Locución con IA y la ley turca de protección de datos (KVKK): lo que deben saber las empresas

La locución con IA agiliza la comunicación corporativa, pero plantea una pregunta lógica: ¿qué debemos tener en cuenta en materia de protección de datos personales?

En este artículo resumimos los puntos clave que deben conocer las empresas que usan locución con IA en Turquía según la Ley n.º 6698 de Protección de Datos Personales (KVKK). Si opera en la UE, surgen preguntas parecidas en el marco del RGPD, pero las normas que siguen son propias del derecho turco.

Nota importante: este artículo es meramente informativo y no constituye asesoramiento jurídico. Para situaciones específicas de su organización, consulte a un asesor jurídico.

¿Cuándo entran en juego los datos personales en una locución?

En la locución con IA hay dos tipos de datos: el guion que se locuta y la voz que se usa. Según la KVKK, el riesgo depende de lo que contenga cada uno.

Escenario	¿Hay datos personales?	Nivel de riesgo
Mensaje de IVR genérico, voz sintética ya preparada	Generalmente no	Bajo
Vídeo de producto, voz sintética ya preparada	Generalmente no	Bajo
Mensaje personalizado con el nombre del cliente	Sí (nombre, contacto, datos de la operación)	Medio
Mensaje a un paciente con datos de cita y tratamiento	Sí, datos de salud (categoría especial)	Alto
Clonar la voz de un empleado o directivo	Sí, datos de voz	Alto
Verificación de identidad por voz	Sí, datos biométricos (categoría especial)	Alto

¿La voz es un dato personal?

Según la KVKK, un dato personal es toda información relativa a una persona física identificada o identificable. La voz de una persona es un dato personal porque puede usarse para identificarla.

Cuando se usa la voz para identificar o verificar a una persona por medios técnicos, puede considerarse un dato biométrico. Los datos biométricos figuran entre las categorías especiales de datos personales del artículo 6 de la KVKK y están sujetos a condiciones más estrictas.

Una voz de IA sintética ya preparada no pertenece a una persona real, por lo que usarla en un aviso no supone, por sí solo, tratar datos personales.

Qué tener en cuenta en los mensajes personalizados

Un mensaje como «Estimada Sra. Ayşe, le recordamos su cita de mañana a las dos de la tarde» trata datos personales porque contiene un nombre y los datos de una cita. Para este tipo de uso:

1. Determine la base legal. Aclare en cuál de las condiciones del artículo 5 de la KVKK (o del artículo 6 para categorías especiales como los datos de salud) se basa el tratamiento.
2. Cumpla con el deber de informar. Indique a las personas con qué fines y con quién se comparten sus datos. Su proveedor de locución está entre esos destinatarios.
3. Aplique la minimización de datos. Use en el mensaje solo la información necesaria. En un recordatorio de cita, por ejemplo, puede bastar con la fecha y la hora sin mencionar el servicio.
4. Firme un acuerdo de tratamiento de datos con su proveedor. La plataforma de locución trata los datos por cuenta de usted. Defina en un contrato las responsabilidades y las medidas de seguridad.

Consentimiento explícito para la clonación de voz

Si quiere crear una voz de IA a partir de la voz de un empleado, un directivo o un locutor:

• Obtenga el consentimiento explícito de la persona, libre, específico e informado.
• Obtenga el consentimiento por escrito e indique claramente con qué fines, durante cuánto tiempo y en qué canales se usará la voz.
• Decida de antemano qué ocurrirá si la persona retira su consentimiento.
• Debido al desequilibrio de poder de la relación laboral, asegúrese de que el consentimiento de los empleados sea realmente libre.

Tenga en cuenta que también puede ser necesaria una valoración aparte desde el punto de vista de los derechos de la personalidad y de la propiedad intelectual.

Transferencias internacionales de datos: los cambios de 2024

Gran parte de la infraestructura de la locución con IA funciona en servidores en el extranjero. Si un guion contiene datos personales, enviarlo al extranjero constituye una transferencia internacional de datos.

La Ley n.º 7499, publicada en el Boletín Oficial el 12 de marzo de 2024, introdujo cambios importantes en los artículos 6 y 9 de la KVKK. Los cambios entraron en vigor el 1 de junio de 2024. Con el nuevo marco hay tres vías principales para las transferencias al extranjero:

1. Decisión de adecuación: el Consejo ha adoptado una decisión de adecuación sobre el país, sector u organización internacional que recibe los datos.
2. Garantías adecuadas: sin decisión de adecuación, garantías como el contrato tipo publicado por el Consejo, las normas corporativas vinculantes o un compromiso escrito aprobado por el Consejo. El contrato tipo debe notificarse a la Autoridad en los cinco días hábiles siguientes a su firma.
3. Transferencia ocasional: solo en casos ocasionales (no regulares ni repetidos), por ejemplo en situaciones limitadas como el consentimiento explícito de una persona informada de los posibles riesgos.

Si pone voz con regularidad a guiones que contienen datos personales, las disposiciones sobre transferencias ocasionales generalmente no serán una base adecuada; en ese caso, valore con su asesor jurídico los mecanismos de garantías adecuadas.

8 preguntas para elegir proveedor

1. ¿En qué país se procesan los guiones?
2. ¿Cuánto tiempo se conservan los guiones y los archivos de audio, y cómo pueden eliminarse?
3. ¿Se usan mis guiones para entrenar el modelo? ¿Puedo oponerme?
4. ¿Se puede firmar un acuerdo de tratamiento de datos y, si hace falta, un contrato tipo?
5. ¿Qué medidas técnicas de seguridad (cifrado, control de accesos, registros) se aplican?
6. ¿Cómo funciona la notificación en caso de brecha de datos?
7. ¿Quiénes son los subencargados del tratamiento?
8. Si se ofrece clonación de voz, ¿cómo se gestionan los consentimientos?

Consejos prácticos para reducir el riesgo

• Siempre que pueda, locute guiones sin datos personales. Los avisos genéricos, la formación y los contenidos promocionales son los usos más seguros.
• Personalice solo cuando sea realmente necesario. No todos los mensajes tienen que ser personales.
• Prefiera voces sintéticas ya preparadas. Usar la voz de una persona real conlleva obligaciones adicionales.
• Documéntelo. Lleve un registro de qué contenidos trata, con qué base y con qué proveedor.

En el plan Empresa de Voice Go definimos en el contrato las condiciones de tratamiento y conservación de datos. Para más detalles, contáctenos a través del formulario de solicitud de demo.