Ley de IA de la UE en agosto de 2026: lista de control de cumplimiento para agentes de voz

La Ley de IA de la UE entra en vigor el 2 de agosto de 2026: qué deben hacer los agentes de voz con IA

El 2 de agosto de 2026 entra en vigor la segunda gran oleada de la Ley de IA de la UE. Para cualquier empresa que utilice un agente de voz con IA, ya sea para llamadas entrantes, salientes o ambas, la conclusión es sencilla: cada interlocutor debe saber, al inicio de la conversación, que está hablando con una IA. Y esa es solo una de las cinco obligaciones que se aplicarán en toda la Unión Europea a partir de esa fecha.

Ignorar el artículo 50 de la Ley de IA de la UE expone a tu empresa a multas de hasta 15 millones de euros o el 3 por ciento de la facturación global. En caso de infracciones deliberadas de las prácticas prohibidas, el límite asciende a 35 millones de euros o el 7 por ciento. Esta guía detalla lo que los agentes de voz con IA deben ser capaces de hacer para agosto de 2026, presenta una lista de control de cumplimiento de nueve pasos y muestra por qué una plataforma alojada en la UE como Famulor convierte el despliegue de un proyecto de varias semanas en una tarde de configuración.

Qué cambia el 2 de agosto de 2026

La Ley de IA de la UE entró en vigor el 1 de agosto de 2024 y se está desplegando por fases. La oleada de febrero de 2025 prohibió un pequeño conjunto de prácticas de IA (por ejemplo, la puntuación social). La oleada de agosto de 2026 es la que incluye directamente a los agentes de voz con IA, mediante dos palancas:

1. Artículo 50: Obligaciones de transparencia: Todo sistema de IA que interactúe con personas debe dejar claro que hay IA involucrada. Para los agentes de voz, esa divulgación debe ser audible, no oculta en un aviso de privacidad en la web.
2. Obligaciones de alto riesgo: Los agentes de voz que operan en contextos regulados (solvencia crediticia, selección de candidatos, infraestructuras críticas, fuerzas del orden) se consideran sistemas de alto riesgo. Requieren registro, supervisión humana, un sistema de gestión de riesgos documentado y conformidad CE.

Se espera que el Código de Buenas Prácticas definitivo de la Comisión Europea llegue en junio de 2026, unas ocho semanas antes de la fecha límite. Quien espere a ese documento para empezar a trabajar llegará tarde. Un agente de voz debe ser reconfigurado, guionizado, probado, registrado y verificado de principio a fin, y ese trabajo se complica enormemente bajo la presión de los plazos.

Proveedor o desplegador: ¿quién es responsable?

La Ley de IA de la UE distingue entre proveedores (quienes crean o suministran el sistema de IA) y desplegadores (quienes lo ponen en uso). Ambos tienen obligaciones, pero no son las mismas.

• Los proveedores de una plataforma de voz con IA deben garantizar que el sistema admita técnicamente la función de divulgación, que las salidas de audio puedan marcarse como generadas por IA y que los registros de auditoría puedan exportarse. Ese es el trabajo de la plataforma, no del cliente.
• Los desplegadores, la empresa que realmente ejecuta un agente de voz para llamadas entrantes o salientes, deben activar la divulgación, adaptar los guiones de saludo, formar al personal para la derivación y demostrar bajo demanda qué llamada se gestionó, cuándo y cómo.

Si hoy operas un agente de voz, eres como mínimo un desplegador. Si además lo configuraste tú mismo en una plataforma sin código, asumes una parte de la responsabilidad del proveedor por la configuración en sí. Puede sonar a trabajo extra, pero en la plataforma adecuada se reduce a unos pocos interruptores de configuración.

Las cinco obligaciones de la IA de voz a partir del 2 de agosto de 2026

Para los agentes de voz estándar (entrantes y salientes) —reserva de citas, preguntas frecuentes, cualificación de clientes potenciales, atención de primer nivel—, estos son los cinco puntos a asegurar:

1. Divulgación audible de IA al inicio de la llamada

"Hola, hablas con Lara, una asistente de IA para la clínica del Dr. Becker". El saludo debe ser inequívoco. Una divulgación susurrada al final de la llamada o una nota al pie en la política de privacidad de la web no serán suficientes. La divulgación debe producirse al inicio de la interacción, en el idioma del interlocutor, y debe existir una alternativa no auditiva para personas con discapacidad auditiva, normalmente un flujo de SMS o chat paralelo.

