Inferencia Digital implementa agentes de voz y de WhatsApp para empresas en Panamá, y la pregunta del área legal llega pronto: qué exige la Ley 81 cuando un sistema automatizado graba llamadas y registra conversaciones. Este artículo explica las obligaciones que aplican y cómo se traducen en decisiones de diseño. No sustituye la asesoría de un abogado.
Por qué la Ley 81 se aplica a un agente de IA
La Ley 81 de 26 de marzo de 2019 regula el tratamiento de datos personales en Panamá y está vigente desde el 29 de marzo de 2021. El Decreto Ejecutivo 285 de 28 de mayo de 2021 la reglamenta, y la autoridad que la aplica es la ANTAI, a través de su Dirección de Protección de Datos Personales.
Un agente de voz o de WhatsApp trata datos personales en cada conversación: el número de teléfono, el nombre, la voz o los mensajes, el motivo de la consulta y lo que queda registrado en el CRM. Que la conversación la atienda un sistema y no una persona no cambia la obligación.
Quién es responsable
La empresa que usa el agente es la responsable del tratamiento: decide para qué se recogen los datos y qué se hace con ellos. El proveedor que implementa y opera el agente trata los datos por encargo de la empresa. Esa relación debe constar en un contrato que indique qué datos se tratan, con qué finalidad, con qué medidas de seguridad y qué otros proveedores intervienen.
Qué exige la ley y cómo se aplica a cada canal
| Obligación | En un agente de voz | En un agente de WhatsApp |
|---|---|---|
| Informar a la persona | Aviso al inicio de la llamada: que atiende un asistente automatizado, que la llamada se graba y para qué | Aviso en el primer mensaje o en el perfil, con enlace a la política de privacidad |
| Consentimiento o base legal | Para llamadas salientes, consentimiento previo o relación comercial existente; el agente registra la respuesta | Aceptación previa para recibir mensajes iniciados por la empresa, exigida también por Meta |
| Finalidad y minimización | El agente pide solo los datos necesarios para la gestión | El agente no solicita documentos ni datos que la gestión no requiere |
| Conservación | Plazo definido para grabaciones y transcripciones, aplicado de forma automática | Plazo definido para el historial y los archivos recibidos |
| Derechos de las personas | Canal para pedir acceso, rectificación, cancelación u oposición | El mismo canal, y la opción de dejar de recibir mensajes |
| Seguridad | Cifrado, acceso por rol y registro de accesos a las grabaciones | Cifrado, acceso por rol y credenciales de integración protegidas |
| Incidentes | Notificación a la autoridad y a los afectados en 72 horas | La misma obligación |
El aviso al inicio de la llamada
El aviso debe decir tres cosas antes de pedir datos: que atiende un asistente automatizado de la empresa, que la llamada se graba y con qué fin, y cómo hablar con una persona. Un aviso corto cumple mejor que uno largo que la gente no escucha. La política de privacidad completa se publica en el sitio web y se menciona en el aviso.
Consentimiento para llamadas y mensajes salientes
El consentimiento debe poder demostrarse, estar redactado en lenguaje sencillo, distinguirse del resto del texto y poder revocarse. En la práctica:
- Las campañas salientes se dirigen solo a contactos con consentimiento o con una relación comercial que las justifique.
- El agente se identifica, ofrece la opción de no volver a ser contactado y registra la respuesta en una lista de exclusión.
- En WhatsApp, la política comercial de WhatsApp Business exige además la aceptación previa de la persona para recibir mensajes de la empresa.
Datos sensibles: salud y biometría
La ley trata como sensibles, entre otros, los datos de salud y los biométricos. Dos situaciones merecen revisión antes del lanzamiento:
- Clínicas y servicios de salud: el motivo de una cita puede revelar datos de salud. El agente debe pedir lo mínimo para agendar y no registrar detalles clínicos que la gestión no requiere.
- Voz como identificador: un agente que graba y transcribe una llamada no busca identificar a la persona por su voz. Usar la voz como medio de identificación es tratar un dato biométrico y requiere un análisis legal aparte.
