Dos textos, y solo dos
Cuando una IA atiende sus llamadas, se aplican dos textos europeos, que se complementan sin solaparse.
El Reglamento de Inteligencia Artificial, conocido como AI Act, Reglamento (UE) 2024/1689, se ocupa del propio sistema de IA: lo que tiene derecho a hacer y lo que las personas deben saber cuando se enfrentan a él. Entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las prácticas prohibidas lo están desde el 2 de febrero de 2025. Las obligaciones de transparencia, las que le afectan a usted, se aplican a partir del 2 de agosto de 2026.
El RGPD se ocupa de los datos: el nombre, el número, el motivo de la llamada, la posible grabación de la voz. Se aplica desde 2018, a todo el mundo, haya IA o no. No cambia porque la secretaria sea un programa; simplemente se aplica a un tratamiento más.
Ninguno de estos textos prohíbe a una pequeña empresa confiar su teléfono a una IA. Fijan condiciones, y son razonables.
El AI Act: decir que es una IA
La obligación de transparencia
El artículo 50 del Reglamento exige que los sistemas de IA destinados a interactuar directamente con personas se diseñen de forma que esas personas sean informadas de que interactúan con una IA, salvo que resulte evidente para una persona razonablemente atenta, dadas las circunstancias. Al teléfono, nada es evidente: una voz sintética actual puede pasar por una voz humana. Por eso, el agente debe decirlo, con claridad, al inicio de la llamada.
Esta obligación recae en primer lugar en el proveedor del sistema, que debe diseñarlo así. También le afecta a usted, como usuario: elija un agente que se presente como IA, y no lo configure nunca para que se haga pasar por una persona. Basta una frase, por ejemplo: «Despacho Martin, buenos días, soy la asistente de voz del despacho; puedo darle cita o tomar un mensaje».
Lo que está prohibido
El artículo 5 prohíbe ciertas prácticas, entre ellas la manipulación mediante técnicas subliminales o engañosas y la explotación de vulnerabilidades relacionadas con la edad o la discapacidad para alterar un comportamiento. Para un agente de secretaría, la regla práctica es sencilla: el agente informa, propone y concierta citas; no presiona, no insiste, no juega con el miedo ni con la urgencia para conseguir algo. El tono que usted le da cuenta.
¿Alto riesgo o no?
El Reglamento reserva sus obligaciones más exigentes a los sistemas «de alto riesgo», enumerados en sus anexos: contratación de personal, concesión de créditos, educación, gestión de infraestructuras críticas, justicia y migración, entre otros. Un agente que concierta citas y toma mensajes para un profesional de oficios, una consulta o un comercio no figura en ellos. Por tanto, no tiene que prever ni evaluación de la conformidad ni registro en una base de datos europea. Esté atento si le confía otra cosa, por ejemplo una preselección telefónica de candidatos: ahí se cambia de categoría.
El RGPD: sus datos, sus obligaciones
Quién es quién
Usted, la empresa cuyo teléfono suena, es el responsable del tratamiento: decide por qué y cómo se tratan las llamadas. El proveedor del agente de voz es su encargado del tratamiento: trata los datos por cuenta de usted, siguiendo sus instrucciones. Este reparto tiene dos consecuencias: usted debe poder justificar cada tratamiento, y debe tener con el proveedor un contrato que lo obligue, previsto en el artículo 28 del RGPD. Ese contrato, a menudo llamado acuerdo de tratamiento de datos, debe existir antes de la primera llamada. Pídalo, léalo y consérvelo.
La base jurídica
Atender una llamada, anotar unos datos de contacto, concertar una cita: estos tratamientos se basan en la ejecución del contrato con el cliente o en su interés legítimo en gestionar su actividad. No necesita pedir el consentimiento de quien llama para responderle. El consentimiento vuelve a ser necesario para usos que van más allá de la petición: enviar ofertas comerciales, por ejemplo.
La información a quienes llaman
Es la obligación más visible. Las personas deben saber quién trata sus datos, por qué, con qué base jurídica, quién los recibe, cuánto tiempo se conservan y cuáles son sus derechos. Al teléfono, la CNIL, la autoridad francesa de protección de datos, admite una información en dos niveles: una mención breve durante la llamada y el detalle en un soporte accesible, por ejemplo su web. En concreto:
- el agente indica al inicio de la llamada que es una IA y, si es el caso, que la conversación se graba o se transcribe;
- una página de su web describe el tratamiento: finalidad, proveedor, lugar de alojamiento, plazo de conservación, derechos y contacto;
- su contestador, en las líneas que lo mantienen, remite a esa página.
