Asistente telefónico con IA y RGPD: qué está permitido (2026)

Ya conoces las cuentas. Alrededor del 30 % de las llamadas a pequeñas y medianas empresas queda sin respuesta, y cada llamada perdida vale entre 80 y 150 euros de ingresos no realizados. Un agente telefónico con IA que descuelga siempre, en horas punta, fuera de horario, los fines de semana, parece la solución evidente. Y aun así muchos titulares dudan, no por el precio ni por la tecnología, sino por una preocupación concreta: «¿Esto está siquiera permitido por el RGPD, y podrían multarme?».

Este artículo responde a esa pregunta de forma directa, y con más profundidad de la que suelen ofrecer tanto los textos puramente jurídicos como las páginas de producto. La versión corta, por delante: sí, un agente telefónico con IA cumple en general el RGPD y está permitido en Alemania, Austria y Suiza. El cumplimiento no es una propiedad del software: es el resultado de cómo lo configuras, de la base legal en la que te apoyas, de cuánta transparencia ofreces, de dónde se alojan los datos y de si obtienes consentimiento para grabar.

Lo esencial, en breve:

• Hace falta una base legal según el artículo 6 del RGPD, normalmente la ejecución de un contrato o el interés legítimo, y consentimiento para grabar.
• Debes etiquetar la IA como IA. La obligación de transparencia del artículo 50 del Reglamento Europeo de IA se aplica desde el 2 de agosto de 2026.
• Un contrato de encargo de tratamiento según el artículo 28 es obligatorio siempre que un proveedor externo trate datos por cuenta tuya.
• El alojamiento en la UE simplifica mucho el problema de la transferencia a terceros países; aun así, revisa la lista de subencargados del proveedor.
• El consentimiento solo es necesario para grabar o transcribir por completo, no para el tratamiento en directo.
• Nada de decisiones vinculantes totalmente automatizadas: el agente no debe cerrar por su cuenta un contrato vinculante (artículo 22).

Una advertencia, de forma destacada y pronto: este artículo es una orientación bien documentada, no asesoramiento jurídico para tu caso concreto. Ante la duda, consulta a tu delegado de protección de datos o a un abogado. Lo que sí te da, y que las webs jurídicas y las páginas de producto omiten: guiones de saludo y consentimiento listos para copiar, una lista de puesta en marcha y un catálogo neutral para evaluar proveedores. También puedes crear un agente gratis y probar tú mismo una configuración conforme en la UE, sin tarjeta de crédito.

¿Cumple el RGPD un agente telefónico con IA? La respuesta corta y la larga

Sí. Un agente telefónico con IA trata datos personales, la voz, el nombre, la petición y el teléfono de quien llama, de forma conforme al RGPD, siempre que exista una base legal, se informe con transparencia, haya un contrato de encargo de tratamiento, los datos se traten con minimización y cualquier transferencia fuera de la UE esté cubierta por garantías adecuadas.

Aquí hay que aclarar una confusión común. «Cumple el RGPD» no es un sello estampado sobre una pieza de software. Exactamente el mismo software puede operarse de forma conforme o no conforme, según tu configuración y la del proveedor. El cumplimiento es un resultado, no una característica de producto.

También conviene fijar las responsabilidades. Tú, la empresa que despliega el agente, eres el «responsable del tratamiento» en el sentido del artículo 4.7 del RGPD. El proveedor de IA actúa como tu «encargado». Esa relación es precisamente la razón por la que se exige un contrato de encargo, punto al que volvemos en detalle más abajo.

¿Cuándo se aplica el RGPD a los sistemas de IA?

En el momento en que se tratan datos personales. Para un agente telefónico, eso es prácticamente siempre: un número de teléfono ya es un dato personal, y la petición hablada normalmente también. Que el tratamiento lo haga una «IA» o un «sistema automatizado» no cambia nada de ese umbral: las reglas son las mismas que para cualquier otra herramienta que toque datos personales.

