Montar un agente de voz que coja el teléfono es, hoy, un problema de una tarde. Conectas un número, le das un guion, lo pruebas con tu móvil y a las dos horas contesta mejor que tú un lunes a las nueve. Lo difícil no es eso. Lo difícil es que ese agente graba, transcribe, guarda y manda audio con la voz de tus clientes a tres o cuatro empresas distintas, y tú eres el responsable de todo lo que pase con él.
Este post es la lista de lo que tienes que tener resuelto antes de encenderlo: base jurídica, locución inicial, contrato con el proveedor, plazo de borrado y papeleo interno. No es asesoramiento legal, es el mapa que yo repasaría antes de poner un número de teléfono en producción. Si tu caso tiene sectorial encima (banca, seguros, sanidad, telecomunicaciones), suma reglas; no restes ninguna de estas.
¿Es legal que una IA grabe las llamadas de tus clientes?
- Agente de voz con grabación de llamadas
- Sistema de IA que atiende o emite llamadas telefónicas, convierte la voz en texto y genera respuestas habladas. Al almacenar el audio y su transcripción realiza un tratamiento de datos personales sujeto al RGPD y, desde agosto de 2026, a las obligaciones de transparencia del Reglamento Europeo de IA.
Sí, con condiciones. Y conviene separar dos cosas que se mezclan siempre.
Una es el secreto de las comunicaciones del artículo 18.3 de la Constitución. Grabar una conversación en la que tú eres parte no lo vulnera: la jurisprudencia es pacífica en eso. Quien escucha a escondidas a terceros comete un delito; quien graba su propia llamada, no.
La otra, la que te afecta de verdad, es que el audio de una llamada es un dato personal. Contiene la voz de una persona identificable y casi siempre su nombre, su teléfono, su dirección, su matrícula o su número de pedido. Almacenarlo es un tratamiento sujeto al RGPD y a la LOPDGDD 3/2018. Y desde agosto de 2026 hay una capa más: el artículo 50 del AI Act, que obliga a avisar de que quien habla es una máquina.
Así que la pregunta correcta no es «¿puedo grabar?». Es «¿con qué base jurídica, informando de qué, guardándolo cuánto y compartiéndolo con quién?».
La voz es dato personal; a veces, además, biométrico
Matiz importante porque cambia el régimen entero. El RGPD considera dato biométrico el que resulta de un tratamiento técnico específico dirigido a identificar de manera unívoca a una persona. Grabar una llamada y pasarla por un transcriptor no es eso: es un dato personal normal.
Ahora, si activas verificación por huella vocal («te reconozco por la voz, no hace falta que me des el DNI»), entras en el artículo 9: categoría especial, prohibición general y necesidad de consentimiento explícito. Mismo audio, obligaciones muy distintas.
Y un tercer caso que mucha gente enciende sin pensarlo: el análisis de emociones. Si el agente puntúa el enfado del cliente, estás haciendo reconocimiento de emociones, una práctica que el AI Act clasifica como de alto riesgo en general y que prohíbe directamente en el ámbito laboral. Si lo que quieres es medir el tono de tus propios empleados en llamadas, párate ahí.
Qué base jurídica necesitas para cada finalidad
El error número uno: grabar todo «para calidad» y meterlo en un cajón. Cada finalidad necesita su base del artículo 6 y debe estar escrita antes, no justificada después.
| Finalidad de la grabación | Base jurídica (art. 6 RGPD) | Qué tienes que poder enseñar |
|---|---|---|
| Prueba de una contratación por teléfono | Ejecución del contrato (6.1.b) u obligación legal (6.1.c) | Dónde dice la norma o el contrato que necesitas la prueba |
| Gestión de una incidencia o pedido en curso | Ejecución del contrato (6.1.b) | Que sin la grabación no puedes prestar el servicio |
| Seguridad jurídica ante reclamaciones | Interés legítimo (6.1.f) | Juicio de ponderación por escrito y derecho de oposición |
| Control de calidad y formación interna | Interés legítimo (6.1.f) o consentimiento | Ponderación, o un «no» que no penalice al cliente |
| Entrenar o afinar el modelo con tus audios | Consentimiento (6.1.a) | Casilla separada, no preseleccionada, revocable |
| Verificación de identidad por voz | Consentimiento explícito (art. 9.2.a) | Alternativa real para quien no lo quiera |
| Llamadas comerciales salientes | Consentimiento o interés legítimo según caso | Consulta previa de listas de exclusión publicitaria |
Regla práctica: si no puedes prestar el servicio sin grabar, es contrato. Si puedes pero te viene bien, es interés legítimo y te toca ponderar. Si es para tu beneficio y el cliente no gana nada, es consentimiento. Lo expliqué con más detalle para tratamientos generales en el post sobre agentes de IA y datos de clientes.
