ServIA
Para dueños y responsables de operaciones de pymes que van a poner una IA a contestar el teléfono, atender WhatsApp o llamar a clientes. Sin jerga: qué obliga cada norma, qué pasa si no se cumple y una lista de comprobación.
Desde el 2 de agosto de 2026, una IA que habla con personas tiene que decirlo desde el principio (AI Act, art. 50). Si además grabas la llamada, sigues bajo el RGPD: informar, tener base legal y fijar cuánto tiempo se guarda. Y si llamas tú con fines comerciales, necesitas consentimiento u otra base legal (Ley de Telecomunicaciones, art. 66) y respetar los horarios y listas de exclusión que fija la AEPD.
El Reglamento europeo de Inteligencia Artificial (el «AI Act») se aplica por fases. La que afecta a casi cualquier empresa es la del artículo 50, sobre transparencia: desde esa fecha, los sistemas de IA diseñados para interactuar directamente con personas deben estar hechos de forma que la persona sepa que está tratando con una IA. La única excepción es que resulte evidente para una persona razonablemente informada y atenta, y las directrices de la Comisión la interpretan de forma estricta: un recepcionista de voz natural que descuelga el teléfono de tu empresa no es «evidente».
En España, el Gobierno aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que aterriza el reglamento, refuerza a la AESIA (Agencia Española de Supervisión de la IA) como autoridad y punto de contacto único, y fija el régimen sancionador nacional. Está en tramitación en el Congreso; las obligaciones europeas ya aplican con o sin ella.
Antes de que la persona cuente nada, el agente se identifica como IA. Vale para voz, WhatsApp, chat web y correo automático. No sirve ponerlo en las condiciones generales ni decirlo al final.
El AI Act no obliga a grabar; el RGPD regula la grabación si la haces: avisar al inicio de que la llamada se graba y para qué, tener una base legal (consentimiento o interés legítimo documentado), fijar un periodo de retención y guardar el audio de forma segura. La transcripción es dato personal igual que el audio.
Desde junio de 2023 la Ley General de Telecomunicaciones prohíbe las llamadas comerciales no solicitadas salvo consentimiento previo u otra base legal del RGPD. La AEPD (Circular 1/2023) exige además consultar la Lista Robinson y tu lista interna de exclusión antes de cada campaña, identificar a la empresa y el motivo, y llamar solo en horario razonable (de lunes a viernes, entre las 9 y las 21 h).
El AI Act prohíbe desde 2025 las prácticas manipuladoras o que exploten vulnerabilidades. En la práctica, para una pyme significa dos cosas: que el agente no se haga pasar por una persona ni presione, y que lo delicado (una queja, una reclamación, un cobro) pase a alguien de tu equipo. Guardar el registro de lo que hizo el sistema es lo que te permite demostrarlo.
Quien desarrolla el sistema es el «proveedor»; quien lo usa en su empresa es el «responsable del despliegue». Las dos figuras tienen obligaciones, y la de transparencia recae en ambas. Pide a tu proveedor por escrito cómo cumple el artículo 50, dónde se guardan los datos y quién accede, y firma con él un contrato de encargado de tratamiento (RGPD, art. 28).
| Incumplimiento | Norma | Sanción máxima |
|---|---|---|
| No informar de que se habla con una IA | AI Act, art. 99.4 | 15 M € o el 3 % de la facturación mundial anual, la mayor. Para pymes y startups, la menor de las dos. |
| Prácticas prohibidas (manipulación, explotar vulnerabilidades) | AI Act, art. 99.3 | 35 M € o el 7 % de la facturación. |
| Grabar sin informar o sin base legal; no atender los derechos | RGPD, art. 83 | Hasta 20 M € o el 4 %, según la infracción. La AEPD sanciona con frecuencia por debajo, pero sanciona. |
| Llamadas comerciales sin consentimiento | Ley 11/2022, art. 66 y RGPD | Infracción de protección de datos: la AEPD ha impuesto multas de cientos de miles de euros a empresas que llamaban sin base legal. |
Las cifras son los techos legales. Lo habitual en una pyme no es la multa máxima: es una reclamación de un cliente que acaba en la AEPD, y la carga de demostrar que se hizo bien. Tener el registro es lo que decide ese expediente.
Marca lo que ya tienes. Se guarda en este navegador para que puedas volver.
Las obligaciones son las mismas; lo que cambia es dónde te aprietan. Servicios técnicos y mantenimiento · Clínicas y centros de salud · Academias y formación.