LOPD y agentes de voz IA: qué puedes y no puedes hacer (guía 2026)

Cuando un profesional sanitario se plantea poner un agente de voz IA al teléfono de su consulta, la primera pregunta que aparece suele ser la misma: ¿esto es legal? Y detrás, casi siempre, una segunda: ¿cuánto papeleo me va a caer encima si lo pongo mal? Esta guía responde a las dos con datos concretos de 2026, sin literatura jurídica innecesaria, para que sepas dónde está la línea antes de firmar nada.

Trabajamos con consultas privadas pequeñas cada semana y esta conversación aparece siempre. Vamos por partes.

El marco que aplica: RGPD, LOPDGDD y algo más

Un agente de voz IA que atiende llamadas de pacientes trata datos personales — nombre, teléfono, motivo de consulta y, muy a menudo, datos de salud. Eso implica cumplir tres capas de normativa:

• RGPD (Reglamento UE 2016/679): el marco europeo general.
• LOPDGDD (Ley Orgánica 3/2018): la ley española que desarrolla el RGPD.
• Reglamento europeo de IA (AI Act): en vigor gradual desde 2025, con obligaciones adicionales para sistemas de IA que interactúan con personas.

A esto se le suman los códigos deontológicos del sector (psicología, medicina, logopedia) que añaden matices propios sobre confidencialidad y secreto profesional. La ley marca el mínimo; la deontología suele exigir un poco más.

Lo que SÍ puedes hacer

Ninguna norma prohíbe usar un agente de voz IA para atender el teléfono de una consulta privada. Lo que exige es hacerlo con cabeza. En concreto, puedes:

• Atender la primera llamada de alguien que quiere pedir cita, aunque no te haya dado consentimiento previo. La base legal es la ejecución de un contrato (o medidas precontractuales): la persona está pidiendo un servicio, tú se lo estás prestando.
• Agendar visitas y consultar tu calendario en su nombre.
• Grabar la conversación para control de calidad, siempre que informes al inicio y respetes los plazos.
• Enviar recordatorios por SMS, WhatsApp o llamada, si esos canales están declarados en tu política de privacidad.
• Filtrar urgencias y derivar a atención humana cuando el caso lo requiera.

Todo esto está dentro del terreno seguro, siempre que documentes cómo lo haces.

Lo que NO puedes hacer

Aquí es donde caen la mayoría de sanciones. No puedes:

• Ocultar que quien contesta es una IA si te lo preguntan directamente. El AI Act lo prohíbe expresamente: si alguien pregunta «¿eres una persona?», el agente debe decir que no.
• Guardar las grabaciones indefinidamente «por si acaso». Hay que fijar un plazo — típicamente 30, 60 o 90 días para control de calidad — y borrar automáticamente al vencer.
• Compartir datos con el proveedor de IA sin contrato de encargo firmado. Si no hay contrato, cada llamada es un incumplimiento.
• Enviar los datos fuera de la UE sin garantías. Muchos proveedores usan servidores en EEUU. Se puede, pero con condiciones que veremos abajo.
• Diagnosticar, dar consejo clínico o hacer valoraciones automatizadas sobre el estado del paciente. Eso queda para el profesional humano.

Estas cinco líneas cubren el 90% de los problemas que la AEPD sanciona en sistemas automatizados.

El aviso al inicio de la llamada: cómo tiene que ser

Es la parte más visible del cumplimiento y la más fácil de resolver bien. Al descolgar, el agente debe informar de forma breve y clara de:

• Que la llamada se atiende con un sistema automatizado con IA.
• Que la conversación puede quedar grabada.
• Dónde puede consultar la política de privacidad completa (una URL corta funciona).
• Cómo pedir hablar con una persona si lo prefiere.

Un ejemplo funcional: «Consulta de [nombre], le atiende un asistente automatizado. La llamada puede quedar grabada para control de calidad. Si prefiere hablar con una persona, dígalo en cualquier momento. ¿En qué puedo ayudarle?»

Diez segundos. Suficiente para cumplir y no incomodar. Que sea el agente quien lo diga — no un mensaje pregrabado al principio — mejora la naturalidad de la conversación.

El contrato de encargo del tratamiento

Este es el documento más importante y el que más se olvida. Cuando contratas un proveedor de agentes de voz IA (SomAgents u otro), le estás confiando datos personales que son tu responsabilidad. La ley exige que firméis un contrato de encargo del tratamiento (art. 28 RGPD) que fije:

• Qué datos trata el proveedor y para qué.
• Cuánto tiempo los guarda.
• Qué medidas de seguridad aplica.
• A qué subencargados los cede (proveedor de voz, de transcripción, de modelo de lenguaje).
• Qué pasa cuando termina el contrato (devolución o borrado).

