Bases jurídicas, supervisión de empleados, reconocimiento de emociones prohibido, EIPD, contratos de encargo y transferencias internacionales
YARD Law Co. · Situación jurídica verificada a 31 de agosto de 2026
Grabar una llamada de un cliente y analizar esa grabación con IA no son una sola operación jurídica. Una empresa puede tener un motivo lícito para grabar llamadas y aun así necesitar un análisis separado de lo que ocurre cuando esas grabaciones se transcriben, se puntúan, se resumen, se perfilan o se envían a un proveedor externo de IA.
La pregunta correcta de cumplimiento no es, por tanto, «¿podemos usar IA sobre nuestras llamadas?», sino: qué datos tratamos, con qué finalidades, sobre qué base jurídica, a través de qué proveedores y con qué consecuencias para clientes y empleados.
Las fechas importan aquí, porque las obligaciones que se aplican hoy a un centro de contacto no son las que describe la mayoría de los comentarios.
Ya aplicable: las prohibiciones del artículo 5, incluido el reconocimiento de emociones en el lugar de trabajo con sujeción a la excepción legal por motivos médicos o de seguridad, y el deber de alfabetización en IA del artículo 4, ambos desde el 2 de febrero de 2025. El artículo 4, en su redacción dada por el Reglamento (UE) 2026/1744, exige a proveedores y responsables del despliegue adoptar medidas que apoyen el desarrollo de la alfabetización en IA de su personal y de las demás personas que manejen sistemas de IA por su cuenta, y expresamente no exige garantizar un nivel determinado de alfabetización en IA para una persona concreta. La aplicabilidad general del Reglamento y la potestad sancionadora de la Comisión rigen desde el 2 de agosto de 2026.
Aplazado: el Reglamento (UE) 2026/1744 trasladó las obligaciones esenciales del capítulo III para los sistemas de alto riesgo clasificados conforme al artículo 6, apartado 2 y enumerados en el anexo III, del 2 de agosto de 2026 al 2 de diciembre de 2027 en virtud del artículo 113 modificado, y las de la IA de alto riesgo integrada en productos del anexo I al 2 de agosto de 2028. Nuestra nota sobre qué entró en vigor y qué se retrasó recoge el detalle.
La consecuencia práctica: la prohibición del reconocimiento de emociones en el trabajo vincula ya a un centro de contacto, mientras que el régimen de alto riesgo para los sistemas de evaluación de trabajadores es un asunto de 2027 que conviene anticipar, no un motivo de alarma en 2026.
No. Pero grabar una conversación telefónica trata datos personales siempre que la grabación se refiera a una persona identificable. La organización debe identificar una base jurídica del artículo 6 del RGPD y cumplir los principios de transparencia, limitación de la finalidad, minimización, conservación y seguridad.
El Comité Europeo de Protección de Datos aborda directamente la grabación de llamadas con fines de calidad del servicio e indica que los clientes deben ser informados, entre otros extremos, de la finalidad de la grabación, los destinatarios, el derecho de oposición y el derecho de acceso.
Las empresas suelen reducir esto a «¿necesitamos consentimiento?». Es una pregunta demasiado simple para dar una respuesta fiable.
No necesariamente. El RGPD contiene varias bases posibles: consentimiento, necesidad contractual, obligación legal e interés legítimo. Cuál se aplica depende de por qué se graba la llamada y de qué se hace después con la grabación.
Cuando se invoca el interés legítimo del artículo 6, apartado 1, letra f), el responsable necesita una valoración defendible de tres elementos:
Las directrices del CEPD lo tratan como una valoración estructurada, no como una autorización general.
La base correcta también puede variar según la finalidad. Grabar para acreditar una operación regulada no es la misma finalidad que grabar cada llamada comercial para que un sistema de IA puntúe la capacidad de persuasión de un empleado. No deberían tratarse automáticamente como una única actividad de tratamiento.
