¿Es legal que una IA atienda llamadas? RGPD y EU AI Act explicados

El miedo que todos tienen (y la respuesta que nadie espera)

Según un estudio de Gartner de 2024, el 67% de los directores de clínicas estéticas en Europa dudan en implementar IA para atención al cliente por preocupaciones legales. Pero aquí va lo importante: la IA puede atender llamadas legalmente. Lo que no puedes hacer es ocultarlo.

El EU AI Act, que entra en aplicación progresiva desde 2024, y el RGPD son claros en esto. No prohíben que una máquina conteste tu teléfono. Prohíben que lo hagas sin decirle al paciente. Es la diferencia entre ser innovador y ser negligente.

¿Qué dice realmente el EU AI Act sobre llamadas con IA?

El Artículo 50 del EU AI Act es el que te importa. Literalmente establece que:

"Cuando un sistema de IA interactúe con personas físicas, debe informarles de que están interactuando con una IA, a menos que sea obvio por el contexto."

En una llamada telefónica, no es obvio. Tu paciente no ve nada. Por eso la obligación es explícita.

Cómo cumplir el Artículo 50 en la práctica

1. En el primer segundo de la llamada: "Hola, te atiende Luvia, un asistente de inteligencia artificial de la clínica."
2. Claridad sobre capacidades: El paciente debe saber qué puede hacer la IA (agendar citas, responder preguntas frecuentes) y qué requiere hablar con un humano.
3. Opción de transferencia: Siempre debe haber un botón o comando para hablar con una persona real sin fricciones.
4. Registro de consentimiento: Aunque no sea explícitamente requerido por el AI Act, es prudente registrar que el paciente aceptó hablar con la IA.

Esto no es complicado. Es sentido común legal.

RGPD y llamadas con IA: los datos que tienes que proteger

Ahora bien, si el EU AI Act es sobre transparencia, el RGPD es sobre datos. Y aquí es donde muchas clínicas se equivocan.

Cuando una IA atiende una llamada:

• Capta datos personales: número de teléfono, nombre, historial de tratamientos, preferencias de citas.
• Los procesa: analiza lo que dice el paciente, extrae información, toma decisiones (por ejemplo, qué cita sugerir).
• Los almacena: en servidores, bases de datos, registros de llamadas.

Todo esto requiere una base legal. El RGPD reconoce varias:

Bases legales más comunes para clínicas

1. Consentimiento: "¿Autoriza que sus datos se procesen para agendar citas?"
2. Ejecución de contrato: Ya tiene citas previas, así que procesar datos para nuevas citas es necesario.
3. Interés legítimo: Mejorar la atención al cliente (pero tiene límites; no puedes justificar cualquier cosa con esto).

Lo que sí exige el RGPD:

• Información clara: El paciente debe saber quién procesa sus datos, para qué, cuánto tiempo se guardan. Esto va en tu política de privacidad.
• Derecho de acceso: Si pide escuchar la grabación de su llamada con la IA, debe poder hacerlo.
• Derecho al olvido: Si pide que borres sus datos, tienes que hacerlo (salvo excepciones legales, como retención fiscal).
• Encriptación en tránsito: Los datos de la llamada no pueden viajar sin protección.

Una herramienta como Luvia ya cumple estos requisitos de base: encriptación, consentimiento integrado, y cumplimiento del RGPD. Pero tú tienes que verificarlo con tu proveedor y documentarlo.

Avisar al paciente: cómo hacerlo sin sonar robótico

Este es el punto donde muchos dueños se resisten: "Pero si le digo que es una IA, se va a asustar o colgará."

Datos: no. Forrester encontró que el 72% de los usuarios europeos aceptan interactuar con IA si se les avisa de forma clara. Lo que no aceptan es el engaño.

Frases que funcionan

• "Hola, te atiende Luvia, nuestra asistente de IA. Puedo ayudarte a agendar tu cita o responder preguntas sobre nuestros servicios. ¿En qué te ayudo?"
• "Soy un sistema automático de atención. Puedo gestionar tu reserva. Si necesitas hablar con alguien del equipo, solo di 'operador'."
• "Te atiende la IA de la clínica. Estoy aquí para agendar citas rápidamente. ¿Cuándo prefieres venir?"

Notarás que en los tres casos se dice inmediatamente, sin rodeos. Y luego se explica el valor: rapidez, disponibilidad 24/7, eficiencia.

El riesgo real: no cumplir

Si no avisa al paciente de que habla con una IA, estás violando el Artículo 50 del EU AI Act. Las multas no son anecdóticas:

• Hasta el 6% del volumen de negocio anual de la clínica, o 30 millones de euros (lo que sea mayor).

Además, si hay un problema de datos (la IA filtra información del paciente), el RGPD suma otra multa: hasta el 4% del volumen de negocio o 20 millones de euros.

En una clínica mediana con 500.000 euros de facturación anual, el 6% son 30.000 euros. Por un aviso que cuesta literalmente decir una frase.

Para más detalles sobre las obligaciones específicas del EU AI Act en clínicas, consulta nuestro artículo sobre obligaciones reales del EU AI Act.

¿Necesitas documentación?

Para cumplir legalmente, tu clínica debe tener:

1. Política de privacidad actualizada que mencione el uso de IA en llamadas.
2. Registro de consentimiento o base legal documentada.
3. Acuerdo de procesamiento de datos con tu proveedor de IA (si no es tuyo directamente).
4. Plan de respuesta ante derechos del paciente (acceso, eliminación, portabilidad).
5. Auditoría técnica que verifique encriptación y seguridad.

No es burocracia innecesaria. Es el coste de hacer las cosas bien.

Conclusión: es legal, pero exige responsabilidad

Una IA puede atender las llamadas de tu clínica. El EU AI Act lo permite. El RGPD lo permite. Pero solo si:

• Le dices al paciente que es una IA.
• Proteges sus datos según el RGPD.
• Documentas todo.
• Tienes un plan B (transferencia a humano).

Lo que no puedes hacer es esconderte detrás de "no sabía que era obligatorio". La ley es clara. Y las multas, más aún.

Si quieres implementar IA en llamadas sin riesgos legales, la solución es usar una herramienta que ya cumpla estos requisitos de base. Así evitas sorpresas costosas.