2. Etiquetado de voz sintética en llamadas salientes

Para las llamadas salientes (confirmaciones de citas, recordatorios de pago, reactivación de clientes potenciales), el sistema debe dejar claro adicionalmente que la voz es sintética. La clonación de voz de personas identificables sin consentimiento ya era problemática bajo el RGPD; ahora, la Ley de IA de la UE la codifica explícitamente como una infracción de tipo deep-fake.

3. Derivación a humanos bajo demanda

Si un interlocutor dice "quiero hablar con una persona", el agente debe derivar la llamada. No después de tres preguntas de seguimiento, no después de que expire un temporizador, sino ante la primera solicitud clara. Eso requiere un agente de voz que gestione bien el desvío inteligente de llamadas; cubrimos los patrones en nuestra guía sobre el puente entre la IA y los humanos.

4. Registro de auditoría y retención

Cada llamada debe documentarse con una marca de tiempo, identificador de llamada (donde sea legal), la transcripción de la conversación y cualquier evento de derivación. La retención sigue las normas del RGPD, normalmente de 30 a 90 días para llamadas de servicio. Las empresas que graban llamadas deben cumplir además con las leyes nacionales de interceptación, incluidas las del país en el que se encuentre el interlocutor.

5. Gestión de riesgos y pruebas de sesgo

Si el agente de voz toma decisiones que tienen efectos legales o significativamente similares (preselección de candidatos, comprobaciones de crédito, primer aviso de siniestro en seguros con sugerencia de pago), se activan las obligaciones de alto riesgo: un sistema de gestión de riesgos documentado, pruebas de sesgo periódicas, documentación técnica y conformidad CE.

Marco de sanciones: ¿qué cuesta el incumplimiento?

Las multas se clasifican según su gravedad. Tres categorías son importantes para las configuraciones de IA de voz:

Las PYME y las empresas emergentes se enfrentan a la cantidad menor, ya sea el importe fijo o el porcentaje. Aun así, una correduría de seguros con 5 millones de euros de ingresos anuales que utilice un agente de reclamaciones salientes no conforme podría enfrentarse a entre 50.000 y 150.000 euros por infracción documentada. En Alemania, la supervisión se coordina a través de la red dirigida por la Bundesnetzagentur; en la práctica, las quejas relacionadas con la voz suelen originarse en grupos de protección al consumidor antes de llegar al regulador.

Lista de control de cumplimiento: nueve pasos antes del 2 de agosto de 2026

Empezar hoy te da unas doce semanas. La siguiente secuencia ha funcionado bien en los trabajos de asesoramiento:

1. Inventario: Enumera cada agente de voz, IVR y chatbot que interactúe con clientes finales, incluidas las configuraciones de prueba.
2. Clasificación: ¿Alto riesgo (candidato, crédito, reclamaciones) o estándar (FAQ, cita, reserva)?
3. Guiones de divulgación: Ajusta el saludo según el idioma y el caso de uso; las palabras "asistente de IA" o equivalente deben aparecer en las dos primeras frases.
4. Etiqueta de voz sintética: Añade una segunda señal en las llamadas salientes ("Este mensaje fue generado por un agente de IA").
5. Activadores de derivación humana: Mantén intenciones de escalada ("hablar con un humano", "persona real", "agente") en todos los idiomas admitidos.
6. Configuración de registro: Almacenamiento de transcripciones, marcas de tiempo, retención de 30 a 90 días, copias de seguridad anonimizadas.
7. Comprobación de alojamiento en la UE: ¿Dónde se procesan los flujos de audio? ¿Dónde se guardan los registros? Si hay una nube estadounidense involucrada, verifica la postura contractual o migra.
8. Prueba de sesgo: Realiza al menos 50 llamadas de prueba con diferentes acentos, grupos de edad y géneros. Documenta la evaluación.
9. Formación y contingencia: Asegúrate de que el personal sepa cómo hacerse cargo de las llamadas derivadas y cómo pausar el agente con poca antelación.

