3 de septiembre de 2026 servicio atencion al cliente call center

Reglamento de IA europeo agentes de voz: obligaciones

Escrito por Universal Telecom

Poner un agente de voz en una línea de atención plantea una duda concreta: ¿qué obligaciones asume la empresa que lo utiliza? La respuesta no depende solo de que el agente hable con una persona. Depende de su finalidad, de las decisiones que tome y del papel que desempeñe cada parte.

El Reglamento de IA europeo no convierte por defecto un agente de atención telefónica en un sistema de alto riesgo. Pero tampoco permite desplegarlo sin control. Hay una obligación que no depende de nada: informar a quien llama de que está interactuando con un sistema de IA. Las demás no son iguales para todos — el Reglamento las gradúa según el papel de cada parte y la categoría de riesgo del sistema — así que lo primero es saber si actúas como proveedor o como responsable del despliegue. A partir de ahí, nuestra recomendación es limitar qué puede hacer el agente y guardar constancia de cómo se usa: no porque la norma se lo exija a todo el mundo, sino porque es lo que permite contestar el día que alguien pregunte.

Además, el Reglamento de IA no sustituye al RGPD. Las grabaciones, las transcripciones y los datos de voz exigen una base jurídica, información clara, medidas de seguridad y criterios de conservación adecuados al caso. La referencia principal es el Reglamento (UE) 2024/1689 (se abre en una pestaña nueva), pero el contrato con el proveedor y el tratamiento concreto determinan buena parte de las obligaciones prácticas.

Primero: ¿eres proveedor o responsable del despliegue del agente?

La primera pregunta no es quién paga el agente. Es quién lo pone en el mercado y quién decide cómo se utiliza.

El proveedor desarrolla un sistema de IA o lo comercializa bajo su nombre o marca. También puede asumir ese papel si modifica sustancialmente un sistema existente o cambia su finalidad prevista. El Reglamento (UE) 2024/1689 (se abre en una pestaña nueva) define estas situaciones y atribuye al proveedor obligaciones propias según la categoría de riesgo del sistema.

El responsable del despliegue es la empresa que utiliza el sistema bajo su autoridad. Por ejemplo, una compañía que contrata un agente de voz para atender llamadas de clientes, consultar información en su CRM o derivar conversaciones a su equipo. Aunque el agente lo haya creado un tercero, esa empresa decide para qué se usa, qué datos recibe y qué acciones puede ejecutar.

La etiqueta comercial no resuelve el análisis. Una pyme que configura un agente de un proveedor para su atención telefónica normalmente actúa como responsable del despliegue. Si lo presenta con su propia marca, altera de forma relevante su funcionamiento o lo usa para una finalidad distinta de la prevista, puede asumir además responsabilidades de proveedor conforme al Reglamento.

El caso de uso también importa. Un agente que responde preguntas frecuentes no plantea el mismo análisis que uno que filtra candidatos, evalúa solicitudes de crédito o decide el acceso a un servicio. El Reglamento clasifica el riesgo atendiendo a la finalidad concreta del sistema, no solo a que utilice voz o mantenga una conversación.

Por eso, antes de contratar, conviene dejar por escrito quién aporta el sistema, quién fija sus instrucciones, qué controles conserva cada parte y qué ocurre si el agente cambia de función. Esa asignación evita confundir las obligaciones del proveedor con las de la empresa que lo utiliza.

La obligación más visible: avisar de que responde una IA

El Reglamento de IA exige que la persona sepa que interactúa con un sistema de inteligencia artificial. En un agente de voz, el aviso debe aparecer como muy tarde en la primera interacción. Debe ser claro, comprensible y distinguible de la conversación normal. La obligación corresponde al proveedor del sistema, aunque la empresa cliente debe comprobar que el aviso se aplica correctamente en su línea y en su caso de uso. (Reglamento (UE) 2024/1689, artículo 50 (se abre en una pestaña nueva))

No hace falta convertir la llamada en un texto legal. Basta con identificar el agente sin rodeos:

«Estás hablando con un asistente virtual basado en inteligencia artificial. Si lo prefieres, puedo pasarte con una persona».

