Las huellas de voz —voiceprints— son datos biométricos, y los tribunales ya están dictaminando sobre quién los puede capturar, almacenar y usar. Para los equipos de gobernanza de datos, esa jurisprudencia emergente no es un asunto legal abstracto: es una guía práctica para diseñar controles que soporten el escrutinio judicial.
Un voiceprint es la representación matemática única de la voz de una persona, derivada de características fisiológicas y de comportamiento que permanecen estables a lo largo del tiempo. En la práctica, cualquier sistema que grabe, analice o compare voces para identificar o autenticar individuos está tratando datos biométricos. Eso cambia radicalmente el régimen de obligaciones aplicable: ya no se trata de datos de contacto o preferencias de usuario, sino de una categoría especial con requisitos de consentimiento, limitación de finalidad, plazos de retención y medidas de seguridad reforzadas.
Por qué la litigación en EE. UU. sobre voiceprints importa fuera de ese país
La mayoría de los casos de biometría de voz ventilados en tribunales estadounidenses invocan la Biometric Information Privacy Act (BIPA) de Illinois, vigente desde 2008. Esa ley exige consentimiento explícito previo a la recolección, prohíbe la comercialización de datos biométricos y fija plazos de destrucción. Las demandas colectivas bajo BIPA han resultado en acuerdos millonarios contra operadores de centros de llamadas, plataformas de voz sobre IP y sistemas de autenticación de bancos. Lo que estos fallos revelan no son solo sanciones económicas: revelan qué controles de gobernanza estaban ausentes cuando ocurrió el litigio. Esa información es transferible a cualquier jurisdicción.
En América Latina, el marco legal para datos biométricos está fragmentado pero es exigente. La Ley General de Protección de Datos Personales de Brasil (LGPD) clasifica los datos biométricos como datos sensibles en su artículo 5, inciso II, y exige base legal específica para su tratamiento. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) ha emitido criterios que equiparan la biometría a datos sensibles bajo la Ley 25.326. México, a través del INAI, ha sancionado a organizaciones por capturar huellas vocales sin consentimiento expreso en servicios de atención telefónica. Chile, con su nueva Ley 21.719 de protección de datos personales, en vigor desde 2026, incluye disposiciones explícitas para datos biométricos con estándares próximos al GDPR.
Qué falla en gobernanza cuando llega un litigio por voz
El análisis de casos bajo BIPA y de resoluciones de autoridades latinoamericanas muestra un patrón recurrente de fallas de gobernanza, no de fallas tecnológicas. Los problemas más frecuentes son:
- Ausencia de clasificación: los voiceprints no estaban identificados como datos biométricos en el catálogo o inventario de datos de la organización, y por tanto no recibían los controles de categoría especial.
- Ownership difuso: el data steward responsable del activo no estaba asignado, lo que generó confusión sobre quién debía gestionar el consentimiento y los plazos de retención.
- Ausencia de data lineage: no existía trazabilidad sobre dónde se almacenaban las grabaciones, qué sistemas las procesaban ni a qué terceros se transferían.
- Políticas de retención sin cumplimiento efectivo: muchas organizaciones tenían políticas escritas pero carecían de controles automatizados para eliminar grabaciones al vencer el plazo.
- Consentimiento genérico: los avisos de privacidad mencionaban “grabación de llamadas” sin distinguir entre grabación de audio para control de calidad y creación de un modelo biométrico de identificación.
Cuándo aplica el régimen biométrico y cuándo no
No toda grabación de voz genera un voiceprint. Una llamada grabada para control de calidad que se almacena como archivo de audio y no se analiza con algoritmos de identificación biométrica no es, en principio, un dato biométrico en el sentido jurídico. El umbral se cruza cuando el sistema extrae un template matemático de características vocales con el propósito de identificar o autenticar a la persona. Esa distinción técnica debe estar reflejada en el catálogo de datos con metadatos de clasificación precisos: “grabación de audio” y “voiceprint” son activos distintos con regímenes distintos. En términos del DAMA-DMBOK, esto corresponde a la función de Data Classification dentro del dominio de Data Security, y su correcta aplicación depende de que el data steward tenga visibilidad sobre qué hace el sistema con el audio una vez capturado.
Tampoco aplica el régimen biométrico cuando el tratamiento del audio es puramente para transcripción automática sin extracción de características de identidad. Sin embargo, si esa transcripción luego alimenta un modelo que aprende a reconocer al hablante, el régimen biométrico se activa en esa segunda capa. Muchos incidentes de gobernanza ocurren exactamente ahí: el tratamiento inicial parecía inocuo, pero un componente de inteligencia artificial incorporó la función de identificación sin que los equipos de datos lo advirtieran.
Controles concretos que la jurisprudencia exige tener documentados
Los patrones de litigación permiten inferir qué controles deben estar en pie y poder demostrarse ante un tribunal o una autoridad de control. En el marco del EDM Council (CDMC), esto corresponde a las capabilities de Data Protection y Data Risk Management. Los controles mínimos que los casos judiciales han identificado como ausentes incluyen: un registro de actividades de tratamiento que diferencie explícitamente la captura de audio de la generación de voiceprints; cláusulas contractuales con proveedores de telefonía e IA que establezcan prohibiciones de uso secundario; procedimientos de eliminación verificable de templates biométricos con logs auditables; y mecanismos de consentimiento granular que distingan entre “grabación de llamada” y “creación de perfil biométrico de voz”. Un CDO que opera centros de atención al cliente o sistemas de autenticación por voz debería revisar esta semana si esos controles existen, están asignados a un owner y tienen evidencia de ejecución.
En Argentina, la AAIP puede requerir esa evidencia en el marco de una inspección de oficio. En Brasil, la ANPD tiene competencia para iniciar procedimientos sancionatorios con multas de hasta el 2% de la facturación en Brasil, con un tope de 50 millones de reales por infracción. En México, el INAI ha precedentes de resoluciones contra empresas de telecomunicaciones por exactamente este tipo de tratamiento.
El texto completo de la BIPA de Illinois, referencia central en la jurisprudencia analizada, está disponible en el sitio oficial de la Asamblea General del Estado de Illinois (ilga.gov), y el artículo 5 de la LGPD brasileña en la plataforma de legislación federal de Brasil (planalto.gov.br); ambos son puntos de partida obligados para cualquier equipo que esté revisando su inventario de datos biométricos.
