Centralita con IA y la ley: RGPD, grabación de llamadas y AI Act
Poner una centralita con IA en tu negocio tiene una parte legal que conviene entender antes de activarla, no después. No es complicada, pero toca tres normas a la vez: el Reglamento de Inteligencia Artificial europeo, el RGPD y, en algunos casos, la ley española de atención a la clientela.
Este artículo resume lo que pide cada una a un negocio pequeño que usa un asistente telefónico con IA. Es una guía práctica, no asesoramiento jurídico: si trabajas con datos especialmente delicados o tienes dudas sobre tu caso, consúltalo con quien lleve tu protección de datos.
Avisar de que es una IA: lo que pide el AI Act
El Reglamento (UE) 2024/1689, conocido como AI Act, tiene un artículo dedicado a la transparencia, el 50. Su primer apartado dice, en esencia, que los sistemas de IA pensados para interactuar con personas tienen que estar diseñados de forma que esas personas sepan que están hablando con una IA, salvo que resulte evidente.
Esa obligación se aplica desde el 2 de agosto de 2026, que es la fecha general de aplicación del reglamento. La reforma aprobada este año para retrasar otras partes de la norma, el llamado ómnibus digital, aplazó sobre todo las obligaciones de los sistemas de alto riesgo, pero no el deber de avisar de que se habla con una IA, como recoge, por ejemplo, el análisis de Morgan Lewis.
En una llamada, lo «evidente» no existe: una voz neuronal bien hecha suena natural. Así que la forma práctica de cumplir es la más sencilla: que el asistente lo diga al empezar. «Hola, soy el asistente virtual de la clínica» es suficiente. Nuestra centralita lo hace siempre, y también el chatbot al empezar la conversación.
Además de cumplir la norma, es lo que evita que alguien se sienta engañado cuando lo descubra, que lo va a descubrir.
Qué datos se tratan en una llamada
Antes de hablar del RGPD conviene tener claro qué datos maneja una centralita con IA:
- El número de teléfono de quien llama.
- La voz, que es un dato personal.
- Lo que cuenta: nombre, motivo de la llamada, la cita que pide.
- Lo que se genera: la transcripción o el resumen que te llega por WhatsApp o por correo, y la cita en tu agenda.
Todo eso es tratamiento de datos personales, y quien responde ante el cliente eres tú, porque el negocio es tuyo. En el lenguaje del RGPD, eres el responsable del tratamiento.
Informar a quien llama
El artículo 13 del RGPD obliga a informar a la persona cuando se recogen sus datos: quién los trata, para qué, con qué base, a quién se comunican, cuánto tiempo se guardan y cómo ejercer sus derechos.
En una llamada no tiene sentido leer una política de privacidad entera. Lo habitual es hacerlo por capas:
- Al empezar la llamada, una frase breve: quién trata los datos, para qué y dónde consultar el resto.
- En la web, la información completa en la política de privacidad, que tiene que mencionar la atención telefónica con un asistente.
Si además usas un chatbot en la web, el aviso tiene que estar a la vista antes de que la persona escriba. Lo básico de los textos legales de una web pequeña lo explicamos en cookies, formularios y RGPD: lo mínimo para no meterte en un lío.
Grabar o no grabar
Que una centralita con IA entienda la llamada no significa que tenga que guardarla. Son decisiones distintas.
Si no necesitas la grabación, no la guardes. El RGPD pide minimización: tratar solo los datos necesarios para la finalidad. Para dar una cita basta con el resumen y la cita en la agenda. Guardar el audio de cada llamada «por si acaso» es acumular datos sin motivo.
Si la necesitas, avisa antes. Puede haber motivos razonables, como revisar la calidad de las respuestas durante las primeras semanas. En ese caso, quien llama tiene que saberlo antes de que empiece la grabación, con la finalidad dicha.
Decide cuánto tiempo y quién la escucha. Un plazo concreto de conservación, pensado para la finalidad, y acceso limitado a quien la necesita.
