RGPD y AI Act en un agente de voz, en la práctica

Una grabación de llamada contiene datos personales de quien llama, casi siempre también de terceros que se mencionan por el camino. Eso ya basta para que el RGPD aplique de lleno.

Hay un escalón más. Si la voz se usa para identificar a la persona que habla, pasa a ser dato biométrico, con el régimen reforzado del artículo 9. No es lo mismo transcribir una llamada que reconocer a alguien por su voz, y conviene tener claro en cuál de las dos estás.

Tú eres el responsable del tratamiento. La plataforma es encargada. Eso significa que las decisiones importantes las tomas tú, y que necesitas un contrato de encargado firmado, saber quiénes son los subencargados y poder decir dónde se procesan los datos.

También significa que informar a quien llama es responsabilidad tuya, no de la plataforma. Puedes hacerlo en el saludo del agente, y en Lera ese saludo es editable precisamente por eso.

El alojamiento es en la Unión Europea. Los seis acuerdos de encargado del tratamiento con los proveedores de voz están firmados.

La grabación de llamadas viene apagada de fábrica. Si no la enciendes, no hay audio que guardar, y el problema de conservación desaparece en vez de gestionarse.

Cuando un cliente clona su voz, no se guarda la muestra de audio, solo su huella criptográfica. Una muestra de voz es un dato biométrico y conservarla sin necesitarla es guardar el riesgo sin la ventaja. Además se registra quién dio el consentimiento, cuándo, desde qué dirección IP y con qué versión del texto.

El reglamento europeo de IA exige transparencia cuando una persona interactúa con un sistema automatizado. En la práctica se resuelve diciéndolo en el saludo.

Lera no fuerza ese aviso desde el motor. Viene en el saludo por defecto y es editable, porque informar es una obligación tuya como responsable y la forma exacta depende de tu contexto y de tu sector. Forzarlo desde la plataforma sería decidir por ti algo que la ley te atribuye a ti.

Dónde se procesa y se almacena el audio, con el país concreto. La lista de subencargados. Cuánto tiempo se conservan transcripciones y grabaciones, y si el plazo lo fijas tú. Si puedes desactivar la grabación. Y cómo te llevas o borras tus datos el día que te vayas.

Si alguna respuesta llega en forma de folleto en vez de por escrito, tómalo como un dato.

Esto es una explicación práctica, no asesoramiento jurídico. Tu caso concreto depende del sector, del tipo de datos y de tu propio análisis de riesgo. Si tratas datos de salud o datos biométricos, habla con alguien que firme.