Proveedores y transferencias fuera de Panamá
Un agente de IA funciona con varios proveedores: telefonía, WhatsApp Business API, modelos de lenguaje y voz, almacenamiento. Varios operan fuera de Panamá, y eso es una transferencia internacional de datos. La ley la permite en supuestos definidos, entre ellos el consentimiento de la persona, la necesidad para ejecutar un contrato o que el país de destino ofrezca una protección equivalente o superior.
La empresa debe saber qué proveedores intervienen, qué datos recibe cada uno y dónde están. Esa lista forma parte de la documentación de la implementación. La nuestra se describe en seguridad y datos.
Incidentes de seguridad
Ante una vulneración de seguridad, la empresa responsable debe notificar a la autoridad y a las personas afectadas dentro de las 72 horas siguientes a conocerla, con la fecha, los hechos, los efectos y las medidas correctivas. El proveedor que trata los datos por encargo debe avisar a la empresa de inmediato. Por eso el procedimiento y los tiempos de aviso se acuerdan por escrito antes del lanzamiento.
Lista de verificación antes de lanzar
- Aviso de grabación y de asistente automatizado, redactado y probado.
- Base legal o consentimiento para cada tipo de contacto saliente.
- Campos que el agente captura, revisados uno a uno.
- Plazo de conservación de grabaciones, transcripciones e historial.
- Contrato de tratamiento de datos con el proveedor del agente.
- Lista de proveedores, con los datos que recibe cada uno y su ubicación.
- Canal y responsable para solicitudes de las personas.
- Procedimiento de incidentes con tiempos de aviso.
Qué no cubre este artículo
La Ley 81 convive con normas sectoriales, por ejemplo las de banca y seguros, que pueden añadir obligaciones. Si tu empresa pertenece a un sector regulado, la revisión debe hacerla tu asesor legal con esas normas a la vista.
Fuentes
- Ley 81 de 26 de marzo de 2019, sobre protección de datos personales (Gaceta Oficial 28743-A)
- Decreto Ejecutivo 285 de 28 de mayo de 2021, que reglamenta la Ley 81 (Gaceta Oficial 29296-A)
- Protección de datos personales (ANTAI)
- Data Protection Laws of the World: Panama (DLA Piper)
- Política comercial de WhatsApp Business (Meta)
Preguntas frecuentes
¿Puedo grabar las llamadas que atiende un agente de IA?
Sí, si la persona es informada y la grabación tiene una finalidad definida, como calidad del servicio o registro de lo acordado. El aviso se da al inicio de la llamada, antes de pedir datos. La empresa debe poder demostrar que informó y debe fijar cuánto tiempo conserva la grabación.
¿Hay que registrar las bases de datos ante la autoridad?
No. La normativa panameña no exige un registro ni una notificación previa ante la ANTAI para tratar datos personales. Sí exige cumplir los principios, atender los derechos de las personas y notificar los incidentes de seguridad.
¿Quién responde ante la ley: mi empresa o el proveedor del agente?
Tu empresa es la responsable del tratamiento porque decide para qué se usan los datos. El proveedor que implementa y opera el agente actúa por encargo y debe hacerlo bajo un contrato que fije qué datos trata, con qué medidas y con qué proveedores. Ante un incidente, el proveedor avisa a la empresa de inmediato y la empresa notifica.
¿Qué sanciones prevé la Ley 81?
La ANTAI puede imponer sanciones de 1.000 a 10.000 dólares según la gravedad de la falta. Más allá de la multa, una queja de un cliente por una grabación no informada es un problema de confianza que conviene evitar desde el diseño.
¿Necesito un oficial de protección de datos?
Para la mayoría de las empresas privadas es opcional. Es obligatorio para las entidades públicas y, por regulación sectorial, para bancos y aseguradoras. Aunque no sea obligatorio, conviene que una persona de la empresa sea el punto de contacto para solicitudes e incidentes.