Asistente telefónico de IA y RGPD: qué requisitos deben cumplir las empresas

En cuanto un asistente telefónico de IA atiende llamadas, procesa datos personales – al menos el número de teléfono y el contenido de la conversación. Con ello, el RGPD se aplica en su totalidad. Los cuatro puntos que en la práctica determinan la admisibilidad: Base jurídica, transparencia, tratamiento por encargo y lugar del tratamiento.

1. Aclarar la base jurídica

Para la gestión de una solicitud planteada por la propia persona que llama, normalmente entra en consideración la preparación o ejecución de un contrato tener en cuenta, de forma complementaria, el interés legítimo en una accesibilidad eficiente. Si, en cambio, la conversación se graba, se aplican requisitos más estrictos: una grabación sin consentimiento no suele estar permitida en la práctica.

En la práctica, esto significa que un asistente que registra el asunto de forma estructurada, en lugar de guardar la grabación, es mucho más fácil de operar desde el punto de vista de la protección de datos.

2. Transparencia frente a las personas que llaman

Las personas que llaman deben poder reconocer que están hablando con un sistema automatizado. Esto se deriva tanto del principio de transparencia del RGPD como de las obligaciones de identificación para los sistemas de IA. Un aviso claro al inicio de la conversación es la forma más sencilla y, por experiencia, no supone un problema de aceptación siempre que el sistema funcione de manera fiable después.

• Aviso al inicio de la conversación de que responde un asistente digital
• Posibilidad de acceder en cualquier momento a una persona
• Completar la información sobre protección de datos en el sitio web, incluido el propósito y el plazo de conservación

3. Contrato de encargo del tratamiento

Si el asistente es operado a través de un proveedor de servicios, es necesario un contrato de encargo del tratamiento (AVV) conforme al art. 28 del RGPD. En él se regulan la finalidad, el alcance, las medidas técnicas y organizativas, así como posibles subencargados del tratamiento. Sin AVV, el uso no es conforme a la normativa.

4. ¿Dónde se procesan los datos?

El lugar de tratamiento es el punto en el que las ofertas se diferencian con mayor claridad. Un tratamiento dentro de la UE evita los requisitos adicionales para las transferencias a terceros países. Si un modelo se opera fuera de la UE, se necesita una base de transferencia sólida y una evaluación caso por caso.

Una regla práctica: cuanto menos datos almacene el sistema y cuanto más breve sea la conservación, más sencilla será toda la estructura. La minimización de datos aquí no es solo una obligación legal, sino que también ahorra esfuerzo.

Ejemplo: orden de comprobación antes de la introducción

Un procedimiento típico: primero se determina qué datos necesita realmente el asistente para cumplir su tarea —por lo general, nombre, número de devolución de llamada y motivo de la consulta. Todo lo demás se omite. Después se fijan el plazo de conservación y el concepto de borrado, se firma el AVV y se actualiza la información sobre protección de datos. Solo entonces el sistema pasa a la fase de pruebas.

¿Qué requisitos del RGPD se aplican a los asistentes telefónicos de IA? La lista de verificación

• Base jurídica establecida para cada tratamiento (p. ej., inicio de una relación contractual, interés legítimo, consentimiento en caso de grabación)
• Obligaciones de información cumplidas: aviso al inicio, indicaciones detalladas en la política de privacidad
• Contrato de encargo del tratamiento con el proveedor y lista de los subencargados
• Lugar de tratamiento conocido – idealmente Alemania o la UE
• Minimización de datos: solo nombre, número de devolución de llamada, asunto – lo que no se necesita no se recopila
• Plazos de supresiónestablecido y aplicado técnicamente para actas y transcripciones
• Registro de actividades de tratamiento completado
• Evaluación de impacto relativa a la protección de datos revisada, especialmente en el caso de datos sensibles como información sobre la salud
• Derechos de los interesados (información, supresión) asegurado organizativamente

EU AI Act: Qué se aplica además

Además del RGPD, el EU AI Act impone obligaciones a las empresas que utilizan IA. Para los asistentes telefónicos son relevantes dos puntos: las personas deben poder reconocer que están interactuando con un sistema de IA (obligación de transparencia), y las empresas deben contar desde febrero de 2025 con competencia suficiente en IA de los empleados que trabajan con el sistema. Por lo general, basta con una breve formación sobre su funcionamiento, sus límites y la protección de datos. Más: obligación de etiquetado de la IA.

Sectores especiales

Quien trate datos de salud —por ejemplo, en consultas médicas o servicios de atención— necesita medidas de protección reforzadas y debería realizar una evaluación de impacto en la protección de datos. Para profesionales sujetos al secreto profesional, como despachos, se añaden obligaciones de confidencialidad. Ejemplos de sectores: consulta médica y Servicio de atención domiciliaria.

Así resolvemos esto en bettersorted

Nuestro asistente telefónico de IA se procesa exclusivamente en servidores en Alemania, con un contrato de tratamiento de datos conforme al art. 28 del RGPD. Las transcripciones sirven para la documentación y se eliminan tras los plazos establecidos; al inicio de la llamada se informa a las personas que llaman de que habla un asistente digital. Cómo funciona técnicamente el asistente lo explica ¿Cómo funciona un asistente telefónico de IA?.

Preguntas frecuentes sobre el asistente telefónico de IA y el RGPD

¿Debo informar a las personas que llaman de que responde una IA?

Sí. Las personas que llaman deben poder reconocer que están hablando con un sistema automatizado. Basta con una breve indicación al inicio de la conversación, junto con la posibilidad de ser derivadas a una persona.

¿Puede el asistente grabar conversaciones?

Solo con el consentimiento válido de las personas que llaman. Es mucho más sencillo un asistente que registre de forma estructurada la solicitud en lugar de guardar la grabación; entonces esta cuestión no se plantea con esa intensidad.

¿Necesito un contrato de encargo del tratamiento?

Sí, en cuanto un proveedor trate los datos por su cuenta. El AVV conforme al art. 28 del RGPD es un requisito para un funcionamiento conforme a la ley.

¿El tratamiento tiene que realizarse en la UE?

No es obligatorio, pero simplifica considerablemente la situación, porque se eliminan los requisitos adicionales para las transferencias a terceros países. Por eso fijamos expresamente el lugar de tratamiento antes de la implantación.

¿Qué requisitos del RGPD se aplican a los asistentes telefónicos de IA?

Una base jurídica para el tratamiento, información transparente a las personas que llaman, incluida una indicación de IA, un contrato de encargo del tratamiento, conocimiento del lugar de tratamiento, minimización de datos, plazos de supresión definidos y el respeto de los derechos de los interesados.

¿Necesito una evaluación de impacto sobre la protección de datos?

No en todos los casos. Es recomendable cuando el tratamiento probablemente entrañe un alto riesgo, por ejemplo, en el caso de datos de salud o del tratamiento amplio de información sensible. Sus responsables de protección de datos ayudan a valorar esto.

Siguiente paso

Cómo funciona el asistente en la operación lo muestra la página del producto Asistente telefónico de IA. Las cuestiones de protección de datos las aclaramos en el marco de la implantación, que es subvencionable hasta en un 80 % a través de INQA-Coaching.

Estado: septiembre de 2026. Este artículo ofrece una orientación general y no sustituye el asesoramiento jurídico en casos concretos.