Sin este documento, tú eres responsable de todo lo que haga mal el proveedor. Con él, la responsabilidad se reparte según lo firmado. Pedir el modelo antes de contratar es la señal más útil para distinguir a un proveedor serio de uno que improvisa.

Grabaciones: cuánto tiempo y dónde

Las grabaciones son datos personales de categoría estándar cuando la persona da nombre y teléfono para pedir cita, y de categoría especial (datos de salud) cuando explica su motivo de consulta. El régimen es distinto:

• Datos estándar: puedes guardarlos el tiempo razonable para gestionar la relación con el paciente y cumplir obligaciones legales (facturación, contabilidad).
• Datos de salud: exigen base legal específica (art. 9 RGPD) y un tiempo de conservación justificado. En consulta privada suele ser el mismo que la historia clínica.

Para las grabaciones puras de la llamada — la voz en sí — la recomendación práctica es plazo corto (30 a 90 días) y borrado automático. Solo lo esencial (nombre, motivo breve, cita agendada) pasa a tu sistema principal.

Transferencias internacionales: el punto delicado

La mayoría de proveedores de voz IA usan servicios de EEUU por debajo (OpenAI, Retell, ElevenLabs, Anthropic). Esto no lo hace ilegal, pero sí obliga a cumplir dos requisitos:

• Que el proveedor esté adherido al EU-US Data Privacy Framework (activo desde 2023), o
• Que existan cláusulas contractuales tipo de la Comisión Europea firmadas.

Pregúntalo por escrito antes de contratar. Si tu proveedor no puede acreditar ni una cosa ni la otra, estás asumiendo un riesgo de sanción alta si hay una inspección. En SomAgents trabajamos solo con subproveedores que cumplen una de las dos condiciones, y lo dejamos por escrito en el contrato de encargo.

Registro de actividades del tratamiento (RAT)

Si tratas datos con regularidad — y una consulta lo hace — debes tener un RAT actualizado. Es una hoja interna que describe:

• Qué tratamientos haces (agenda de citas, historia clínica, facturación, atención telefónica con IA…).
• Qué datos incluye cada uno.
• Con qué base legal.
• A quién los cedes o comunicas.
• Cuánto los conservas.

No lo publicas: lo enseñas si la AEPD te lo pide. Añadir el tratamiento «atención telefónica automatizada» al RAT cuando pones el agente es un paso de cinco minutos que te ahorra problemas.

Si necesitas ayuda para entender cómo funciona todo el proceso paso a paso, lo tenemos explicado sin tecnicismos. Y si buscas cómo esto encaja en tu sector concreto, cada página lo detalla. Si prefieres una conversación directa para ver si tu caso encaja, contáctanos y te respondemos en menos de 24 horas — con la documentación de compliance lista para que la revise tu asesor si quieres.

Qué mira la AEPD si viene a verte

En consultas privadas, las inspecciones suelen empezar por una denuncia — típicamente un paciente que pide sus datos y no obtiene respuesta clara. Cuando eso pasa, la AEPD suele pedir:

• El RAT actualizado.
• Los contratos de encargo con proveedores.
• La política de privacidad publicada y su versión anterior.
• El registro de solicitudes de derechos (acceso, rectificación, supresión).
• Prueba de que informaste correctamente al inicio de las llamadas.

Ninguno de estos documentos es difícil de tener. Todos son difíciles de improvisar el día que llegan.

Preguntas frecuentes

¿Necesito el consentimiento explícito del paciente para usar un agente IA?

Para la atención de la llamada y agendar cita, no. La base legal es la ejecución del contrato (o medidas precontractuales) y el interés legítimo. Para grabar la conversación y para tratar los datos de salud sí necesitas informar y, en algunos casos, obtener consentimiento reforzado. La política de privacidad debe recogerlo.

¿Puedo usar cualquier proveedor de voz IA extranjero?

Sí, si puede acreditar por escrito que sus subproveedores están dentro del Data Privacy Framework o con cláusulas contractuales tipo firmadas. Sin esa acreditación, el riesgo es tuyo.

¿Qué sanción arriesgo si no cumplo?

Las multas de la AEPD van de apercibimientos a sanciones económicas de miles de euros para consultas pequeñas. Lo más habitual en primera infracción es una sanción de 3.000-10.000 euros, más la obligación de rehacer la política de privacidad y los contratos.