Qué tiene que decir el agente en los primeros diez segundos
Aquí es donde se cae la mayoría de implantaciones que veo. La locución de bienvenida no es marketing: es el cumplimiento del artículo 13 del RGPD en primera capa, más el aviso del AI Act.
Un guion que cubre lo mínimo:
«Le atiende el asistente virtual de [empresa]. Soy un sistema automático de inteligencia artificial y esta llamada se graba para [finalidad concreta]. Puede consultar cómo tratamos sus datos y ejercer sus derechos en [web]/privacidad, o pedirme ahora que le pase con una persona.»
Cuatro cosas en una frase: quién eres, que es una IA, que se graba y para qué, y dónde está la información completa. La segunda capa —finalidades, plazos, destinatarios, derechos, datos del delegado de protección de datos si lo tienes— vive en la política de privacidad y en una página específica de tratamiento de llamadas.
Tres detalles que marcan la diferencia:
- El aviso va antes de pedir nada. Si el agente pregunta el nombre y luego avisa, ya has tratado datos sin informar.
- Salida a humano siempre disponible. No es obligatoria por RGPD, pero resuelve el derecho de oposición y las quejas en el mismo minuto.
- Si la base es el consentimiento, tiene que haber un «no» operativo. «Si no desea ser grabado, pulse 2 y le atenderá un agente» o la llamada se corta sin grabar. Un consentimiento que no se puede rechazar no es consentimiento.
¿Quién responde si el proveedor del agente filtra los audios?
Tú. Esa es la respuesta corta y la que más sorprende.
El que decide para qué se graba es el responsable del tratamiento: tu empresa. Los proveedores —la plataforma de voz, la telefonía, el modelo que genera las respuestas, el CRM donde cae la transcripción— son encargados. Con cada uno necesitas un contrato del artículo 28 RGPD (lo que todo el mundo llama DPA) firmado antes de la primera llamada, no después.
En una llamada típica el audio pasa por más manos de las que crees:
| Pieza de la cadena | Rol habitual | Qué comprobar antes de firmar |
|---|---|---|
| Operador de telefonía / numeración | Encargado | Si retiene audio y cuánto tiempo |
| Plataforma del agente de voz | Encargado | Subencargados declarados y país de alojamiento |
| Motor de voz a texto | Subencargado | Si usa tus audios para entrenar por defecto |
| Modelo de lenguaje (Claude, GPT…) | Subencargado | DPA firmado, retención cero o limitada |
| Voz sintética (TTS) | Subencargado | Si guarda el texto generado |
| CRM / hoja donde cae el resumen | Encargado | Permisos de acceso y registro de quién lee qué |
Seis contratos para una llamada de noventa segundos. Por eso la parte legal cuesta más que la técnica. Y por eso el proveedor que no te enseña su lista de subencargados en dos clics es un proveedor que te va a dar un problema.
¿Quieres ver el sistema por dentro?
Cada domingo cuento qué he montado esta semana para hacer crecer un proyecto real: qué decidí, qué resultados dio y qué se rompió por el camino.
Un correo por semana. Sin refritos y sin afiliados.
Añade dos cosas: una cláusula de notificación de brechas sin dilación, porque tú tienes 72 horas para avisar a la AEPD desde que lo sabes, y la obligación de devolver o borrar todo al terminar el contrato.
Dónde acaba el audio: transferencias fuera de la UE
La mayoría de modelos de voz y de lenguaje son estadounidenses. Eso no es ilegal, pero exige mecanismo del capítulo V: adhesión del proveedor al marco de adecuación UE-EEUU o cláusulas contractuales tipo con su análisis de impacto de la transferencia.
Dos preguntas concretas a cada proveedor, por escrito y guardadas en un correo:
- ¿En qué región se procesa y se almacena el audio y la transcripción?
- ¿Cuántos días retienes el contenido y puedo ponerlo a cero?
Si ofrecen procesamiento en la UE y retención cero, la vida se te simplifica muchísimo. Si no, documenta por qué lo asumes. En el post sobre el AI Act para pymes desarrollo cómo encaja esto con las obligaciones nuevas de transparencia.