La norma marca el límite en la primera interacción; nuestra recomendación es no apurarlo y decirlo antes de pedir el primer dato, explicar una factura o iniciar una gestión. No conviene esconderlo en una locución rápida ni confiar en que la voz artificial resulte evidente. El Reglamento contempla una excepción cuando, por las circunstancias y el contexto, la interacción con IA resulta obvia para la persona. En atención telefónica, esa obviedad puede variar según la calidad de la voz, el guion y el público. Por prudencia, es mejor informar siempre. (Reglamento (UE) 2024/1689, artículo 50 (se abre en una pestaña nueva))

El aviso debe encajar con la finalidad de la llamada. Si el agente solo responde preguntas, debe decirlo. Si también consulta pedidos, modifica citas o recoge información, la empresa debe explicarlo en su política y limitar el guion a esas funciones. La transparencia no sustituye al consentimiento ni a la información exigible por protección de datos. Solo evita que la persona confunda al agente con un trabajador humano.

Cuándo un agente de voz puede entrar en una categoría de mayor riesgo

Un agente de voz para resolver dudas, recoger datos de contacto o derivar una llamada no entra automáticamente en la categoría de alto riesgo. El análisis cambia cuando el agente participa en una decisión que puede afectar de forma relevante a una persona. El Reglamento de IA vincula la clasificación a la finalidad y al uso concreto del sistema, no al hecho de que utilice voz (Reglamento (UE) 2024/1689, artículo 6 y anexo III (se abre en una pestaña nueva)).

Revisa especialmente estos escenarios:

Empleo: filtrar candidaturas, evaluar respuestas, recomendar contrataciones o apoyar decisiones sobre condiciones laborales.
Servicios esenciales: valorar el acceso de una persona a servicios públicos o privados esenciales.
Crédito y seguros: evaluar la solvencia para conceder crédito o calcular determinados riesgos y precios de seguros.
Identificación biométrica: identificar a una persona mediante sus rasgos biométricos. No es lo mismo verificar que alguien es quien dice ser que identificarle entre varias personas.
Reconocimiento de emociones: inferir el estado emocional de quien llama. El Reglamento establece restricciones específicas y contempla usos prohibidos en determinados contextos, como el trabajo o la educación.
Prácticas prohibidas: manipular la conducta, explotar vulnerabilidades o aplicar formas prohibidas de categorización biométrica o puntuación social.

Por tanto, un agente que informa sobre horarios, consulta el estado de un pedido y transfiere la llamada a una persona requiere un análisis distinto al de otro que decide si conceder financiación o descartar a un candidato. En el segundo caso, no basta con activar un aviso de IA y firmar un contrato: hay que clasificar la finalidad, revisar las obligaciones del régimen de alto riesgo y establecer controles humanos y documentales (Reglamento (UE) 2024/1689, artículos 5 y 6, y anexo III (se abre en una pestaña nueva)).

Datos personales, grabaciones y transcripciones: el Reglamento de IA no sustituye al RGPD

El Reglamento de IA no sustituye las normas de protección de datos. Ambos marcos se aplican al agente de voz, cada uno desde un ángulo distinto. El primero regula el uso del sistema de inteligencia artificial. El segundo regula cómo la empresa trata la voz, las grabaciones, las transcripciones y los datos que aparecen durante la llamada. El propio Reglamento de IA preserva la aplicación de la normativa de protección de datos【src-ai-act†https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32024R1689】 (se abre en una pestaña nueva).