El plazo de conservación
Los datos no se guardan «por si acaso». Fije un plazo para cada tipo de dato: el resumen de una llamada, la cita en la agenda, la grabación de audio si existe. El plazo adecuado es el que sirve a la finalidad: gestionar la petición, cumplir con la cita, tramitar una reclamación. En Francia, la CNIL publica referencias sobre los plazos, y su registro de actividades de tratamiento debe indicar el que usted haya fijado. Su proveedor debe aplicarlo, o permitirle aplicarlo.
La grabación de las conversaciones
Transcribir una llamada para sacar un resumen y conservar el audio son dos cosas distintas. La grabación de audio no es obligatoria para que un agente funcione. Si la utiliza, por ejemplo para comprobar la calidad de las respuestas al principio, la CNIL exige en Francia informar a las personas, permitirles oponerse, limitar el plazo de conservación y restringir el acceso a las grabaciones. Si no la necesita, desactívela: es el ajuste más fácil de defender.
Los derechos de las personas
Quien llama puede preguntar qué datos tiene usted sobre él, pedir que se corrijan o se supriman, u oponerse a ciertos tratamientos. Prevea cómo responderá: dónde están los resúmenes, quién puede suprimirlos, en qué plazo. Un mes es el plazo de referencia para responder.
La seguridad y el alojamiento
Usted debe proteger los datos y elegir un encargado del tratamiento que los proteja. Pregunte dónde se alojan, quién los aloja y cómo se cifran. Un alojamiento en Francia o en la Unión Europea evita las cuestiones de transferencia fuera de la UE, que de lo contrario exigen garantías específicas. Si algunos subencargados de su proveedor, por ejemplo un proveedor de modelo de lenguaje, están fuera de la UE, el contrato debe indicarlo y regularlo.
El caso particular de los datos de salud
Una consulta médica, dental, de fisioterapia o de logopedia recibe, desde la reserva de la cita, información relacionada con la salud: el motivo de la consulta y, a veces, el nombre de un profesional especializado. Estos datos son «sensibles» en el sentido del RGPD y, en Francia, su alojamiento por cuenta de un profesional sanitario está reservado a los proveedores certificados HDS. Antes que cualquier otro criterio, compruebe que su proveedor aloja los datos en uno de esos proveedores, y pídale que lo ponga por escrito en el contrato.
Tres reglas de sentido común completan la certificación:
- el agente concierta la cita y da la información práctica, nunca un consejo médico;
- no confirma a un tercero ni que una persona es paciente de la consulta ni el motivo de una visita;
- el profesional sanitario tiene la última palabra sobre lo que se anota y se transmite.
La guía «secretaria médica o IA» detalla la organización de una consulta con un agente de voz, y la guía completa de la recepcionista virtual con IA sitúa todo esto en la puesta en marcha.
El secreto profesional
Abogados, notarios, asesores contables, profesionales sanitarios: el secreto profesional no se detiene en la atención telefónica. El agente debe configurarse para no confirmar nunca la existencia de un expediente, un cliente o una cita a nadie que no sea la persona interesada, y para tomar un mensaje en lugar de responder cuando tenga dudas. Este ajuste se hace en la ficha de actividad, y se pone a prueba: llame haciéndose pasar por un tercero y compruebe lo que responde el agente.
La lista de comprobación, en diez puntos
- El agente se presenta como IA al inicio de cada llamada.
- Nunca se configura para hacerse pasar por una persona.
- Su web incluye una página de información sobre el tratamiento de las llamadas, con el nombre del proveedor.
- Se ha firmado con el proveedor un contrato de encargo del tratamiento conforme al artículo 28.
- Sabe dónde se alojan los datos y quién los aloja.
- Los plazos de conservación están fijados, escritos y se aplican.
- La grabación de audio está desactivada o, si está activada, regulada.
- El tratamiento figura en su registro de actividades de tratamiento.
- Sabe cómo responder a una solicitud de acceso o de supresión.
- Para la salud: alojamiento certificado HDS (en Francia), ningún consejo médico, ninguna confirmación a terceros.
Lo que hace Sayelo
Hemos diseñado el agente para que estas reglas se respeten por defecto: la IA se anuncia al inicio de cada llamada, los datos se alojan en Francia en un proveedor certificado HDS y se entrega un acuerdo de tratamiento de datos a cada cliente. Los números y la telefonía los proporciona un operador asociado registrado ante la ARCEP (el regulador francés de las telecomunicaciones). El ajuste del secreto, de los plazos y de la grabación queda en sus manos, porque es su tratamiento. La página de seguridad y RGPD describe el detalle, y la guía técnica explica por dónde pasan los datos durante una llamada.