Estos nueve puntos forman la base de lo que un regulador reconocerá más tarde como "diligencia documentada".

Buenas prácticas y errores comunes

Los proyectos piloto de los últimos meses han revelado cuatro patrones que meten a los equipos en problemas:

• Divulgación genérica sin contexto: "Hablas con una IA" es legalmente débil. Mejor: "Hablas con Lara, una asistente de IA del Hotel Adlerhorst. Puedo realizar reservas o transferirte a recepción". Concreto, genera confianza y está listo para la derivación.
• Reactivación agresiva de antiguos clientes potenciales: Las llamadas salientes a contactos cuyo consentimiento tiene más de 12 meses son arriesgadas; el RGPD y la ePrivacy funcionan en paralelo. O bien vuelve a confirmar el consentimiento o descarta el contacto.
• "Solo usamos OpenAI, ese es su problema": incorrecto. La responsabilidad del desplegador recae en la empresa que ejecuta el agente. Si el LLM subyacente es de OpenAI, Anthropic o Mistral es secundario; el registro y la divulgación siguen siendo tu responsabilidad.
• Banner de grabación de llamadas olvidado: Cualquiera que grabe llamadas necesita un consentimiento por separado. La divulgación y el consentimiento de grabación no son el mismo acto.

Ejemplos del sector sobre el terreno

Tres configuraciones típicas de Famulor, tres perfiles de cumplimiento diferentes:

Clínica dental Dr. Becker (Berlín, 12 empleados)

Agente entrante para citas y triaje de urgencias. Divulgación: "Hablas con Lara, la asistente de IA de la consulta del Dr. Becker". Ante palabras clave de emergencia ("dolor", "hinchazón", "sangrado"), derivación directa a la línea directa de la consulta. Registro en la región de Fráncfort durante 30 días. Clasificación: estándar, no de alto riesgo. Esfuerzo de cumplimiento: dos horas de configuración en Famulor. Más patrones del sector sanitario.

Correduría de seguros Schmidt & Partner (Múnich, 28 empleados)

Agente saliente para renovación ("el contrato está a punto de expirar, ¿reservamos una reunión?") y recepción de FNOL en reclamaciones. Las llamadas salientes necesitan la señal de voz sintética y un consentimiento actualizado. La FNOL se sitúa en una zona gris: sigue siendo estándar si el agente no toma ninguna decisión de pago. Esfuerzo: seis horas para guiones, llamadas de prueba y auditoría de registros.

Comercio electrónico "Northern Light Outdoor" (Hamburgo, 60 empleados)

Agente entrante para estado de pedidos, devoluciones y asesoramiento de tallas. Caso de uso estándar. Divulgación al inicio, intención de derivación a "agente" entrenada, alojamiento en la UE documentado, grabación de llamadas con un aviso de consentimiento separado. Esfuerzo de cumplimiento: cuatro horas incluyendo prueba de sesgo.

Famulor: cumplimiento por defecto para la IA de voz en Europa

Las empresas que utilizan plataformas de voz con IA centradas en EE. UU. (Vapi, Bland, Retell, Synthflow) se enfrentan ahora a una pregunta incómoda: ¿están realmente los flujos de audio, las transcripciones y los registros dentro de la UE? Para la mayoría de estas pilas tecnológicas, la respuesta honesta es "no de forma fiable". Famulor se creó desde el primer día con una arquitectura de datos europea: alojamiento en la UE, acuerdos de procesamiento de datos conformes al RGPD, divulgaciones configurables y una exportación de registros de auditoría integrada.

Concretamente, eso significa para la preparación ante la Ley de IA de la UE:

• Plantillas de divulgación por idioma: Más de 40 idiomas, cada uno con un bloque de saludo conforme.
• Etiqueta de voz sintética automática: Las llamadas salientes en los mercados nacionales extraen la frase de divulgación de la plantilla específica del país.
• Derivación humana mediante troncal SIP: Desvío directo a líneas directas internas, personal móvil o centros de contacto externos, sin cambiar de proveedor de telefonía.
• Exportación de registros de auditoría: CSV o webhook hacia tus sistemas de documentación (Notion, Confluence, Make, n8n).
• Precios transparentes: Pago por minuto sin tarifas ocultas, por lo que los costes de cumplimiento siguen siendo predecibles.