Antes de activar la grabación o la transcripción, define cuatro decisiones:

Finalidad: atender, resumir, clasificar, registrar una incidencia o entrenar el agente. No mezcles finalidades sin analizarlas por separado.
Base jurídica: el artículo 6 del RGPD (se abre en una pestaña nueva) exige que todo tratamiento se apoye en una de las bases que enumera, y el artículo 5.2 obliga a poder demostrarlo. La base que permite atender una llamada no tiene por qué cubrir su grabación, su análisis o su conservación: son tratamientos distintos y cada uno necesita la suya.
Información: el artículo 13 del RGPD (se abre en una pestaña nueva) enumera lo que hay que decir cuando los datos se recogen de la propia persona —quién trata, con qué finalidad y base, cuánto se conservan y qué derechos tiene—, y el artículo 12 exige que se diga de forma concisa e inteligible. La AEPD publica un modelo de cláusula informativa (se abre en una pestaña nueva) con el reparto por capas.
Conservación y acceso: el artículo 5.1.e del RGPD (se abre en una pestaña nueva) obliga a no conservar los datos más tiempo del necesario para la finalidad, y por eso no existe un plazo universal: depende de para qué se grabó. Fija el tuyo, escríbelo, limita las transcripciones a los equipos que las necesitan y registra los accesos.

El contrato con el proveedor también importa. Si trata datos por cuenta de tu empresa es un encargado del tratamiento, y el artículo 28.3 del RGPD (se abre en una pestaña nueva) exige un contrato que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. La AEPD publica un modelo de cláusulas (se abre en una pestaña nueva) para ese contrato. Comprueba además qué subencargados intervienen, dónde se procesan los datos y cómo se gestionan las transferencias internacionales.

La regla práctica es sencilla: configura el agente para recoger solo lo necesario, separa atención de analítica y elimina aquello que ya no tenga una finalidad documentada.

Qué debe pedir una empresa al proveedor del agente de voz

No contrates un agente de voz con una descripción comercial. Pide documentación que permita saber qué hace, con qué datos y bajo qué controles.

El Reglamento de IA diferencia las obligaciones según el papel de cada parte y la finalidad del sistema. Por eso conviene exigirle por escrito qué responsabilidades asume y cuáles recaen en la empresa que utiliza el agente: no es una obligación que el Reglamento le imponga con ese alcance, es lo que evita descubrir el reparto el día que hay un problema (Reglamento (UE) 2024/1689 (se abre en una pestaña nueva)).

Como mínimo, solicita:

Finalidad y límites. Qué conversaciones atiende, qué información puede proporcionar y qué acciones puede ejecutar. El agente no debería cancelar un servicio, modificar condiciones o comprometer a la empresa si nadie ha definido ese permiso.
Trazabilidad. Qué registros genera, quién puede consultarlos y cómo se reconstruye una respuesta o una derivación.
Control humano. Cómo transfiere la llamada a una persona, qué señales activan el escalado y quién revisa las decisiones o respuestas dudosas.
Incidencias. Un canal para comunicar errores, tiempos de respuesta y procedimiento para bloquear el agente si ofrece información incorrecta o actúa fuera de su alcance.
Seguridad y datos. Medidas de acceso, cifrado, separación entre clientes y gestión de grabaciones, transcripciones y otros datos tratados.
Subencargados y ubicación. Lista actualizada de proveedores que intervienen, países desde los que prestan el servicio y mecanismo previsto para las transferencias internacionales.
Documentación y cambios. Versiones del modelo o configuración, instrucciones del agente, pruebas realizadas y aviso previo ante cambios relevantes.
Retirada. Procedimiento para pausar, modificar o eliminar el agente, junto con la exportación o supresión de los datos que corresponda.

Si el proveedor no puede responder a estas preguntas, la empresa no tiene control suficiente para poner el agente en producción.

