Centraleta amb IA i la llei: RGPD, gravació de trucades i AI Act

Posar una centraleta amb IA al teu negoci té una part legal que convé entendre abans d’activar-la, no després. No és complicada, però toca tres normes alhora: el Reglament europeu d’intel·ligència artificial, el RGPD i, en alguns casos, la llei espanyola d’atenció a la clientela.

Aquest article resumeix el que demana cadascuna a un negoci petit que fa servir un assistent telefònic amb IA. És una guia pràctica, no assessorament jurídic: si treballes amb dades especialment delicades o tens dubtes sobre el teu cas, consulta-ho amb qui porti la teva protecció de dades.

Avisar que és una IA: el que demana l’AI Act

El Reglament (UE) 2024/1689, conegut com a AI Act o Reglament d’IA, té un article dedicat a la transparència, el 50. El primer apartat diu, en essència, que els sistemes d’IA pensats per interactuar amb persones han d’estar dissenyats de manera que aquestes persones sàpiguen que parlen amb una IA, tret que sigui evident.

Aquesta obligació s’aplica des del 2 d’agost de 2026, que és la data general d’aplicació del reglament. La reforma aprovada aquest any per endarrerir altres parts de la norma, l’anomenat òmnibus digital, va ajornar sobretot les obligacions dels sistemes d’alt risc, però no el deure d’avisar que es parla amb una IA, tal com recull, per exemple, l’anàlisi de Morgan Lewis.

En una trucada, allò «evident» no existeix: una veu neuronal ben feta sona natural. Així que la manera pràctica de complir és la més senzilla: que l’assistent ho digui en començar. Amb un «Hola, soc l’assistent virtual de la clínica» n’hi ha prou. La nostra centraleta ho fa sempre, i el xatbot també ho fa en començar la conversa.

A més de complir la norma, és el que evita que algú se senti enganyat quan ho descobreixi, perquè ho descobrirà.

Quines dades es tracten en una trucada

Abans de parlar del RGPD convé tenir clar quines dades fa servir una centraleta amb IA:

• El número de telèfon de qui truca.
• La veu, que és una dada personal.
• El que explica: nom, motiu de la trucada, la cita que demana.
• El que es genera: la transcripció o el resum que t’arriba per WhatsApp o per correu, i la cita a la teva agenda.

Tot això és tractament de dades personals, i qui respon davant del client ets tu, perquè el negoci és teu. En el llenguatge del RGPD, ets el responsable del tractament.

Informar qui truca

L’article 13 del RGPD obliga a informar la persona quan se’n recullen les dades: qui les tracta, per a què, amb quina base jurídica, a qui es comuniquen, quant de temps es conserven i com pot exercir els seus drets.

En una trucada no té sentit llegir una política de privadesa sencera. El més habitual és fer-ho per capes:

• En començar la trucada, una frase breu: qui tracta les dades, per a què i on es pot consultar la resta.
• Al web, la informació completa a la política de privadesa, que ha d’esmentar l’atenció telefònica amb un assistent.

Si a més fas servir un xatbot al web, l’avís ha de ser visible abans que la persona escrigui. El bàsic dels textos legals d’un web petit ho expliquem, en castellà, a cookies, formularis i RGPD: el mínim per no ficar-te en un embolic.

Gravar o no gravar

Que una centraleta amb IA entengui la trucada no vol dir que l’hagi de guardar. Són decisions diferents.

Si no necessites la gravació, no la guardis. El RGPD demana minimització: tractar només les dades necessàries per a la finalitat. Per donar una cita n’hi ha prou amb el resum i la cita a l’agenda. Guardar l’àudio de cada trucada «per si de cas» és acumular dades sense motiu.

Si la necessites, avisa abans. Hi pot haver motius raonables, com revisar la qualitat de les respostes durant les primeres setmanes. En aquest cas, qui truca ho ha de saber abans que comenci la gravació, amb la finalitat explicada.

Decideix quant de temps i qui l’escolta. Un termini concret de conservació, pensat per a la finalitat, i accés limitat a qui la necessita.

