Seguridad y GDPR en agentes de IA: más allá de las promesas

Automatizar llamadas implica procesar datos personales en cada interacción: nombres, teléfonos, direcciones, historiales de compra y, según el sector, información de salud o financiera. Esa responsabilidad no desaparece porque quien atienda sea un agente de IA. En Converly tratamos la privacidad y la seguridad como requisitos de diseño desde el primer día del proyecto, no como un documento legal que se adjunta al final.

El marco normativo que aplicamos es el Reglamento General de Protección de Datos (GDPR) y la legislación española de protección de datos (LOPD). Esto implica principios de minimización —el agente solo accede a los datos que necesita para resolver el caso—, finalidad determinada, limitación del plazo de conservación y derechos del interesado: acceso, rectificación, supresión, portabilidad y oposición. Cada despliegue se evalúa según el tipo de dato que procesa y el sector del cliente.

En el plano técnico, Converly aplica encriptación en las comunicaciones y en los datos almacenados, acceso restringido al personal autorizado y monitorización continua para detectar amenazas. El cliente mantiene la propiedad de sus datos; Converly se compromete a no compartir información individual con terceros y puede utilizar datos agregados y anonimizados únicamente para mejorar el servicio, según nuestra política de privacidad.

Los agentes de IA conversacional introducen riesgos específicos que un call center tradicional no tiene. Los jailbreaks y prompt injections intentan manipular al agente para que revele información fuera de su alcance o ejecute acciones no autorizadas. Mitigamos esto limitando el contexto al que el agente tiene acceso, validando las salidas antes de ejecutar acciones críticas —como transferencias bancarias o cambios en el CRM— y manteniendo registros auditables de las conversaciones para detectar anomalías.

El cumplimiento en telecomunicaciones añade otra capa. Los clientes que usan agentes para llamadas salientes deben respetar las regulaciones aplicables, incluidas las políticas de no llamada como la Lista Robinson en España. Converly orienta sobre el uso permitido —atención al cliente y ventas legítimas— y el uso prohibido: spam, actividades fraudulentas o contenido inapropiado. La obtención del consentimiento para grabación de llamadas es responsabilidad del cliente, y la configuramos según vuestras políticas internas.

La gobernanza de datos en integraciones es igual de relevante. Cuando conectamos un agente con HubSpot, Salesforce o un ERP, definimos qué campos se leen, cuáles se escriben y quién en tu organización puede acceder a los logs de conversación. Las APIs REST para integraciones personalizadas siguen el mismo principio de acceso mínimo necesario. No exponemos bases de datos completas al agente si solo necesita consultar el estado de un pedido.

Tras el lanzamiento, el soporte incluye monitorización de rendimiento y mejoras iterativas con revisión de seguridad cuando se amplían las capacidades del agente. Añadir un nuevo flujo que consulte datos sensibles, por ejemplo, requiere reevaluar permisos y reglas de validación. La seguridad no es un estado final: evoluciona con cada cambio en prompts, integraciones o casos de uso.

Si tenéis dudas sobre cómo un agente de voz encaja en vuestra política de privacidad, podéis contactar con nuestro equipo en privacy@converly.es. Diseñamos cada piloto con alcance acotado, KPIs medibles y evaluación de impacto en datos personales antes de escalar a producción con tráfico completo.