Seguridad y cumplimiento en un agente de voz IA: preguntas para tu proveedor
¿Buscas una plataforma de voz IA segura para empresa? Empieza por las preguntas, no por los sellos. Esto es lo que significan SOC 2, PCI DSS, el consentimiento de grabación, la retención de datos y la divulgación de voces sintéticas, con fuentes oficiales, y lo que debes preguntar a cualquier proveedor de agentes de voz antes de firmar.
Es una guía para compradores, no asesoría legal. Las normas dependen de tu país, estado y sector, así que confírmalas con tu propio asesor.
1. SOC 2: pide el informe, no el logo
SOC 2 es un marco de atestación del AICPA. Una firma independiente de contadores públicos examina los controles de una empresa frente a los Criterios de Servicios de Confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Importan dos detalles. Un informe Tipo 1 describe los controles en un momento concreto. Un informe Tipo 2 los prueba durante un periodo. Fuente: AICPA, resumen de SOC 2 (aicpa-cima.com, "SOC 2 - SOC for Service Organizations: Trust Services Criteria").
Pregunta al proveedor:
¿Tienen un informe SOC 2 Tipo 1 o Tipo 2? ¿Qué criterios y qué sistemas cubre? ¿Cuál es el periodo auditado? ¿Pueden compartirlo bajo NDA? ¿Los subproveedores de telefonía, voz e IA están dentro del alcance o se listan aparte?
Frases como "alineado con SOC 2" no son un informe. Solo el informe es evidencia.
2. PCI DSS: la pregunta clave si hay pagos por teléfono
PCI DSS es el estándar de seguridad de datos de la industria de tarjetas de pago, mantenido por el PCI Security Standards Council. Se aplica a cualquier negocio que almacene, procese o transmita datos de tarjetas. Un número de tarjeta dicho en una llamada, y cualquier grabación o transcripción que lo capture, entra en el alcance. Fuente: PCI Security Standards Council, pcisecuritystandards.org (biblioteca de documentos, PCI DSS).
Pregunta al proveedor:
¿El agente llega a escuchar, grabar o transcribir números de tarjeta? ¿El pago se resuelve llevando a quien llama al flujo propio de un procesador, de modo que los datos de la tarjeta nunca pasan por el agente, la grabación ni la transcripción? ¿Qué procesador se usa y cuál es su estado PCI? ¿Quién responde por el cumplimiento PCI, el proveedor o tú?
Para el lado práctico, lee ¿Puede un agente de voz IA cobrar por teléfono?.
3. Consentimiento para grabar llamadas
Las leyes de grabación varían. En Estados Unidos, la ley federal permite grabar con el consentimiento de al menos una de las partes y algunos estados exigen el de todas. Otros países tienen sus propias reglas. La FCC publica una guía para consumidores sobre grabar conversaciones telefónicas en fcc.gov (busca "Recording Telephone Conversations"). Como quien llama puede estar en cualquier lugar, muchos negocios avisan de la grabación al inicio de cada llamada.
Pregunta al proveedor:
¿El saludo puede incluir un aviso de grabación que yo controle? ¿Puedo desactivar la grabación? ¿El aviso se configura por agente o por número?
4. Retención, transcripciones y borrado
Las grabaciones y transcripciones son datos personales. Necesitas saber cuánto tiempo viven y quién puede leerlas.
Pregunta al proveedor:
¿Cuánto tiempo se guardan grabaciones y transcripciones? ¿Puedo borrar una llamada o todas? ¿Quién dentro del proveedor puede acceder a ellas? ¿Se usan para entrenar modelos? ¿Dónde se almacenan? ¿Qué pasa con los datos si cancelo?
Si manejas pagos, salud o asuntos legales, pregunta también si se pueden mantener los datos sensibles fuera de las transcripciones.
5. Voces sintéticas y divulgación
En febrero de 2024 la FCC determinó que las llamadas hechas con voces generadas por IA son voces "artificiales" bajo la Telephone Consumer Protection Act. En llamadas salientes esto implica, en general, consentimiento previo de la persona llamada. Fuente: FCC, "FCC Makes AI-Generated Voices in Robocalls Illegal" (fcc.gov, febrero de 2024). La Telemarketing Sales Rule de la FTC añade reglas para llamadas de venta, incluido el registro nacional No Llamar. Fuente: FTC, "Complying with the Telemarketing Sales Rule" (ftc.gov, guía para empresas).
Pregunta al proveedor:
¿El agente dice a quien llama que es una IA? ¿Puedo configurar ese aviso? ¿Qué ayuda hay para el consentimiento y las listas No Llamar en campañas salientes? ¿De quién es la voz y se permiten voces clonadas solo con permiso de la persona?
6. Accesos, integraciones y subproveedores
Cada integración mueve datos. Pregunta qué terceros ven los datos de las llamadas, cómo se controla el acceso de tu equipo, si hay roles de usuario separados y cómo te comunicarían un incidente de seguridad.
Lo que puedes comprobar hoy en InfiVoice
Preferimos ser precisos. En infivoice.com puedes verificar esto por ti mismo.
InfiVoice incluye entre sus funciones la grabación de llamadas con transcripción completa. Funciona en más de 30 idiomas y con números locales en más de 100 países. Se conecta con Twilio y Plivo para telefonía, con Google Sheets y Google Calendar, y con Stripe y PayPal para pagos. Free incluye 100 créditos y Pro cuesta $79 al mes con 250 créditos. Un crédito equivale a 60 segundos de llamada.
Esta guía no afirma ninguna certificación para InfiVoice. Para SOC 2, PCI, condiciones de retención o cualquier otro documento de cumplimiento, pídelo por escrito, como harías con cualquier proveedor, y revisa la respuesta con tus asesores antes de decidir.
Lista rápida para copiar
Pide el informe SOC 2 y su periodo. Pregunta cómo se mantienen los datos de tarjeta fuera del agente y de las transcripciones. Pregunta quién controla el aviso de grabación. Pide por escrito las condiciones de retención y borrado. Pregunta cómo se manejan la divulgación de IA y el consentimiento en llamadas salientes. Pide la lista de subproveedores. Y prueba con llamadas reales.
Para una comparación más amplia, mira qué preguntar antes de elegir un agente de voz IA.
Preguntas frecuentes
¿SOC 2 es una certificación?
No exactamente. Es un informe de atestación independiente de una firma de contadores públicos. Pide el informe en sí.
¿PCI DSS aplica si el agente nunca toca números de tarjeta?
Depende de cómo se gestione el pago. Si los datos de la tarjeta no pasan por el agente, la grabación ni la transcripción, el alcance es menor. Confirma el flujo con el procesador y tus asesores.
¿Debo avisar de que grabo la llamada?
En muchos lugares es obligatorio y en todos es buena práctica. Revisa las normas del lugar donde están tus clientes.
¿Debo decir que la persona habla con una IA?
Varía según el lugar, y las llamadas salientes con voz de IA tienen reglas de consentimiento específicas en Estados Unidos. Consulta con un asesor y deja el aviso activado por defecto.