GDPR registrazione chiamate: cosa è lecito con un centralino AI nel 2026
Lettura 8 min · AstraLoop Studio
Un cliente chiama il tuo studio alle sette di sera. Risponde l'assistente vocale, capisce che vuole spostare l'appuntamento di giovedì, trova uno slot libero, conferma. Tutto in due minuti, senza che nessuno alzi la cornetta. Il giorno dopo, mentre prendi il caffè, ti viene un dubbio che prima non avevi: quella telefonata, dove è finita? C'è un file audio da qualche parte? Chi può riascoltarlo, e per quanto tempo resta lì?
È la domanda giusta, e conviene farsela prima di attivare il servizio, non dopo il primo reclamo. Qui trovi come ragiona il GDPR sulla registrazione delle chiamate quando a rispondere è un'AI: cosa puoi fare, cosa è meglio evitare, dove serve davvero un professionista. Non è consulenza legale. È la mappa per arrivare dal tuo consulente con le domande giuste.
Registrare non è il default, è una scelta
Molti pensano che un centralino AI registri per forza, come se l'audio fosse un sottoprodotto inevitabile. Non è così. Un sistema ben costruito può lavorare in modi diversi: ascoltare la conversazione in tempo reale e tenere solo i dati utili (nome, motivo della chiamata, appuntamento fissato), oppure salvare anche la trascrizione, oppure conservare l'audio completo. Sono livelli di dati personali molto diversi, e ognuno ha bisogno di una giustificazione sua.
Un punto sfugge spesso: anche la trascrizione è un dato personale, esattamente come l'audio. La voce di una persona, il suo numero di telefono, quello che racconta di sé durante la chiamata rientrano tutti nel GDPR. Il testo sembra più innocuo del file sonoro, ma la sostanza non cambia. Se lo conservi, ne rispondi.
Il principio da cui partire è la minimizzazione: raccogli e conservi solo ciò che serve allo scopo che hai dichiarato. Se lo scopo è fissare un appuntamento, ti serve l'appuntamento. L'audio intero di una chiamata di due minuti, in quel caso, quasi mai.
Su quale base giuridica ti appoggi
Ogni trattamento di dati ha bisogno di una base giuridica (articolo 6 del GDPR). Per un centralino i candidati realistici sono questi, e vanno tenuti distinti perché coprono scopi diversi.
- Esecuzione di un contratto o misure precontrattuali. Se il cliente chiama per prenotare, trattare nome, recapito e orario scelto è necessario a darti il servizio che ha chiesto. Questa base copre i dati dell'appuntamento, non automaticamente l'audio.
- Legittimo interesse. Può reggere una registrazione tenuta per un motivo concreto, per esempio ricostruire cosa è stato detto in caso di contestazione. Ma va motivato, bilanciato con i diritti di chi chiama, e il bilanciamento va messo per iscritto. Non è una scorciatoia per fare tutto.
- Consenso. Deve essere libero e informato. Se il servizio non funziona senza dire sì alla registrazione, quel consenso difficilmente è libero. Un sistema serio prevede che chi rifiuta venga servito lo stesso: senza registrazione, oppure passato a una persona.
Quale base usare per quale scopo lo decide il titolare, cioè tu, insieme al tuo consulente privacy. Un fornitore può proporti un'impostazione. Non può scegliere al posto tuo.
L'informativa: cosa dire nei primi secondi
Chi chiama ha diritto di sapere chi tratta i suoi dati, perché, per quanto tempo e come far valere i suoi diritti (articolo 13). Al telefono non puoi leggere una pagina di testo, e nessuno la ascolterebbe. La soluzione pratica è a due livelli: una frase breve all'inizio della chiamata e l'informativa completa a portata di mano.
La frase breve dice che stai parlando con un assistente automatico, dice se la chiamata viene registrata o trascritta e a quale scopo, e indica dove trovare il resto: un link mandato via SMS o WhatsApp, oppure la pagina privacy del sito. Come scrivere bene questo messaggio lo trovi nella guida su come impostare l'informativa privacy di un centralino AI.
Quanto conservare, e perché "per sempre" non regge
Il GDPR chiede che i dati restino conservati per il tempo necessario allo scopo e non oltre. Non esiste un numero di giorni valido per tutti. Esiste un ragionamento: se registri per gestire eventuali contestazioni, tieni l'audio finché una contestazione è ragionevolmente possibile, poi lo cancelli. Se lo scopo è migliorare il servizio, spesso bastano pochi campioni, scelti con criterio e resi anonimi, non l'archivio di ogni chiamata.