Para los equipos que actualmente utilizan una pila estadounidense, la migración suele completarse en dos semanas. Los antecedentes sobre la arquitectura se encuentran en nuestra guía sobre privacidad desde el diseño y la comparación más profunda entre Retell y Famulor. Para obtener más información sobre por qué la postura frente al RGPD ayuda a cerrar tratos, consulta cinco razones por las que un asistente telefónico de IA conforme al RGPD es una ventaja competitiva.

Conclusión: el cumplimiento como ventaja competitiva, no como freno

El 2 de agosto de 2026 parece una carga a primera vista; en realidad, es una oportunidad. Los interlocutores que pueden oír que están hablando con una IA, y que pueden cambiar a un humano en cualquier momento, confían más en la marca. Los registros de auditoría no son solo material para el regulador; son la base para la mejora continua de la calidad. El alojamiento en la UE ya es un requisito en muchas licitaciones B2B antes incluso de que la Ley de IA entre en juego.

Actuar ahora es la ventaja. Esperar conlleva riesgos de multas y daños a la reputación. Famulor ofrece una configuración que satisface las cinco obligaciones sin código personalizado, generalmente en una tarde. Prueba el constructor de agentes de voz sin código.

Preguntas frecuentes

¿Cuándo se aplican las obligaciones de la Ley de IA de la UE a los agentes de voz?

Las obligaciones fundamentales de transparencia en virtud del artículo 50 serán vinculantes en toda la UE el 2 de agosto de 2026. Las prácticas prohibidas están fuera de la ley desde febrero de 2025, y las obligaciones de alto riesgo también se aplican en su totalidad a partir del 2 de agosto de 2026.

¿Es suficiente un aviso en la política de privacidad de la web?

No. La divulgación debe ser audible al inicio de la llamada, en el idioma del interlocutor. Una nota escrita en la web no sustituye a la información hablada durante la conversación.

¿Qué ocurre si un interlocutor pide "hablar con un humano"?

El agente de voz debe reconocer la solicitud inmediatamente y derivar a un miembro del personal humano. No se permiten contrapreguntas repetidas ni retrasar la escalada.

¿Se aplica también la Ley de IA de la UE a las llamadas salientes?

Sí, con requisitos aún más estrictos. Las llamadas salientes combinan la divulgación de IA con una señal explícita de voz sintética, y el consentimiento del destinatario debe ser actual y verificable.

¿Qué tan altas son las multas en el peor de los casos?

Para prácticas prohibidas, hasta 35 millones de euros o el 7 por ciento de la facturación anual global, lo que sea mayor. Para las infracciones de alto riesgo, el límite es de 15 millones de euros o el 3 por ciento de la facturación.

¿Cuenta un agente de voz de preguntas frecuentes como de alto riesgo?

No. Los agentes estándar de preguntas frecuentes, citas o estado de pedidos son casos de uso estándar. Solo las configuraciones con decisiones significativas (selección de candidatos, solvencia crediticia, reclamaciones de seguros con recomendación de pago) activan la clasificación de alto riesgo.

¿Puedo seguir utilizando un proveedor de voz con sede en EE. UU.?

Técnicamente sí, legalmente solo con una carga sustancial. Los flujos de datos deben estar cubiertos por Cláusulas Contractuales Tipo y una Evaluación de Impacto de Transferencia. Una plataforma alojada en la UE como Famulor elimina la mayor parte de esa carga documental.

¿Qué tengo que registrar exactamente?

Como mínimo: marca de tiempo, identificador de llamada donde sea legal, transcripción del contenido sustantivo, eventos de derivación activados y confirmación de que se reprodujo la divulgación. La retención suele ser de 30 a 90 días dependiendo del caso de uso y el sector.

¿Cuánto tiempo lleva el despliegue con Famulor?

Para casos de uso estándar (FAQ, cita, reserva), de dos a cuatro horas de configuración suelen cubrir las cinco obligaciones. Las configuraciones de alto riesgo necesitan de uno a dos días adicionales para las pruebas de sesgo y la documentación de gestión de riesgos.