El resto del artículo recorre las cuatro palancas que realmente determinan el cumplimiento: la base legal, la transparencia y el Reglamento de IA, la grabación y el consentimiento, y el alojamiento y las transferencias a terceros países. Toma las secciones siguientes como un mapa. Si quieres en paralelo el trasfondo técnico y de seguridad, consulta nuestro resumen de seguridad.

¿Sobre qué base legal puede tratar datos un agente telefónico con IA? (Artículo 6 del RGPD)

Todo tratamiento de datos personales necesita una base legal según el artículo 6.1 del RGPD. Para un agente telefónico de recepción, en la práctica hay tres relevantes.

• Ejecución de un contrato o medidas precontractuales (art. 6.1.b): para peticiones entrantes como reservar una cita o preparar un presupuesto. Quien llama quiere algo que conduce a un contrato o lo cumple, así que el tratamiento está justificado.
• Interés legítimo (art. 6.1.f): para la disponibilidad general y la calidad del servicio, por ejemplo tomar una petición de devolución de llamada. Exige una ponderación entre tu interés y los derechos de quien llama, y conviene documentarla.
• Consentimiento (art. 6.1.a): obligatorio para grabar o transcribir y para cualquier llamada saliente de marketing.

Una correspondencia sencilla ayuda a evitar los errores típicos:

Hay además una categoría especial que señalar. El artículo 9 del RGPD cubre datos sensibles: salud, religión, afiliación sindical. Una consulta médica, por ejemplo, puede recibir información de salud, y entonces necesitas adicionalmente una excepción del artículo 9.2. Más sobre particularidades sectoriales, más abajo.

Un punto controvertido merece una respuesta limpia, porque las webs jurídicas y las de producto suelen hablar de cosas distintas. Una grabación de voz no es automáticamente un dato biométrico del artículo 4.14. Solo pasa a ser dato del artículo 9 cuando la voz se trata deliberadamente para identificar de forma única a una persona: una huella vocal, una autenticación por voz. Simplemente entender qué quiere quien llama (voz a texto sin intención de identificar) no activa, por regla general, el artículo 9.

La conclusión práctica: si no usas huellas vocales ni autenticación por voz, no necesitas consentimiento del artículo 9 para el tratamiento del habla como tal. Puede que sí necesites consentimiento para grabar, pero eso es otro asunto con otra base. Sea cual sea la base que elijas, documéntala; el principio de responsabilidad proactiva espera que puedas mostrar tu razonamiento.

¿Debo decir a quien llama que habla con una IA? (Art. 50 del Reglamento de IA y art. 13 del RGPD)

Sí. Debes informar de forma clara e inequívoca al inicio de la conversación de que se está hablando con un sistema de IA. Se deriva de la obligación de transparencia del artículo 50 del Reglamento Europeo de IA, aplicable desde el 2 de agosto de 2026, y de los deberes de información de los artículos 13 y 14 del RGPD.

¿Qué exige concretamente el artículo 50? Que la interacción con IA sea reconocible para una persona física y que el contenido de voz generado artificialmente o sintético se etiquete como tal. En términos llanos, esto responde a la pregunta que muchos se hacen: «¿Cómo reconozco una IA al teléfono?». La reconoces porque un operador conforme te lo dice de entrada.

Una palabra contra el alarmismo: un agente telefónico normal de recepción o reserva de citas no es, por regla general, un sistema de alto riesgo según el Reglamento de IA. Solo se aplica la obligación de transparencia, no el pesado régimen de alto riesgo. Los proveedores que agitan advertencias de alto riesgo para crear urgencia están exagerando la situación.

Por el lado del RGPD, la información va un poco más allá de un simple «soy una IA». También hay que orientar a quien llama sobre el tratamiento de datos y dónde encontrar más información: tu política de privacidad. Por teléfono, eso se resuelve con un aviso hablado breve que remite a la web, y un enlace desde tu página de privacidad.

