una reserva. No todas las soluciones graban conversaciones, pero incluso cuando no conservan audio puede existir tratamiento de datos personales. Para saber si un sistema cumple la normativa hay que revisar qué procesa, qué almacena, por qué y durante cuánto tiempo.
Nota: Este artículo es información general para negocios en España. No constituye asesoramiento jurídico ni certifica el cumplimiento de una implementación concreta.
¿Qué datos puede tratar un agente de voz durante una llamada?
Una persona llama para cambiar una cita. Explica su nombre, indica el día de la reserva y facilita un teléfono de contacto. Para realizar esa gestión, el asistente puede necesitar interpretar la petición, localizar la cita y actualizarla en la agenda.
Todo ello plantea preguntas concretas. ¿A qué sistemas llega la información? ¿Qué se guarda finalmente? ¿Quién puede consultarla? ¿Cuándo se elimina?
El Reglamento General de Protección de Datos (RGPD), en su artículo 4, considera dato personal cualquier información relativa a una persona identificada o identificable. No se limita a nombres y apellidos: una combinación de teléfono, cita y observaciones puede identificar a alguien.
Según la solución y su configuración, durante una llamada podrían intervenir estos elementos:
| Información | Para qué podría utilizarse | ¿Se tiene que conservar? |
|---|---|---|
| Número de teléfono | Identificar o devolver una llamada | Depende de la finalidad y la configuración |
| Nombre | Localizar o registrar una cita | Solo cuando resulte necesario |
| Fecha, hora y servicio | Crear o modificar una reserva | Puede ser necesario en la agenda |
| Audio en tiempo real | Interpretar lo que dice la persona | No implica conservar una grabación |
| Transcripción o resumen | Dar continuidad a una solicitud | No debe guardarse por defecto sin finalidad definida |
| Registros técnicos | Diagnosticar errores o gestionar el servicio | Revisar contenido, acceso y plazo de conservación |
La tabla no describe los datos efectivamente almacenados por todos los proveedores ni por S.A.R.A.; muestra categorías que hay que investigar.
El criterio correcto no es guardar todo por si algún día sirve. El artículo 5 del RGPD exige limitar los datos a lo necesario para fines determinados y no conservarlos indefinidamente. Esto se conoce como minimización y limitación del plazo de conservación.
¿Procesar audio significa grabar y guardar la llamada?
No. Son acciones distintas, aunque a menudo se confunden.
Un asistente conversacional necesita procesar la voz para interpretar palabras y responder. Ese procesamiento puede producirse durante la comunicación sin que el negocio conserve un archivo de audio al finalizar. No obstante, no grabar el audio no demuestra por sí solo que no existan transcripciones, resúmenes, registros de eventos o datos en la agenda.
Por eso conviene diferenciar al menos tres operaciones:
- Procesamiento: la información se utiliza para mantener la conversación y ejecutar la tarea.
- Grabación: la conversación se fija en un archivo que puede reproducirse después.
- Conservación: un sistema guarda audio, texto, metadatos o registros durante un plazo.
Un negocio debe conocer el recorrido completo de los datos, incluidos los servicios externos que intervengan en la llamada. También conviene comprobar si alguno mantiene información para diagnóstico, seguridad o mejora de sus productos, y si esos tratamientos están permitidos y documentados.
¿Es obligatorio pedir consentimiento para cada llamada? No se puede responder con una regla universal. El artículo 6 del RGPD contempla distintas bases jurídicas, y la adecuada depende de la finalidad y de las circunstancias. La grabación para un propósito diferente del necesario para reservar una cita requiere una evaluación específica; no debe asumirse que la misma base jurídica sirve para cualquier uso posterior.
En consecuencia, "no grabamos llamadas" es una característica técnica que debe verificarse, no una garantía automática de cumplimiento legal.
¿Qué exige el RGPD para gestionar citas con una IA?
El RGPD no prohíbe que un negocio utilice un asistente telefónico. Lo que exige es que el tratamiento de datos personales tenga fundamento y garantías adecuadas. En España, además, resulta aplicable la Ley Orgánica 3/2018 (LOPDGDD).
Para evaluar un agente de reservas conviene revisar estas cuestiones:
Finalidad y base jurídica. ¿Qué datos necesita para dar información, reservar o modificar una cita? ¿Cuál es la base jurídica de cada tratamiento? Una solicitud de reserva y una grabación con fines de formación pueden requerir análisis diferentes.
Información transparente. El artículo 13 del RGPD recoge la información que debe facilitarse cuando los datos se obtienen de la persona: identidad del responsable, finalidad, base jurídica, destinatarios, plazo de conservación y derechos, entre otros extremos. La Agencia Española de Protección de Datos (AEPD) recomienda presentarla por capas: información básica al recoger los datos y acceso sencillo al detalle.
Quién decide y quién presta el servicio. El negocio y sus proveedores pueden desempeñar funciones distintas. Cuando un proveedor trate datos por cuenta del responsable, el artículo 28 del RGPD requiere un acuerdo que regule el encargo, incluidos los servicios subcontratados cuando corresponda.