Quello che conta in pratica è che la cancellazione sia automatica. Un termine scritto nell'informativa e mai applicato è peggio di nessun termine, perché dichiari una cosa e ne fai un'altra. Quando costruiamo un centralino, la scadenza è un parametro del sistema, non una promessa da ricordarsi.
C'è poi un aspetto operativo che si scopre tardi. Se un cliente ti chiede di accedere ai suoi dati o di cancellarli (articoli 15 e 17), devi riuscire a trovare le sue chiamate. Un archivio di file audio con nomi a caso non lo permette. Un sistema in cui ogni registrazione è legata a un contatto, con la sua data di scadenza, sì.
Vuoi sapere cosa salverebbe davvero il tuo centralino AI, dove e per quanto tempo? Raccontaci come lavori e ti mostriamo come si imposta, senza impegno.
Dove finisce l'audio: fornitore, server, addestramento
Un centralino AI quasi mai gira tutto sui tuoi computer. C'è chi gestisce la telefonia, chi trascrive la voce, un modello che capisce e risponde. Ognuno che tratta dati per tuo conto è un responsabile del trattamento (articolo 28) e serve un accordo scritto che ne regoli i compiti. Tre domande da fare, e da pretendere per iscritto:
- Dove vengono elaborati e conservati audio e testi? Se escono dallo Spazio economico europeo, entrano in gioco le regole sui trasferimenti, e devi capire con quali garanzie.
- Il fornitore usa le tue chiamate per addestrare i suoi modelli? Se la risposta è sì, o "dipende", fermati: sono conversazioni dei tuoi clienti.
- Chi, tra i suoi dipendenti, può ascoltarle, e con quali controlli sugli accessi?
Qui si vede la differenza tra una soluzione pronta e un sistema costruito sul tuo processo. Un servizio a listino ha condizioni standard, che spesso non puoi toccare. Un sistema progettato su misura ti lascia scegliere cosa viene salvato, dove e per quanto, e spegnere ciò che non ti serve. Il confronto completo è in centralino AI su misura o pronto all'uso.
Dipendenti e chiamate: il nodo che si dimentica
Se nel tuo studio rispondono anche delle persone, o se l'assistente AI passa le chiamate a un collaboratore, la registrazione tocca anche loro. L'articolo 4 dello Statuto dei lavoratori regola gli strumenti da cui può derivare un controllo a distanza dell'attività dei dipendenti: in certi casi servono un accordo sindacale o un'autorizzazione dell'Ispettorato del lavoro, e comunque ai lavoratori va data un'informazione chiara su come gli strumenti vengono usati. Registrare le chiamate "per la qualità" e poi usare quelle registrazioni per valutare chi risponde è esattamente il genere di cosa da impostare bene prima. Per il tuo caso specifico, parlane con il consulente del lavoro.
Dove devi stare più attento
Se chi chiama parla di salute, come succede in uno studio dentistico o medico, la conversazione può contenere dati di categorie particolari (articolo 9), con regole più rigide. Ne parliamo nell'articolo sui dati sanitari al telefono con un'AI. In questi contesti la scelta più prudente è quasi sempre non conservare l'audio e tenere solo l'indispensabile.
Un altro confine: la voce, se usata per riconoscere in modo univoco una persona, può diventare un dato biometrico. Un centralino che serve a prenotare non ha motivo di farlo. Se qualcuno ti propone il "riconoscimento vocale del cliente", chiedi cosa fa esattamente e su quale base, prima di dire sì.
Infine, quando il trattamento è su larga scala o riguarda categorie sensibili, può servire una valutazione d'impatto (articolo 35). Se serve nel tuo caso lo stabilisce il professionista, non questo articolo.
Dichiarare l'AI è un obbligo diverso dalla privacy
Non confondere i due piani. La registrazione riguarda il GDPR. L'obbligo di far capire a chi chiama che sta parlando con un sistema di AI viene dall'AI Act, il Regolamento UE 2024/1689, e la sua regola sulla trasparenza (articolo 50) è applicabile dal 2 agosto 2026: oggi è già in vigore da due mesi. La Legge 132/2025, la prima legge italiana organica sull'AI, in vigore dal 10 ottobre 2025, cala questi principi di trasparenza nel nostro ordinamento, anche verso clienti e lavoratori.