Esto enlaza con el derecho a llegar a una persona. Una solución seria ofrece siempre un recurso humano: «hablar con un miembro del equipo» en cualquier momento. Es una buena práctica por sí misma y además apoya el artículo 22 (que se trata más abajo). Como ejemplo de cómo lo aborda un operador conforme: plataformas como Hanc.AI están construidas explícitamente en torno al artículo 50 y se identifican como IA al inicio de la llamada. Puedes configurar estos saludos tú mismo al crear un rol de agente.

Un anticipo de los guiones listos para copiar que siguen: «Hola, soy el asistente digital de [Empresa]. Soy una IA y estaré encantado de ayudarle».

Grabación, transcripción y consentimiento: ¿cuándo se vuelve arriesgado?

Esta es la distinción que más importa y la que la mayoría de textos difumina. El tratamiento en directo, donde la IA entiende y responde sin almacenar el audio de forma permanente, es mucho más fácil de justificar que una grabación permanente o una transcripción completa. Estas últimas exigen por lo general consentimiento activo.

Piénsalo como un semáforo:

La luz roja no es una exageración. En Alemania, grabar en secreto la palabra hablada no destinada a ser pública es un delito según el § 201 del Código Penal, y eso incluye grabar en silencio una llamada, y puede extenderse a las transcripciones. La consecuencia es simple: nunca grabes sin aviso y consentimiento previos.

Hay tres mecánicas de consentimiento al teléfono, y vale la pena verlas las tres juntas, porque nadie suele exponerlas al completo:

1. Pulsación de tecla (DTMF): «Para permitir la grabación, pulse 2».
2. «Sí» hablado en respuesta a una pregunta clara.
3. Consentimiento tácito: «permanezca en línea si está de acuerdo».

Ahora, a resolver una discrepancia real entre fuentes. Algunos sostienen que «permanezca en línea» es defendible; otros dicen que no basta. La respuesta honesta: el consentimiento tácito es jurídicamente discutido y no resiste una auditoría. Lo seguro por defecto es la confirmación activa, un «sí» hablado o una pulsación de tecla, , que además tiene la ventaja de quedar registrada.

La minimización de datos es tu mejor estrategia por defecto (art. 5.1.c). Guarda solo un resumen o una nota estructurada, no un archivo de audio completo. Esa única decisión reduce a la vez tu riesgo y tu necesidad de consentimiento. Y un límite: las llamadas salientes de marketing son un tema aparte y más estricto (consentimiento según la normativa de competencia desleal y el RGPD) y no son el objeto de este artículo centrado en la recepción.

Guiones listos para copiar de saludo y consentimiento (plantillas)

Esta es la parte que la competencia rara vez ofrece: bloques completos y utilizables en lugar de una única frase de ejemplo. Adáptalos a tu caso y a tu delegado de protección de datos.

Bloque 1: saludo con aviso de IA (art. 50), sin grabación. Úsalo cuando solo trates en directo.

«Hola, soy el asistente digital de [Empresa]. Soy una IA y puedo ayudarle a reservar una cita o resolver sus dudas. ¿En qué puedo ayudarle?»

Bloque 2: saludo más aviso del RGPD (art. 13), remitiendo a tu política de privacidad.

«Hola, soy el asistente con IA de [Empresa]. Para ayudarle, trataré los datos que me facilite. Encontrará más información sobre protección de datos en [web]. ¿En qué puedo ayudarle?»

Bloque 3: consentimiento activo para grabar (sí hablado).

«Esta llamada puede grabarse para atender su solicitud. ¿Da su consentimiento para la grabación? Responda sí o no.» Si es no: «Entendido, no grabaré. ¿En qué puedo ayudarle?», y el tratamiento continúa solo en directo.

Bloque 4: consentimiento mediante pulsación de tecla.

«Si da su consentimiento para que esta llamada se grabe, pulse 2 ahora. Si prefiere que no, simplemente no pulse ninguna tecla y le atenderé sin grabación.» (Registra la pulsación con marca de tiempo.)

Bloque 5: recurso humano.

«Puede hablar con un miembro del equipo en cualquier momento: basta con decir “agente”.» (Apoya el artículo 22 y la transparencia.)