Supongamos que una empresa ya graba llamadas lícitamente y después incorpora un software que transcribe cada conversación, la resume, identifica temas, evalúa el sentimiento, puntúa al comercial, predice si el cliente comprará, detecta incumplimientos y genera recomendaciones de formación.
Ese cambio puede alterar sustancialmente la naturaleza, las finalidades y los riesgos del tratamiento. El nuevo tratamiento debe mapearse por separado, en lugar de suponer que el permiso para grabar comprende el permiso para hacer cualquier cosa con el audio.
Los requisitos de transparencia del RGPD obligan al responsable a informar a los interesados de las finalidades, la base jurídica y los destinatarios pertinentes. Si el uso de IA crea una nueva finalidad o un uso sustancialmente distinto de los datos, la información de privacidad existente y el análisis de la base jurídica pueden dejar de ser suficientes.
Un despliegue en un centro de contacto suele tratar dos grupos a la vez: clientes, cuyas voces y declaraciones se graban, y agentes, cuyo desempeño y conversaciones se analizan de forma continua. El segundo grupo se pasa por alto con facilidad.
Una plataforma de control de calidad con IA puede generar puntuaciones de agentes, rankings, perfiles de comportamiento, alertas de cumplimiento, formación recomendada, desencadenantes disciplinarios y elementos para promociones o despidos. En ese punto el sistema no solo analiza clientes: supervisa a trabajadores. Eso eleva la importancia de la proporcionalidad, la transparencia, el Derecho laboral búlgaro y el Reglamento de IA.
Es la cuestión más inmediata en 2026 al contratar IA para centros de contacto. El artículo 5 del Reglamento de IA prohíbe los sistemas de IA destinados a inferir emociones de personas físicas en el lugar de trabajo, salvo cuando el sistema se destine a fines médicos o de seguridad. Esa prohibición está vigente.
Por eso conviene examinar con cuidado a los proveedores cuando comercializan funciones con expresiones como:
No todo sistema etiquetado como «análisis de sentimiento» encaja necesariamente en la definición de reconocimiento de emociones del Reglamento de IA. Hay que examinar la función técnica y la finalidad prevista. Pero la etiqueta que usa el equipo comercial no es decisiva, y la empresa debe entender qué infiere realmente el modelo y a partir de qué señales.
El Reglamento de IA también regula determinados sistemas usados en el empleo y la gestión de trabajadores. El anexo III cubre ciertos sistemas de IA empleados en la selección de personal, así como sistemas destinados a adoptar decisiones que afecten a las relaciones laborales, a asignar tareas según características o comportamientos personales y a supervisar o evaluar a los trabajadores.
Las obligaciones esenciales del capítulo III para los sistemas de alto riesgo clasificados conforme al artículo 6, apartado 2 y enumerados en el anexo III se aplican desde el 2 de diciembre de 2027, tras la modificación del artículo 113 por el Reglamento (UE) 2026/1744. Una plataforma de evaluación de empleados que se contrate ahora debería igualmente clasificarse y diseñarse conforme a ellas, porque un sistema elegido en 2026 normalmente seguirá funcionando en 2027, pero el régimen completo de cumplimiento de alto riesgo no es aplicable en agosto de 2026.
Que una determinada plataforma de análisis de llamadas entre en una categoría de alto riesgo depende de su finalidad prevista y de cómo se use. Una herramienta de transcripción que solo crea notas consultables es muy distinta de un sistema cuyas puntuaciones determinan sustancialmente ascensos, despidos, asignación de tareas o medidas disciplinarias. El análisis debe seguir al despliegue real, no a la categoría comercial del software.
Potencialmente. El artículo 22 protege frente a decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente de modo similar a la persona.
Esto no significa que toda puntuación de calidad generada por IA infrinja el artículo 22. Pero en cuanto puntuaciones automatizadas determinen decisiones significativas sobre clientes o empleados sin intervención humana real, hay que valorar el artículo 22. Un responsable que pulsa «aprobar» ante cualquier recomendación del algoritmo no constituye necesariamente una decisión humana real.
