Los criterios de la AEPD, en orden
La Agencia Española de Protección de Datos no ha publicado una guía específica sobre agentes de voz conversacionales. Lo que hay, y es bastante, son tres fuentes que juntas dibujan el criterio:
- Resoluciones sobre grabación de llamadas. En el expediente E/00715/2019 se reclamó contra una empresa que avisaba de la grabación al final de la llamada, por contravenir los artículos 12 a 14 del RGPD: el aviso tiene que ir antes de grabar (AEPD, E/00715/2019). En el E/04391/2017 la AEPD valoró un protocolo que informa en todas las llamadas y no graba si el interlocutor se opone (AEPD, E/04391/2017).
- Guía sobre tratamientos con IA (febrero de 2020), con los principios generales: finalidad, minimización, información y evaluación de riesgos (AEPD, adecuación al RGPD de tratamientos con IA).
- Dos entradas del blog de la AEPD sobre transcripción de voz con IA, la segunda del 20 de abril de 2026, que es la referencia más reciente y la más concreta (parte I; parte II).
De la parte II salen las reglas que importan a una recepcionista con IA: informar antes del inicio de la sesión; incluir los elementos de los artículos 12 a 14 del RGPD más «una explicación adecuada de los riesgos relevantes del tratamiento», las limitaciones conocidas y las posibles inexactitudes del sistema; indicar los plazos de conservación del audio y de la transcripción y cómo ejercer el acceso y la rectificación; un indicador visible o audible de que la captura sigue activa; el consentimiento, cuando sea la base, es por sesión y la captura debe cesar al terminar; y «si te unes, consientes» no vale (procedimiento PS/00342/2023).
Base jurídica: grabar no es lo mismo que transcribir
Conviene separar tres tratamientos, porque no tienen por qué apoyarse en la misma base:
| Tratamiento | Para qué sirve | Base habitual |
|---|---|---|
| Gestionar la cita (nombre, teléfono, servicio, hora) | Dar el servicio que el cliente pide | Ejecución del contrato o de medidas precontractuales a petición del interesado |
| Transcribir y resumir la llamada | Que tu equipo sepa qué se habló y pueda atender la transferencia o la reclamación | Interés legítimo del negocio, ponderado con los derechos del cliente, o ejecución del contrato si es necesario para prestarlo |
| Grabar el audio | Prueba, calidad, formación | Interés legítimo con información previa y posibilidad de oponerse, o consentimiento |
Esta tabla es una orientación general, no un dictamen: la base jurídica la decide tu negocio como responsable, y en sanidad, donde una cita ya revela un dato de salud, hay reglas adicionales que tratamos en RGPD y datos de salud. Lo que sí está claro en los criterios de la AEPD es que, si la base es el consentimiento, tiene que ser explícito, por sesión y revocable, y que seguir hablando no equivale a consentir.
Un detalle útil de la parte I: la AEPD considera que el RGPD no aplicaría a voces sintéticas o modificadas en origen, pero sí a los metadatos y al contenido vinculables a una persona. La voz de la IA no es dato personal; lo que dice tu cliente, sí.
Qué hay que decir y cuándo
El criterio de la AEPD es que la persona sepa, antes de que empiece la sesión, qué va a pasar con su voz. En una llamada eso significa la locución inicial, antes de que el cliente diga nada. En ese momento no se puede leer una política entera, así que el esquema es en dos capas:
- Primera capa, en la llamada: que es una IA, que la llamada se transcribe (y se graba, si lo activas), para qué, que puede pedir hablar con una persona y dónde está la información completa.
- Segunda capa, en tu política de privacidad: responsable, finalidades, base jurídica, riesgos relevantes y limitaciones del sistema (puede entender mal un nombre o una hora), plazos de conservación del audio y de la transcripción por separado, destinatarios y encargados, transferencias internacionales y cómo ejercer los derechos.