Tres saludos completos específicos de sector, ya que esto falta en todas partes:

• Consulta médica (datos de salud, art. 9): «Hola, soy el asistente digital de [Consulta]. Soy una IA. Puedo reservar citas y tomar sus datos. Por favor, no comparta diagnósticos ni información sensible de salud: de eso se ocupará personalmente un miembro del equipo.»
• Despacho de abogados (confidencialidad): «Hola, ha contactado con el asistente con IA de [Despacho]. Soy una IA y puedo tomar sus datos de contacto y su asunto en términos generales. Para detalles confidenciales, le paso con un miembro del equipo.»
• Oficios (recogida de trabajo o devolución de llamada): «Hola, soy el asistente digital de [Empresa]. Soy una IA. Puedo recoger su encargo y organizar una devolución de llamada. ¿Qué podemos hacer por usted?»

Si operas en más de un idioma, el saludo y el consentimiento deben entregarse en el idioma de quien llama: el consentimiento solo es válido si está informado. Las soluciones que cambian de idioma durante la llamada y cubren muchos idiomas facilitan mucho esto. Como antes: son plantillas, para adaptar a tu caso y a tu delegado de protección de datos.

Contrato de encargo y alojamiento en la UE: el proveedor como riesgo de privacidad

Un contrato de encargo de tratamiento según el artículo 28 del RGPD es obligatorio. En cuanto un proveedor externo de IA trata datos personales por cuenta tuya, debes firmarlo con él. Sin ese contrato, el despliegue es formalmente ilícito, por buena que sea la tecnología.

Como mínimo, el contrato debería cubrir: objeto y finalidad del tratamiento, la obligación de actuar solo siguiendo tus instrucciones, la confidencialidad, las medidas técnicas y organizativas, la gestión de subencargados y el borrado o devolución de los datos al final.

Ese punto de los subencargados suele pasarse por alto. Un proveedor serio revela qué subencargados intervienen, telefonía, modelo de voz, alojamiento, y dónde están. Esto importa sobre todo cuando hay un proveedor de modelos estadounidense en la cadena.

La vía con diferencia más simple es una ubicación de servidores en la UE o en Alemania. Si el tratamiento ocurre íntegramente dentro de la UE, el problema del tercer país desaparece por completo. No hay nada que evaluar ni que documentar sobre transferencias, porque no las hay.

Si interviene un proveedor estadounidense, necesitas un mecanismo de transferencia: o bien el Marco de Privacidad de Datos UE-EE. UU. (vigente desde julio de 2023) o bien cláusulas contractuales tipo más una evaluación de impacto de la transferencia. Sin alguno de ellos, la transferencia queda expuesta. Y hay una pregunta que hacer por escrito a cualquier proveedor: ¿se usan mis datos de conversación para entrenar vuestros modelos de IA? Un proveedor conforme lo excluye contractualmente.

Como referencia positiva: Hanc.AI está operada por Good Point GmbH (FN 618845t, Viena, verificable en firmenbuch.at). Su aplicación y su infraestructura de voz funcionan en Alemania y su base de datos principal está en Fráncfort; parte del procesamiento auxiliar de IA puede realizarse fuera de la UE, y la política de privacidad enumera a todos los subencargados del tratamiento y explica cómo se gestionan las transferencias. La cuestión del tercer país queda así acotada a subencargados declarados. Hay contrato de encargo disponible, y la plataforma está diseñada para el RGPD y el Reglamento Europeo de IA. Los detalles técnicos de seguridad (cifrado y demás) vienen a continuación; también puedes revisar las integraciones que determinan por dónde fluyen los datos.

Minimización, conservación y medidas de seguridad en la práctica

La minimización de datos (art. 5.1.c) significa recoger solo lo que exige la finalidad. Un número de teléfono y la petición de quien llama, sí. Un archivo de audio innecesario, no. Cuando sea posible, oculta o seudonimiza los identificadores personales.