Checklist antes de poner el agente en producción

No actives un agente de voz con una configuración genérica. Revisa estos puntos antes de conectarlo a la línea pública:

Clasifica el caso de uso. Describe qué hará el agente, a quién atenderá y qué decisiones tomará. Atención básica, recogida de datos y derivación requieren un análisis distinto al de empleo, crédito, seguros, servicios esenciales o biometría. Contrasta la clasificación con el Reglamento de IA (se abre en una pestaña nueva).
Redacta el aviso inicial. Indica que responde una inteligencia artificial. Hazlo al principio de la conversación y con lenguaje comprensible. No escondas el aviso en una locución larga ni lo sustituyas por una marca comercial ambigua.
Limita las acciones. Define qué puede consultar, modificar o confirmar el agente. Bloquea cambios de datos sensibles, contrataciones, cancelaciones o compromisos económicos si no existe una revisión adecuada.
Prueba el escalado. Fuerza situaciones de enfado, silencio, respuestas ambiguas y solicitudes fuera del guion. Comprueba que el agente deriva a una persona y que esta recibe el contexto necesario. Mide también los fallos de reconocimiento y las llamadas que terminan sin resolver.
Documenta datos y permisos. Haz un inventario de audio, transcripciones, teléfonos, identificadores y datos que entren en el flujo. Anota quién accede, para qué se usa cada dato y qué proveedores intervienen.
Fija la conservación. Establece cuánto tiempo guardas grabaciones y transcripciones según la finalidad del tratamiento. Elimina lo que ya no necesites. No aceptes una conservación indefinida por defecto.
Revisa el contrato. Exige una descripción del agente, sus límites, medidas de seguridad, subencargados, ubicación del tratamiento, transferencias internacionales, gestión de incidencias y procedimiento para modificar o retirar el agente.

Guarda esta revisión junto con la versión desplegada, los cambios aprobados y los resultados de las pruebas. La documentación debe permitir reconstruir qué hacía el agente cuando atendió cada llamada.

Preguntas frecuentes

¿Tengo que avisar siempre de que una llamada la atiende una inteligencia artificial?

Sí, salvo que por las circunstancias resulte evidente para la persona. El aviso debe darse al inicio de la interacción, con claridad y de forma comprensible. Informar de que responde una IA no sustituye la información exigida sobre grabación, transcripción o tratamiento de datos personales.

¿Un agente de voz para atención al cliente se considera un sistema de IA de alto riesgo?

No por defecto. Un agente que responde preguntas, recoge datos o deriva llamadas suele requerir un análisis distinto al de un sistema que decide sobre empleo, crédito, seguros, servicios esenciales o derechos de una persona. La finalidad concreta y las acciones que ejecuta el agente determinan la clasificación.

¿Puedo grabar y transcribir las llamadas de un agente de voz?

Puedes hacerlo solo si existe una finalidad definida y una base jurídica válida para cada tratamiento. Debes informar a la persona, limitar los datos recogidos, controlar el acceso y fijar un periodo de conservación justificado. El Reglamento de IA no sustituye al RGPD ni autoriza por sí mismo la grabación.

¿Quién responde ante un incumplimiento: la empresa que usa el agente o el proveedor?

Depende del papel que desempeñe cada parte y de cómo se haya configurado el servicio. El proveedor debe cumplir las obligaciones que le correspondan por desarrollar o comercializar el agente; la empresa usuaria responde de las decisiones de despliegue, la finalidad, los datos y los controles bajo su responsabilidad. El contrato debe repartir estas funciones de forma expresa.

¿Qué documentación debo pedir antes de contratar un agente de voz con IA?

Pide una descripción de la finalidad, las funciones y los límites del agente. También debes revisar la información sobre datos tratados, grabaciones, transcripciones, accesos, subencargados, transferencias internacionales, seguridad, supervisión humana, incidencias y retirada del servicio. Si el agente puede tomar decisiones con efectos relevantes sobre una persona, exige además la documentación y los controles aplicables a ese caso de uso.

Pide una revisión de tu caso de uso y define cómo desplegar un agente de voz con avisos, escalados y controles claros.