Se il tuo assistente si presenta con un nome umano e non dice di essere un'AI, il problema non è la registrazione: non sei in regola adesso. Il quadro è in obbligo di dichiarare l'AI al telefono, le formule concrete in come dichiararlo nella pratica.
Spesso la scelta migliore è non registrare
Nella maggior parte dei casi (prenotazioni, spostamenti, richieste di informazioni) l'audio completo non serve. Serve l'esito: chi ha chiamato, cosa voleva, cosa è stato deciso, che appuntamento è finito in agenda. Questi dati stanno nel calendario e nel gestionale, dove li trattavi già. Se rinunci all'audio hai meno da proteggere, meno da cancellare, meno da spiegare e meno da perdere in caso di incidente.
Registrare ha senso quando hai un motivo preciso e documentato, per esempio tutelarti su chiamate in cui si prendono impegni economici rilevanti. Anche lì: scopo dichiarato, durata definita, accessi limitati.
E quando una persona dice "non voglio essere registrato", il sistema deve rispettarlo senza drammi: prosegue senza registrare, oppure passa la chiamata a una persona. È uno dei casi in cui il passaggio a un operatore umano non è un ripiego, fa parte del progetto.
Da dove cominciare
Prima di scegliere un sistema, scrivi su un foglio quali chiamate ricevi, quali dati servono davvero per gestirle e quali di questi hai motivo di conservare, e per quanto. Con quel foglio in mano il confronto con il consulente privacy parte da basi concrete, e il sistema si costruisce intorno a decisioni già prese, invece di adattare le decisioni a ciò che il software fa di default.
In AstraLoop progettiamo centralini AI su misura per PMI e studi: l'assistente risponde, fissa e sposta appuntamenti sul calendario vero, manda conferme, passa la chiamata a una persona quando serve. La parte privacy (cosa si salva, dove, per quanto) è una scelta di progetto, non un'impostazione nascosta. Non facciamo consulenza legale e non ti diremo che basta il nostro sistema per essere a posto: le questioni giuridiche restano al tuo consulente. Se vuoi capire come impostare il tuo centralino, scrivici. Ti diciamo cosa si può fare e, se la risposta è "per te non serve", te lo diciamo.
Domande frequenti
Posso registrare le chiamate gestite da un centralino AI?
Sì, ma non in automatico. Serve uno scopo preciso, una base giuridica adatta a quello scopo (contratto, legittimo interesse o consenso), un'informativa a chi chiama e un tempo di conservazione definito. Spesso per prenotare basta salvare l'esito della chiamata, senza l'audio.
Devo chiedere il consenso a chi chiama prima di registrare?
Dipende dallo scopo e dalla base giuridica scelta. Il consenso non è l'unica strada, ma se lo usi deve essere libero: chi rifiuta deve poter essere servito comunque, senza registrazione o tramite una persona. Per la scelta nel tuo caso rivolgiti a un consulente privacy.
La trascrizione della chiamata è un dato personale come l'audio?
Sì. Anche il testo trascritto contiene dati riferibili a una persona identificabile, quindi rientra nel GDPR. Se lo conservi servono base giuridica, informativa, tempi di conservazione e misure di sicurezza, come per l'audio.
Per quanto tempo posso conservare le registrazioni?
Non esiste un termine uguale per tutti. Il GDPR chiede di conservare i dati per il tempo necessario allo scopo dichiarato e non oltre. Stabilisci un periodo motivato, scrivilo nell'informativa e fai in modo che la cancellazione avvenga davvero in automatico.
Dichiarare che parla un'AI è la stessa cosa dell'informativa privacy?
No, sono due obblighi diversi. L'informativa deriva dal GDPR e riguarda il trattamento dei dati. L'obbligo di far capire che si parla con un'AI viene dall'AI Act (articolo 50, applicabile dal 2 agosto 2026), che la Legge 132/2025 cala nell'ordinamento italiano. Nella pratica li dai insieme, nei primi secondi della chiamata.
Parliamo del tuo centralino AI su misura: ti spieghiamo cosa si può fare, cosa conviene non salvare e come costruirlo intorno al tuo processo. Scrivici per un preventivo.