Un plan de borrado es la parte que la mayoría de textos apenas roza. Define plazos claros de conservación para los datos de conversación y contacto, y aplícalos automáticamente, por ejemplo con borrado automático tras un número fijado de días. Los plazos varían por sector y por obligaciones superpuestas (fiscales, deontológicas), así que fíjalos de forma deliberada y no por defecto.

Las medidas técnicas concretas que distinguen a un proveedor serio son en buena medida el estándar del mercado, y deberías poder confirmarlas: cifrado en reposo (por ejemplo AES-256) y en tránsito (TLS 1.3), controles de acceso, tareas de borrado automático y, cuando esté disponible, una certificación externa como SOC 2.

El mejor ajuste por defecto es «resumen en lugar de audio». Una nota estructurada de la conversación en vez del audio bruto reduce a la vez volumen de datos, riesgo y necesidad de consentimiento. Y comprueba los ajustes de fábrica: ¿la grabación viene activada o desactivada? La privacidad por defecto (art. 25) espera que el ajuste que minimiza datos sea el preseleccionado. Todo esto alimenta directamente la lista de evaluación que sigue. Para una imagen más completa de las salvaguardas, consulta el resumen de seguridad.

Lista de comprobación: cómo reconocer un agente telefónico con IA conforme al RGPD

¿Qué sistemas de IA cumplen el RGPD? Los que superan los puntos siguientes. Las páginas de proveedor se alaban a sí mismas; casi nadie ofrece una rejilla neutral. Aquí tienes una que puedes copiar y usar. Recórrela proveedor por proveedor:

1. ¿La ubicación de los servidores está en la UE o en Alemania?
2. ¿Se transfieren datos fuera de la UE, o hay subencargados estadounidenses?
3. ¿Hay contrato de encargo del artículo 28 disponible y listo para firmar?
4. ¿Se revelan los subencargados?
5. ¿Se usan los datos de conversación para entrenar modelos, sí o no?
6. ¿La grabación viene desactivada por defecto (privacidad por defecto)?
7. ¿Los plazos de conservación son configurables?
8. ¿Se admite el etiquetado de IA del artículo 50?
9. ¿Es posible un recurso humano?
10. ¿Se demuestra el cifrado, e idealmente un certificado?
11. ¿Es el proveedor localizable jurídicamente (sede en la UE, verificable en un registro público)?

La respuesta directa a «¿qué sistemas de IA cumplen el RGPD?» es: los que cumplen estos puntos. No lo decide la palabra de moda de la página de inicio, sino el alojamiento, el contrato de encargo, los ajustes por defecto y la exclusión contractual del uso para entrenamiento.

Señales de alarma, en cambio: no ofrecer contrato de encargo, alojamiento solo en EE. UU. sin mecanismo de transferencia, grabación activada por defecto, ninguna respuesta sobre el entrenamiento de modelos y un proveedor no localizable jurídicamente.

Como línea de referencia trabajada: Hanc.AI, aplicación e infraestructura de voz en Alemania, base de datos principal en Fráncfort, subencargados y transferencias descritos en la política de privacidad (parte del procesamiento auxiliar de IA puede realizarse fuera de la UE), contrato de encargo disponible, aviso de IA al inicio de cada llamada y operador verificable en el registro mercantil. Para el panorama completo y una idea de qué sopesar, la página de precios y el resumen de funciones completan la visión de compra.

Lista de puesta en marcha: despliega un agente telefónico con IA en 8 pasos conformes

Una hoja de ruta real paso a paso, con quién es responsable de cada paso, porque la competencia tiende a quedarse en lo abstracto.