A menudo la respuesta debería ser sí, antes del despliegue y no después de que algo falle. El artículo 35 del RGPD exige una EIPD cuando el tratamiento, en particular si utiliza nuevas tecnologías, sea probable que entrañe un alto riesgo para los derechos y libertades de las personas.
El análisis con IA a gran escala de conversaciones grabadas puede reunir varios factores de riesgo a la vez:
Una EIPD no es un trámite. Una útil obliga al negocio a responder qué hace el sistema, qué datos entran y salen, qué resultados se crean, quién los ve, cuánto tiempo se conservan, qué decisiones dependen de ellos, qué puede salir mal y qué garantías reducen ese riesgo.
Esto importa especialmente cuando un centro de contacto atiende llamadas para varios clientes. Los papeles no se resuelven solo con las etiquetas del contrato. Una misma empresa puede ser responsable para una finalidad y encargada para otra.
Un cliente puede determinar por qué se realizan y graban las llamadas de sus clientes, mientras el centro de contacto trata las grabaciones siguiendo sus instrucciones. Pero si el centro de contacto decide por su cuenta usar todas las grabaciones, de todos los clientes, para entrenar su propio sistema de analítica, el análisis de papeles es sustancialmente distinto.
Cuando un proveedor de IA trata datos personales por cuenta de un responsable, el artículo 28 del RGPD exige un acuerdo de encargo adecuado y obliga a los responsables a recurrir a encargados que ofrezcan garantías suficientes. Por eso el contrato con el proveedor importa.
Antes de firmar, la empresa debería conocer las respuestas a estas cuestiones:
Una garantía genérica de que la plataforma es «conforme al RGPD» no sustituye a estas respuestas.
Muchos proveedores de IA, o sus subencargados, operan fuera del Espacio Económico Europeo. Eso no prohíbe usar el servicio. Pero el responsable debe determinar si se produce una transferencia y, en su caso, establecer el mecanismo de transferencia y las garantías adecuadas del RGPD.
Conviene mapearlo antes del despliegue, porque un proveedor SaaS de apariencia europea puede apoyarse a su vez en infraestructura o subencargados situados en otros países.
No existe un plazo de conservación universal en el RGPD. El plazo debe vincularse a la finalidad, y una conservación indefinida será por lo general difícil de justificar para una finalidad de control de calidad estrictamente definida.
El análisis también debe distinguir entre los distintos artefactos que hoy genera una sola llamada:
Borrar el audio y conservar un perfil permanente del empleado no es, en ningún sentido útil del cumplimiento, borrar los datos de la llamada.
El enfoque más débil es comprar el producto de IA y redactar después la información de privacidad. Una secuencia mejor:
| Fase | Qué abarca |
|---|---|
| 1. Mapear la grabación actual | Quién graba, por qué, con qué base, con qué información y plazos de conservación. |
| 2. Mapear el sistema de IA | Entradas, salidas, funciones del modelo, proveedores, subencargados, transferencias y usos decisorios. |
| 3. Valorar bases y papeles | Posiciones de responsable/encargado, base del artículo 6, cuestiones laborales, artículo 22 y clasificación conforme al Reglamento de IA. |
| 4. Completar la EIPD | Cuando sea exigible, antes de que comience el tratamiento de alto riesgo. |
| 5. Actualizar contratos y transparencia | Acuerdos del artículo 28, información de privacidad, políticas internas, condiciones del proveedor. |
| 6. Limitar acceso y conservación | Definir quién puede ver audio, transcripciones, puntuaciones y perfiles, y durante cuánto tiempo. |
| 7. Formar a quienes lo usan | El deber de alfabetización en IA del artículo 4 se aplica desde el 2 de febrero de 2025. En su redacción modificada exige medidas que apoyen el desarrollo de la alfabetización en IA del personal y de las demás personas que manejen sistemas de IA por cuenta de la empresa, no un nivel garantizado para una persona concreta. |
Para empresas que introducen IA en ventas o en el centro de contacto, nuestra revisión puede abarcar si la grabación de llamadas existente tiene una base defendible bajo el RGPD; la información de transparencia a clientes y empleados; el reparto entre responsable y encargado; los contratos con el proveedor de IA y sus subencargados; las transferencias internacionales; la conservación; las valoraciones de interés legítimo; la exigencia de EIPD y su redacción; la elaboración de perfiles y las decisiones automatizadas; la supervisión de empleados; la clasificación conforme al Reglamento de IA y el cribado de prácticas prohibidas; y las políticas internas de uso de IA.