Recuerda que la persona tiene derechos. Puede pedir acceso a lo que se ha guardado de su llamada, incluida la grabación o la transcripción, y pedir que se borre cuando proceda.
Nuestro criterio es guardar solo lo necesario para la gestión. Lo que se guarda y durante cuánto tiempo lo decidimos contigo antes de poner la centralita en marcha.
El contrato de encargo de tratamiento
Quien te monta la centralita trata datos de tus clientes por cuenta tuya. Para el RGPD es un encargado del tratamiento, y el artículo 28 exige que esa relación esté regulada por un contrato: qué datos trata, para qué, con qué medidas de seguridad, qué hace con ellos al terminar y a qué otros proveedores recurre.
Ese último punto es importante en una centralita con IA, porque detrás hay varias piezas: la telefonía, la voz, el modelo de lenguaje, la agenda. Pregunta a tu proveedor cuáles son, dónde se tratan los datos y si hay transferencias fuera de la Unión Europea. Hay más preguntas de este tipo en qué preguntar a un proveedor que te vende inteligencia artificial.
Nosotros firmamos ese contrato con cada cliente. Si un proveedor no te lo ofrece, es una mala señal.
Datos de salud y otros especialmente delicados
En una clínica, una consulta o un centro de fisioterapia, lo que cuenta el paciente por teléfono puede ser un dato de salud, y el artículo 9 del RGPD lo trata como categoría especial, con más exigencias.
En la práctica eso significa montar la centralita para que pida lo mínimo: nombre, teléfono y el motivo en pocas palabras. No hace falta preguntar por el historial ni por la medicación para dar una cita. Y significa revisar con más cuidado qué se guarda, dónde y cuánto tiempo. Si trabajas con este tipo de datos, lo repasamos contigo antes de ponerla en marcha.
¿Te afecta la ley de atención a la clientela?
La Ley 10/2025, de 26 de diciembre, regula los servicios de atención a la clientela. Entre otras cosas, obliga a ofrecer atención por una persona cuando el cliente la pide y prohíbe que la atención sea exclusivamente automática. Las empresas obligadas tienen hasta el 28 de diciembre de 2026 para adaptarse.
Pero no se aplica a todo el mundo. Afecta a las empresas que prestan servicios básicos, como suministros, transporte de viajeros, telecomunicaciones, servicios postales o financieros, sea cual sea su tamaño, y a las empresas del resto de sectores que venden sobre todo a consumidores y que, solas o con su grupo, tienen al menos 250 trabajadores, facturan más de 50 millones de euros al año o tienen un balance de más de 43 millones. Basta con cumplir una de las tres cosas. Una clínica, un restaurante o un taller pequeños normalmente quedan fuera.
Aun así, la idea de fondo es buena para cualquiera: que siempre haya una salida hacia una persona. Una centralita con IA bien montada la tiene. Si el cliente pide hablar con alguien, si es urgente o si la consulta se sale de lo previsto, pasa la llamada a tu equipo con el resumen hecho o toma nota para que le llaméis.
Lista de comprobación
Antes de activar una centralita con IA, comprueba:
- Que dice que es un asistente al empezar cada llamada.
- Que informa del tratamiento de datos en una frase y remite a la política de privacidad.
- Que tu política de privacidad menciona la atención con un asistente de IA.
- Que has decidido si se graba o no, y si se graba, que se avisa antes y hay un plazo.
- Que pide solo los datos necesarios, sobre todo si son de salud.
- Que tienes firmado el contrato de encargo de tratamiento y sabes qué proveedores hay detrás.
- Que siempre hay forma de llegar a una persona.
Todo lo que hace nuestra centralita con IA, incluido cómo avisa y qué guarda, lo puedes ver en su página. Puedes oír cómo se presenta en la demo de chatbot y centralita con IA, y en la consultoría gratuita repasamos contigo esta lista antes de montar tu centralita IA.
Si te interesa el tema, también hemos escrito sobre la recepcionista con IA para una clínica dental y sobre cómo se entrena un chatbot con la información de tu negocio.