1. Define el caso de uso y la base legal (art. 6). Responsable: dirección o delegado de protección de datos.
2. Selecciona proveedor con el catálogo de evaluación y firma el contrato de encargo (art. 28).
3. Construye el guion de saludo y consentimiento a partir de las plantillas e integra el etiquetado de IA (art. 50).
4. Activa los ajustes que minimizan datos (resumen en lugar de audio, grabación solo con consentimiento) y fija los plazos de conservación.
5. Actualiza la política de privacidad de la web para cubrir la telefonía con IA, y remite a ella en el aviso hablado.
6. Actualiza tu registro de actividades de tratamiento y comprueba si hace falta una evaluación de impacto (siguiente sección).
7. Monta un proceso de derechos del interesado (acceso, supresión y retirada deben ser viables) y activa el registro de consentimientos.
8. Informa a tu equipo, prueba el recurso humano y sal en vivo, ajustando de forma iterativa.

Una nota práctica: con una configuración que no requiere programar, la parte técnica está lista en 60 segundos. El cuidado va en el montaje de protección de datos, no en la tecnología. Puedes crear un agente gratis, sin tarjeta de crédito, y recorrer esta lista sobre una configuración real alojada en la UE.

Documentación y responsabilidad proactiva: evaluación de impacto, registro y consentimiento auditable

La responsabilidad proactiva (art. 5.2) significa que debes poder demostrar el cumplimiento: la base legal elegida, el contrato de encargo, los consentimientos obtenidos y el plan de borrado, todo documentado.

Tu registro de actividades de tratamiento (art. 30) debe incluir la telefonía con IA como actividad, con finalidad, categorías de datos, destinatarios y plazos de conservación.

Una evaluación de impacto relativa a la protección de datos (art. 35) se activa por ciertos factores: una tecnología genuinamente nueva, elaboración de perfiles o análisis de sentimiento, biometría o alcance a gran escala. Un asistente de recepción sencillo sin perfilado ni biometría normalmente no la activa. Añade análisis de sentimiento, huellas vocales o gran escala, y puede que sí, y entonces podría requerirse una consulta previa (art. 36).

Sobre la obligación de delegado de protección de datos: en Alemania, el § 38 de la BDSG fija un umbral para cuándo hay que designarlo; Austria y Suiza difieren, así que comprueba tu propia jurisdicción.

Para un registro de consentimientos auditable, otra cosa que nadie plantilla, guarda la marca de tiempo, la redacción de la pregunta de consentimiento, la respuesta (sí / tecla) y el identificador de la llamada. Así el consentimiento se vuelve demostrable (art. 7.1).

Haz que los derechos del interesado sean realmente ejercitables: acceso incluida copia de cualquier grabación (art. 15), rectificación de nombres mal entendidos (art. 16), supresión (art. 17), portabilidad en JSON o CSV (art. 20), retirada del consentimiento incluso durante la llamada (art. 7.3) y oposición cuando te apoyas en el interés legítimo (art. 21).

Por último, enlaza con el artículo 22: ninguna decisión exclusivamente automatizada con efectos jurídicos. Un asistente con IA no debe, por ejemplo, cerrar por su cuenta un contrato vinculante. Asegúralo con un recurso humano y una validación humana final donde importe.

Multas y sanciones: ¿qué cuesta realmente un incumplimiento del RGPD?

La competencia se queda en lo vago sobre las consecuencias. Las cifras no son vagas. El marco sancionador del RGPD llega hasta 20 millones de euros o el 4 % de la facturación anual mundial, lo que sea mayor, para infracciones graves. Para infracciones formales, como la falta de contrato de encargo, hasta 10 millones o el 2 %.

Hay además una capa penal. La grabación secreta de audio según el § 201 del Código Penal alemán es un delito (pena de prisión o multa), y alcanza a la persona, no solo a la empresa.

Un encuadre realista para pymes, sin alarmismo: los máximos existenciales apuntan a grandes corporaciones. Lo más relevante para una empresa pequeña son los apercibimientos, las órdenes de la autoridad de control, las reclamaciones de daños (art. 82) y el daño reputacional. El riesgo es real, y totalmente evitable.

Los errores más comunes y evitables que acaban en procedimiento: falta de contrato de encargo, grabación secreta, ausencia de etiquetado de IA, una transferencia a EE. UU. sin resolver y la falta de política de privacidad. El encuadre positivo es el honesto: con una implantación correcta (ver la lista de puesta en marcha), ese riesgo es totalmente manejable. El cumplimiento es cuestión de horas de trabajo, no un obstáculo. El detalle vive en la página de privacidad.

