GDPR e agente AI al telefono: puoi registrare le chiamate dei clienti?

Attivi (o stai valutando) un agente AI al telefono e ti sei fatto la domanda giusta: posso registrare le chiamate dei clienti? È legale? La risposta breve è sì, ma non "senza pensarci" — perché la voce è un dato personale a tutti gli effetti, e il GDPR si applica a prescindere da chi (o cosa) risponde al telefono. Vediamo cosa cambia rispetto a un centralino tradizionale, chi è responsabile dei dati quando usi un fornitore esterno, e come funziona in concreto con mivAI.

La risposta breve

Sì, un agente AI può registrare le chiamate, con le stesse regole di qualsiasi registrazione di chiamata aziendale: serve un'informativa chiara al cliente (di solito un avviso audio a inizio chiamata), una base giuridica adeguata al trattamento e un periodo di conservazione limitato allo scopo. Il GDPR non fa eccezioni per l'AI: la voce, il contenuto della conversazione e i dati che il cliente fornisce (nome, richiesta, eventuali dati sanitari o finanziari a seconda dell'attività) sono dati personali, e vanno trattati di conseguenza. La parte che cambia rispetto a un centralino tradizionale è che il fornitore dell'agente AI diventa un responsabile del trattamento (art. 28 GDPR): tu resti titolare dei dati dei tuoi clienti, ma il fornitore li tratta per tuo conto, e deve garantirti un accordo (DPA) e trasparenza su dove finiscono quei dati. Con mivAI questo accordo è allegato al contratto di servizio, e l'elenco dei sub-responsabili — chi tratta cosa, dove, con quale base giuridica — è pubblico sulla pagina sub-responsabili del trattamento.

Perché la voce è un dato personale

Non è scontato per chi non mastica normativa privacy: una registrazione vocale è un dato personale al pari di un nome o un indirizzo email, perché identifica (o rende identificabile) la persona che parla. A questo si aggiunge tutto ciò che il cliente dice durante la chiamata — una richiesta di prenotazione, un reclamo, in certi settori anche dati particolari come informazioni sanitarie (uno studio medico) o alimentari (un'allergia comunicata al ristorante). Il GDPR si applica a questo insieme di dati, non solo al file audio in sé.

Per un agente AI la cosa si articola un po' di più che per una segreteria telefonica: oltre alla registrazione audio, quasi sempre c'è anche una trascrizione del contenuto, usata per generare la risposta e per lasciarti una traccia leggibile in dashboard. Entrambe le cose — audio e testo — sono dati personali, ed entrambe vanno gestite secondo le stesse regole.

Titolare, responsabile e sub-responsabili: chi risponde di cosa

Qui si genera la maggior parte della confusione, quindi vale la pena essere precisi.

In pratica: se un cliente esercita un diritto (accesso, cancellazione) sui dati raccolti dall'agente AI, la richiesta arriva a te come titolare, ma è il fornitore — in quanto responsabile — a doverti mettere in condizione di rispondere, con strumenti adeguati e senza opacità su dove i dati sono finiti.

Cosa serve per essere in regola

Quattro cose concrete, non un progetto:

• Informativa chiara sulla registrazione. Un avviso audio a inizio chiamata ("questa conversazione potrebbe essere registrata per finalità di qualità del servizio") è la prassi consolidata anche nei call center tradizionali, e vale allo stesso modo con un agente AI.
• Una base giuridica per il trattamento. Per gestire una richiesta del cliente (prenotazione, informazione, assistenza) la base è tipicamente l'esecuzione di un contratto o una misura precontrattuale — non serve un consenso separato per la normale gestione della chiamata.
• Conservazione limitata allo scopo. I dati non restano per sempre: vanno cancellati o resi anonimi una volta esaurita la finalità per cui sono stati raccolti.
• Trasparenza sul fornitore. Se usi un agente AI di terzi, devi sapere (e poter comunicare, se richiesto) dove finiscono i dati: quale infrastruttura, quali eventuali trasferimenti extra-UE, con quali garanzie.

Non confondere GDPR e AI Act

Sono due normative diverse, che spesso si sovrappongono nella testa di chi le legge per la prima volta:

• Il GDPR riguarda come vengono trattati i dati personali dei tuoi clienti: registrazione, conservazione, base giuridica, diritti dell'interessato.
• L'AI Act (in vigore dal 2 agosto 2026, art. 50) riguarda la trasparenza sull'uso dell'AI: il cliente ha diritto di sapere che sta parlando con un sistema automatico, a prescindere da cosa succede ai suoi dati dopo. Ne abbiamo scritto in dettaglio in AI Act 2026: devi dire ai clienti che parlano con un'AI?.