Seguridad. El artículo 32 exige medidas proporcionadas al riesgo, como controles de acceso, protección de sistemas y revisión de las medidas técnicas y organizativas. Ninguna frase comercial sustituye esa comprobación.
Conservación, derechos y transferencias. Hay que establecer durante cuánto tiempo se necesita cada dato, cómo se elimina, cómo se atienden los derechos de las personas y si existen transferencias internacionales con las garantías exigibles.
¿Hay que informar de que quien contesta es una inteligencia artificial?
El artículo 50.1 del Reglamento (UE) 2024/1689 de Inteligencia Artificial prevé que los sistemas destinados a interactuar directamente con personas se diseñen para informar de esa interacción, salvo las excepciones previstas. La información debe ser clara y darse en los términos de la norma. Conviene revisar su texto consolidado y aplicación al caso concreto antes del despliegue.
Presentar el agente como asistente automático desde el inicio evita que quien llama piense que está hablando con una persona. Pero informar de que se trata de una IA y cumplir el deber de información del RGPD son obligaciones diferentes: una presentación breve no sustituye por sí sola toda la información de privacidad.
¿Qué pasa si la llamada incluye información de salud?
No todas las agendas contienen el mismo tipo de información. Una cita en una peluquería no plantea necesariamente los mismos riesgos que una consulta en una clínica.
En un entorno sanitario, una persona podría explicar espontáneamente síntomas, tratamientos o diagnósticos. Los datos relativos a la salud son una categoría especial regulada en el artículo 9 del RGPD, por lo que su tratamiento necesita una condición habilitante adicional y garantías adecuadas.
Por eso, una solución para citas sanitarias debería delimitar muy bien qué preguntas puede hacer y qué información necesita realmente. Si basta con registrar el servicio, la franja horaria y un contacto, no hay motivo operativo para pedir una historia clínica completa.
También es importante diferenciar gestionar una cita de dar consejo médico. Un asistente de agenda no debería improvisar diagnósticos ni respuestas clínicas fuera de su función. Cuando la petición exceda lo previsto, debe existir un procedimiento claro para derivarla a profesionales o a un canal adecuado.
El análisis debe adaptarse a cada actividad. No es correcto etiquetar cualquier agente telefónico como seguro para clínicas simplemente porque funcione correctamente en otro tipo de negocio.
¿Cómo lo hemos abordado en meiika?
En meiika diseñamos sistemas a medida. Uno de nuestros casos demostrativos es S.A.R.A. — Sistema de Atención, Reservas y Agenda, un asistente de voz para negocios con cita previa.
S.A.R.A. se presenta al comenzar la llamada como asistente automático, ofrece información sobre servicios y horarios, consulta la agenda, gestiona reservas, modificaciones o cancelaciones y puede dejar una nota al equipo cuando no resuelve la petición. Antes de guardar operaciones, confirma los datos relevantes.
En esta demostración no grabamos el audio de las llamadas: la grabación de audio está desactivada en la configuración. La plataforma que orquesta la llamada puede conservar registros o transcripciones según su configuración, y los datos de una cita (nombre, teléfono, servicio y hora) se guardan en una base de datos en la Unión Europea. Estamos revisando contratos y plazos de conservación con cada proveedor, y la demo que puedes escuchar es una grabación con datos ficticios.
No afirmamos por ello que no exista ningún tratamiento de datos, que todos los registros se eliminen inmediatamente ni que S.A.R.A. disponga de una certificación de cumplimiento. Son aspectos distintos que requieren comprobar la infraestructura y los contratos correspondientes, y es precisamente lo que estamos revisando antes de ofrecerla a un negocio real.
Puedes escuchar la demo de S.A.R.A. y consultar la política de privacidad de meiika.es, que explica cómo tratamos los datos de la web y de la demostración. S.A.R.A. es un caso demostrativo, no un producto al que atribuyamos clientes o resultados que no hemos acreditado.
¿Qué conviene comprobar antes de contratar un agente?
Antes de poner un asistente en producción, recomendamos solicitar respuestas concretas sobre su funcionamiento. No basta con que alguien diga que la solución "cumple el RGPD".
- Mapa de datos: qué información recibe cada proveedor y dónde se almacena.
- Audio y texto: si se guarda una grabación, una transcripción, un resumen o registros técnicos.
- Plazos: cuánto tiempo se conserva cada categoría y cómo se realiza la eliminación.
- Contratos: quién es responsable, quién actúa como encargado y qué subencargados intervienen.
- Accesos: quién puede ver las conversaciones, las agendas y los registros.
- Incidencias: qué sucede si la IA interpreta mal una solicitud o falla una integración.
- Privacidad: cómo recibe información quien llama y cómo puede ejercer sus derechos.
- Datos sensibles: qué límites adicionales se aplican si el servicio atiende clínicas u otros sectores delicados.
El objetivo no es acumular documentos: es poder explicar con precisión qué ocurre desde que entra una llamada hasta que la cita queda gestionada y los datos dejan de ser necesarios.