Casos especiales por sector: sanidad, abogacía, servicios financieros y datos de empleados

La profundidad sectorial es donde la mayoría de coberturas se detiene, y donde están las diferencias reales.

Consultas médicas. Los datos de salud son categoría especial (art. 9): requisitos más estrictos, minimización especialmente importante y deber de secreto médico. La IA puede tomar una petición y reservar citas, pero debería evitar recoger detalles diagnósticos sensibles. Lo tratamos a fondo en la guía para consultas médicas, y hay configuraciones dedicadas de médico.

Despachos de abogados y asesores fiscales. Se aplican el secreto profesional y el § 203 del Código Penal alemán (revelación de secretos). El proveedor debe quedar limpiamente vinculado como auxiliar sujeto a confidencialidad mediante el contrato de encargo y estar alojado en la UE; los datos de clientes no salen a un tercer país. Consulta las páginas de abogados y asesores fiscales.

Servicios financieros. Aquí la lógica puede invertirse: la MiFID II puede exigir que ciertas llamadas de asesoramiento u órdenes se graben. La tensión no es protección de datos frente a grabación: la grabación es la obligación, bajo otro marco legal. Mantén ambas cosas separadas.

Oficios. Normalmente lo menos sensible: recogida de encargos según el art. 6.1.b, devoluciones de llamada, lo que lo convierte en un buen sector de entrada. La configuración de oficios es un punto de partida con poca barrera.

Datos de empleados. A menudo se pasa por alto: para los roles dirigidos a la plantilla (asistencia interna, asuntos de personal), es relevante el § 26 de la BDSG. Informa a los empleados del uso de IA y respeta la cogestión donde exista comité de empresa. Esto se corresponde con los roles de agente orientados a la gestión.

Un apunte más: junto al RGPD, la normativa alemana de protección de datos en telecomunicaciones y telemedios (TDDDG) también puede aplicarse. Conviene saberlo, sin sobrecargar el cuadro.

Panorama DACH: reglas adicionales en Austria (DSG) y Suiza (revDSG)

Ningún competidor ofrece verdadera amplitud DACH, así que este es el valor añadido claro para lectores austriacos y suizos.

Austria. El RGPD se aplica directamente, complementado por la Ley de Protección de Datos austriaca (DSG). La autoridad de control es la Datenschutzbehörde. Existe protección penal análoga frente a la grabación secreta, y el etiquetado de IA y la exigencia de contrato de encargo se aplican igual.

Suiza. Suiza no es miembro de la UE. Se aplica la Ley revisada de Protección de Datos (revDSG, en vigor desde el 1 de septiembre de 2023): principios similares de transparencia, proporcionalidad y tratamiento por encargo, pero con su propia terminología y sin los techos sancionadores del RGPD. Desde la óptica de la UE, las transferencias a Suiza están cubiertas por una decisión de adecuación.

La consecuencia práctica: si estás alojado en la UE y cumples el RGPD, por lo general satisfaces también la DSG austriaca y estás del lado seguro para la revDSG suiza. Un mismo estándar cubre todo DACH. Hanc.AI, por ejemplo, está diseñada para el RGPD y el Reglamento Europeo de IA y alojada en Alemania: una configuración para toda la región.

Una nota sobre el Reglamento de IA: se aplica directamente en toda la UE, incluida Austria. Suiza se alinea con él pero no está directamente vinculada, aunque la transparencia sigue siendo una buena práctica. Para los cimientos técnicos, consulta el resumen de seguridad.

Preguntas frecuentes

¿Cumple el RGPD un agente telefónico con IA? Sí, cuando se implanta correctamente. Eso significa una base legal válida según el artículo 6, información transparente a quien llama, un contrato de encargo de tratamiento, alojamiento en la UE y consentimiento cuando se graba o transcribe. El cumplimiento es resultado de tu configuración, no una propiedad fija del software.