Rispettare l'uno non basta a rispettare l'altro: un agente che si dichiara correttamente come AI (AI Act) può comunque trattare male i dati raccolti (GDPR), e viceversa. Vanno considerati insieme, ma restano due checklist distinte.

Come funziona in pratica con mivAI

Un fornitore serio non ti lascia indovinare dove vanno i dati dei tuoi clienti. Su mivAI la situazione è pubblica e verificabile:

• mivAI opera come responsabile del trattamento (art. 28 GDPR) per conto dei propri clienti, con un DPA allegato al contratto di servizio.
• Le registrazioni vocali delle chiamate sono archiviate su infrastruttura europea (Cloudflare) e cancellate automaticamente dopo 90 giorni — non restano a tempo indeterminato.
• Hosting, server e database dell'infrastruttura mivAI sono su Hetzner, in Germania (Unione Europea).
• La telefonia (numerazioni e instradamento delle chiamate) passa da fornitori con base nell'Unione Europea.
• I modelli AI usati per capire e rispondere durante la chiamata dipendono dal modello scelto per il tuo account: alcuni sono elaborati su infrastruttura Google Cloud in territorio UE (Milano); altri (es. modelli OpenAI o Anthropic via API dirette) comportano un trasferimento extra-UE, coperto da Clausole Contrattuali Standard.
• L'elenco completo dei sub-responsabili — chi, dove, con quale base giuridica — è pubblico e consultabile in ogni momento sulla pagina sub-responsabili, con preavviso di almeno 30 giorni per qualsiasi modifica e facoltà di opposizione del cliente.

Questo non ti esonera dal tuo ruolo di titolare — l'informativa che dai ai tuoi clienti, per esempio, resta una tua responsabilità — ma ti dà una base verificabile su cui costruirla, invece di dover fidarti a scatola chiusa.

Questo articolo non è una consulenza legale. Per l'informativa privacy della tua attività e per valutare la conformità specifica del tuo caso — soprattutto se tratti dati sensibili come informazioni sanitarie o alimentari — conviene un confronto con un consulente privacy o il tuo commercialista.

Domande frequenti

Devo avvisare il cliente che la chiamata è registrata?
Sì, è buona prassi consolidata e coerente con i principi del GDPR: un avviso chiaro a inizio chiamata, come già avviene nei call center tradizionali.

Il cliente può chiedere che i suoi dati vengano cancellati?
Sì, come titolare del trattamento sei tu a dover gestire richieste di questo tipo; il fornitore dell'agente AI, in quanto responsabile del trattamento, deve mettertelo in condizione di fare.

Quanto tempo restano le registrazioni delle chiamate con mivAI?
Le registrazioni vocali vengono cancellate automaticamente dopo 90 giorni dall'infrastruttura di archiviazione.

Serve un consenso esplicito per ogni chiamata?
Per la normale gestione di una richiesta del cliente (prenotazione, informazione, assistenza) la base giuridica è tipicamente l'esecuzione di un contratto o una misura precontrattuale, non un consenso separato da raccogliere chiamata per chiamata. Casi particolari (dati sensibili, finalità di marketing) possono richiedere basi diverse: qui vale il confronto con un consulente.

Vale lo stesso discorso per WhatsApp, chat ed email?
Il principio è lo stesso — i messaggi, come le chiamate, sono dati personali e vanno trattati con le stesse garanzie — anche se i dettagli tecnici (dove e come sono conservati) cambiano canale per canale. Il dettaglio completo dei sub-responsabili coinvolti per ogni canale è nella pagina dedicata.

---

Per il lato "trasparenza" della stessa medaglia — l'obbligo di dire ai clienti che stanno parlando con un'AI — leggi AI Act 2026: devi dire ai clienti che parlano con un'AI?. Per capire come funziona un agente AI al telefono nel concreto, parti da questa guida.

Vuoi vedere la lista completa e verificabile di chi tratta i dati dei tuoi clienti con mivAI? Consulta la pagina sub-responsabili o dai un'occhiata ai piani e prezzi.