La locución que proponemos por defecto está en AI Act: cómo avisar, y el párrafo modelo para tu política, en Seguridad. Los dos son borradores para que los revise tu asesoría.
Si el cliente se opone a la grabación, el protocolo valorado por la AEPD en el E/04391/2017 es no grabar y seguir atendiendo. En Centralitia la grabación de audio es opcional y viene desactivada; la transcripción y el resumen son los que permiten a tu equipo saber qué se habló.
Plazos de conservación y derechos
La AEPD pide que se informe de los plazos de conservación del audio y de la transcripción. No fija cuántos días: eso depende de para qué los uses y de lo que puedas justificar. Reglas prácticas que aplicamos con nuestros clientes:
- Plazos separados para grabaciones, transcripciones y registros de llamadas, acordados en el contrato de encargado y configurables.
- El más corto que te sirva. Una grabación que nadie escucha es un riesgo sin beneficio. Si grabas para revisar la calidad, unas semanas suelen bastar; si es para reclamaciones, el plazo lo marca tu actividad.
- Borrado automático al vencer el plazo, y devolución o eliminación de todo al terminar el contrato.
Sobre los derechos: quien llama puede pedir acceso, rectificación, supresión, oposición, limitación y portabilidad. Como responsable, respondes tú; nosotros localizamos, exportamos o borramos lo que haya de esa persona en Centralitia. Si alguien se dirige a nosotros sin saber a qué negocio llamó, le orientamos: para eso existe He hablado con Centralitia. La parte II del blog añade un deber de diligencia continua: vigilar errores sistemáticos, sesgos lingüísticos e inferencias sensibles del sistema. Revisar transcripciones de vez en cuando es la forma sencilla de cumplirlo.
Contrato de encargado y transferencias internacionales
Tu negocio es el responsable del tratamiento y Centralitia el encargado: tratamos los datos solo para prestarte el servicio y según tus instrucciones. La AEPD lo recuerda en la parte II: quien adopta un servicio de transcripción con IA es el responsable aunque la herramienta sea de un tercero. Firmamos contigo un contrato de encargado del tratamiento que recoge qué datos, para qué, cuánto tiempo, qué medidas de seguridad, qué subencargados y qué pasa al terminar.
Sobre dónde están los datos, te contamos las dos partes:
| Qué | Dónde | Figura |
|---|---|---|
| Web, panel y base de datos: citas, registro de llamadas, transcripciones, resúmenes | Servidores propios en España | Centralitia, encargado |
| Audio de la llamada y procesamiento de voz (reconocimiento y síntesis) | Red de Telnyx, que puede tratar datos fuera del Espacio Económico Europeo | Telnyx, subencargado, con cláusulas contractuales tipo |
Las cláusulas contractuales tipo son el instrumento que prevé el RGPD para transferir datos fuera del EEE con garantías. Es un punto que debe constar en tu política de privacidad y que tu delegado de protección de datos, si lo tienes, debe valorar. Por eso no decimos «todos tus datos en la UE»: preferimos que puedas explicar a tus clientes exactamente qué pasa por dónde.
Aplicado a un negocio con Centralitia: lista de comprobación
- Has decidido si grabas audio. Si no lo necesitas, déjalo desactivado: la transcripción y el resumen bastan para saber qué se habló.
- La locución inicial dice que es una IA y que la llamada se transcribe (y se graba, si aplica) antes de que el cliente hable.
- Tu política de privacidad explica riesgos y limitaciones del sistema, plazos separados de audio y transcripción, encargado, subencargado y transferencias.
- Has fijado en el contrato de encargado los plazos de conservación y el borrado automático.
- Tu equipo sabe qué hacer si un cliente pide no ser grabado o ejerce un derecho.
- Has actualizado el registro de actividades de tratamiento con el nuevo canal.
- Revisas transcripciones de vez en cuando para detectar errores sistemáticos o datos que no hacen falta.
Actualizado el 23 de octubre de 2026.