Recorda que la persona té drets. Pot demanar accés al que s’ha guardat de la seva trucada, inclosa la gravació o la transcripció, i demanar que s’esborri quan escaigui.

El nostre criteri és guardar només el que és necessari per a la gestió. Què es guarda i durant quant de temps ho decidim amb tu abans de posar la centraleta en marxa.

El contracte d’encàrrec de tractament

Qui et munta la centraleta tracta dades dels teus clients per compte teu. Per al RGPD és un encarregat del tractament, i l’article 28 exigeix que aquesta relació estigui regulada per un contracte: quines dades tracta, per a què, amb quines mesures de seguretat, què en fa en acabar i a quins altres proveïdors recorre.

Aquest últim punt és important en una centraleta amb IA, perquè al darrere hi ha diverses peces: la telefonia, la veu, el model de llenguatge, l’agenda. Pregunta al teu proveïdor quines són, on es tracten les dades i si hi ha transferències fora de la Unió Europea. Hi ha més preguntes d’aquest tipus a què preguntar a un proveïdor que et ven intel·ligència artificial.

Nosaltres signem aquest contracte amb cada client. Si un proveïdor no te l’ofereix, és mal senyal.

Dades de salut i altres dades especialment delicades

En una clínica, una consulta o un centre de fisioteràpia, el que explica el pacient per telèfon pot ser una dada de salut, i l’article 9 del RGPD la tracta com a categoria especial, amb més exigències.

A la pràctica, això vol dir muntar la centraleta perquè demani el mínim: nom, telèfon i el motiu en poques paraules. No cal preguntar per l’historial ni per la medicació per donar una cita. I vol dir revisar amb més cura què es guarda, on i durant quant de temps. Si treballes amb aquest tipus de dades, ho repassem amb tu abans de posar-la en marxa.

T’afecta la llei d’atenció a la clientela?

La Llei 10/2025, de 26 de desembre, regula els serveis d’atenció a la clientela. Entre altres coses, obliga a oferir atenció per part d’una persona quan el client la demana i prohibeix que l’atenció sigui exclusivament automàtica. Les empreses obligades tenen fins al 28 de desembre de 2026 per adaptar-s’hi.

Però no s’aplica a tothom. Afecta les empreses que presten serveis bàsics, com ara subministraments, transport de viatgers, telecomunicacions, serveis postals o financers, sigui quina sigui la seva mida, i les empreses de la resta de sectors que venen sobretot a consumidors i que, soles o amb el seu grup, tenen almenys 250 treballadors, facturen més de 50 milions d’euros l’any o tenen un balanç de més de 43 milions. N’hi ha prou de complir-ne una de les tres. Una clínica, un restaurant o un taller petits normalment en queden fora.

Tot i així, la idea de fons és bona per a tothom: que sempre hi hagi una sortida cap a una persona. Una centraleta amb IA ben muntada la té. Si el client demana parlar amb algú, si és urgent o si la consulta se surt del que estava previst, passa la trucada al teu equip amb el resum fet o en pren nota perquè el truqueu.

Llista de comprovació

Abans d’activar una centraleta amb IA, comprova:

• Que diu que és un assistent en començar cada trucada.
• Que informa del tractament de dades en una frase i remet a la política de privadesa.
• Que la teva política de privadesa esmenta l’atenció amb un assistent d’IA.
• Que has decidit si es grava o no i, si es grava, que s’avisa abans i hi ha un termini.
• Que demana només les dades necessàries, sobretot si són de salut.
• Que tens signat el contracte d’encàrrec de tractament i saps quins proveïdors hi ha al darrere.
• Que sempre hi ha manera d’arribar a una persona.

Tot el que fa la nostra centraleta amb IA, inclòs com avisa i què guarda, ho pots veure a la seva pàgina. Pots sentir com es presenta a la demo de xatbot i centraleta amb IA (la pàgina és en castellà), i a la consultoria gratuïta repassem amb tu aquesta llista abans de muntar la teva centraleta IA.

Si t’interessa el tema, també hem escrit sobre la recepcionista amb IA per a una clínica dental i sobre com s’entrena un xatbot amb la informació del teu negoci.