El objetivo no es impedir que el negocio use IA. Es identificar qué partes del sistema propuesto pueden desplegarse con normalidad, cuáles requieren garantías y qué funciones no deberían activarse en absoluto.
Véase también nuestra nota sobre el Reglamento de IA en agosto de 2026 y nuestra práctica de protección de datos.
No necesariamente. El RGPD ofrece varias bases jurídicas posibles y la correcta depende de por qué se graba la llamada y de qué se hace después con la grabación. Sea cual sea la base, los clientes deben recibir la información exigida sobre el tratamiento.
No automáticamente. El análisis con IA puede introducir nuevas finalidades, nuevos destinatarios, elaboración de perfiles, nuevos riesgos y transferencias internacionales. Todo ello exige su propia valoración y no queda cubierto por la decisión original de grabar.
La EIPD es exigible conforme al artículo 35 del RGPD cuando sea probable que el tratamiento entrañe un alto riesgo para las personas. El análisis sistemático a gran escala de conversaciones grabadas, la elaboración de perfiles y la evaluación de trabajadores son factores que lo hacen probable.
El artículo 5 del Reglamento de IA prohíbe los sistemas de IA destinados a inferir emociones de personas físicas en el lugar de trabajo, salvo por motivos médicos o de seguridad. Esa prohibición se aplica desde el 2 de febrero de 2025 y no se ve afectada por el aplazamiento de 2026 de las normas de alto riesgo.
No necesariamente. Lo que importa es la función técnica y la finalidad prevista del sistema, no las palabras del marketing del proveedor. Hay que examinar qué infiere realmente el modelo y a partir de qué señales.
Es posible, pero los sistemas que supervisan o evalúan a trabajadores pueden activar a la vez el RGPD, el Derecho laboral búlgaro y el Reglamento de IA. Lo decisivo es el peso de la puntuación y qué decisiones laborales dependen de ella.
Potencialmente, pero el acuerdo de encargo del artículo 28 del RGPD y cualquier transferencia de datos personales fuera del EEE deben valorarse antes del despliegue, incluidas las transferencias que realicen los subencargados del proveedor.
No. La empresa que despliega el sistema sigue siendo responsable de sus propias finalidades, bases jurídicas, transparencia, reparto de papeles y uso de los resultados. Un proveedor no puede cumplir en su lugar.
Esta guía se ofrece en español con fines informativos. La comunicación con clientes y el asesoramiento jurídico de YARD Law se prestan en inglés y búlgaro. La versión en inglés es la versión de origen de este artículo.
Este artículo es información general a 31 de agosto de 2026 y no constituye asesoramiento jurídico sobre un caso concreto. Los sistemas de IA difieren sustancialmente en función técnica y finalidad prevista, y la calificación jurídica debe seguir al sistema realmente desplegado. Las fechas de aplicación del Reglamento de IA son escalonadas y fueron modificadas por el Reglamento (UE) 2026/1744; la situación debe confirmarse frente al texto vigente en el momento de actuar. Elaborado por el equipo jurídico de YARD Law Co., despacho de abogados con sede en Sofía, Bulgaria.
¿Va a introducir IA en la grabación de sus llamadas?
Bases jurídicas, EIPD, supervisión de empleados, cribado conforme al Reglamento de IA y contratos con proveedores.