Cuánto tiempo puedes guardar las grabaciones
El principio de limitación del plazo de conservación (art. 5.1.e) dice lo que dice: el tiempo necesario, y luego se borra. «Por si acaso» no es un plazo. Orientación razonable según finalidad:
| Tipo de grabación | Plazo orientativo | Referencia |
|---|---|---|
| Atención al cliente general | 1-3 meses | Tiempo de resolución de la incidencia |
| Transcripción anonimizada para estadística | Indefinido si no reidentifica | Deja de ser dato personal |
| Prueba de contratación telefónica | Hasta prescripción de la acción | 5 años en obligaciones personales (art. 1964 CC) |
| Reclamación abierta o litigio | Hasta resolución firme | Bloqueo, no borrado |
| Datos del art. 9 (voz biométrica) | El mínimo imprescindible | Consentimiento revocable |
Y lo que de verdad te salva en una inspección: que el borrado esté automatizado. Un cron que cada noche elimina lo que pasó de plazo y escribe una línea en un log vale más que diez páginas de política. Si el borrado depende de que alguien se acuerde, no existe.
¿Necesitas una evaluación de impacto antes de encender?
Probablemente sí. El artículo 35 del RGPD la exige cuando el tratamiento puede entrañar alto riesgo, y la AEPD publica una lista de criterios: uso de tecnologías innovadoras, tratamiento a gran escala, datos biométricos, evaluación o puntuación de personas, decisiones automatizadas. Si concurren dos o más, toca EIPD.
Un agente de voz que graba a todo el que llama suma fácil tres: tecnología innovadora, volumen y, si clasifica o puntúa llamadas, evaluación. Haz la EIPD antes, no cuando llegue la reclamación. Además necesitas tener el tratamiento en tu registro de actividades (art. 30): la exención para menos de 250 empleados no aplica cuando el tratamiento no es ocasional, y grabar llamadas a diario no lo es.
El papeleo mínimo, resumido:
- Registro de actividades de tratamiento actualizado con la nueva finalidad.
- Juicio de ponderación si vas por interés legítimo.
- EIPD si concurren criterios de alto riesgo.
- Contratos del art. 28 con cada encargado, firmados antes de la primera llamada.
- Política de privacidad y página de segunda capa para llamadas.
- Procedimiento escrito para atender acceso, oposición y supresión en un mes.
- Plazo de borrado automatizado y log que lo demuestre.
Sobre las sanciones, para que calibres: el artículo 83.5 del RGPD permite hasta 20 millones de euros o el 4 % de la facturación global para infracciones de bases jurídicas, información y derechos; el 83.4 llega hasta 10 millones o el 2 % para fallos de contratos con encargados o de seguridad. En una pyme las cuantías reales son muchísimo menores, pero el apercibimiento, el requerimiento de borrado y tener que apagar el agente también duelen.
Cómo lo hago yo
Voy a ser honesto: no tengo un agente de voz grabando llamadas. Mi sistema son 11 scripts programados con Claude Code que corren desatendidos en un VPS, y ninguno toca audio. Trabajan con mi contenido, mis datos y mis métricas, no con la voz de nadie. El coste es de 129 €/mes desde febrero de 2026 —100 € de suscripción de Claude y 29 € del VPS, IVA incluido en lo que facturan, sin tokens aparte— y lo opero en 8-10 horas a la semana, por las tardes.
Esa decisión no es casual. Cuando miré lo que exige meter voz de clientes en la ecuación, el cálculo me salió claro: la parte técnica es barata y la parte de cumplimiento, no. Si tu negocio vive del teléfono, compensa; si puedes resolverlo por formulario o WhatsApp con texto, te ahorras media capa normativa.
La regla que aplico a todo lo que automatizo es la misma de siempre: primero los papeles, luego el botón de encender. Antes de conectar cualquier servicio nuevo, miro tres cosas: qué dato personal entra, con quién acaba y cuándo se borra. Si no sé responder a las tres, no se conecta. Y si quieres ver el otro lado de la cuenta —cuánto cuesta esto de verdad al mes— lo desgloso en cuánto cuesta un agente de voz IA para llamadas en España, y la parte fiscal de estas suscripciones la cuento en cómo deduzco ChatGPT y Claude como autónomo.
Si trabajas en un sector con secreto profesional encima, empieza por agentes de IA en despachos de abogados sin saltarte el RGPD: el razonamiento es el mismo, pero el listón está más alto.
El agente de voz no es un problema técnico, es un problema de papeles. Montarlo me llevaría una tarde; dejarlo legal, varias. Y el orden correcto es al revés: primero los papeles, luego el número de teléfono.