¿Debo decir a quien llama que habla con una IA? Sí. La obligación de transparencia del artículo 50 del Reglamento Europeo de IA (desde el 2 de agosto de 2026) y el artículo 13 del RGPD exigen un aviso claro al inicio de la llamada. Basta con una breve indicación hablada que identifique al agente como IA, con una referencia a tu política de privacidad.

¿Cuándo se aplica el RGPD a los sistemas de IA? En cuanto se tratan datos personales, lo que en las llamadas telefónicas ocurre prácticamente siempre. Un número de teléfono ya es un dato personal, y la petición hablada normalmente también. La etiqueta «IA» no cambia ese umbral: se aplican las mismas reglas que a cualquier otra herramienta.

¿Qué sistemas de IA cumplen el RGPD? Los que tienen alojamiento en la UE, un contrato de encargo disponible, ajustes por defecto que minimizan datos y una exclusión contractual del uso de tus datos para entrenar modelos. Usa la lista de evaluación de más arriba: lo deciden el alojamiento, el contrato, los ajustes y la exclusión de entrenamiento, no la afirmación de marketing.

¿Puedo grabar las llamadas con la IA? Solo con consentimiento previo. La grabación secreta es un delito en Alemania según el § 201 del Código Penal. Lo seguro es un consentimiento activo, un «sí» hablado o una pulsación de tecla, que además queda registrado. Para la mayoría de usos de recepción, un resumen en lugar del audio completo evita el problema por completo.

¿La voz es un dato biométrico? No automáticamente. Una grabación de voz se convierte en dato biométrico del artículo 9 solo cuando se trata deliberadamente para identificar de forma única a una persona: una huella vocal o autenticación por voz. La simple conversión de voz a texto para entender la petición, sin intención de identificar, no activa por regla general el artículo 9.

¿Necesito una evaluación de impacto? Un asistente de recepción sencillo normalmente no. Una evaluación de impacto se activa por factores como la elaboración de perfiles, el análisis de sentimiento, la biometría o un alcance a gran escala. Si tu configuración incluye algo de eso, haz la evaluación y, cuando proceda, la consulta previa del artículo 36.

¿Se permiten proveedores estadounidenses? Solo con un mecanismo de transferencia: el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo más una evaluación de impacto de la transferencia. La vía más simple y segura es un proveedor alojado en la UE, que elimina por completo la cuestión del tercer país.

Conclusión: la telefonía con IA conforme es cuestión de cómo, no de si

Un agente telefónico con IA está permitido y es practicable en Alemania, Austria y Suiza. Lo que decide el asunto es la implantación: una base legal sólida, transparencia según el artículo 50, un contrato de encargo, alojamiento en la UE, consentimiento cuando grabas y minimización de datos en todo momento.

No hay exageración en la llamada a la acción. Con la lista de puesta en marcha y el catálogo de evaluación de proveedores de más arriba, puedes alcanzar el cumplimiento en un tiempo manejable. Si quieres verlo en la práctica, crea un agente gratis y prueba tú mismo una configuración alojada en la UE, sin tarjeta de crédito; los detalles de precio están en la página de precios.

Una última advertencia: esto es orientación, no asesoramiento jurídico. Ante la duda, implica a tu delegado de protección de datos o a un abogado. Y una nota final sobre confianza: como ejemplo de operador verificable y alojado en Alemania, Hanc.AI está gestionada por Good Point GmbH en Viena (FN 618845t), comprobable en firmenbuch.at.

Artículos relacionados

• ¿Qué es un agente telefónico con IA?: la guía fundamental para orientarse.
• ¿Cuánto cuesta un agente telefónico con IA?: el único sitio con cifras concretas de precio.
• Agentes telefónicos con IA para consultas médicas: el análisis a fondo de configuraciones sensibles a datos de salud.
• ¿Merece la pena un agente telefónico con IA en una pyme?: cómo abordar las objeciones habituales.
• Atención al cliente con IA 24/7: cobertura permanente sin turno de noche.