Gong y el Reglamento de IA de la UE: guía de cumplimiento para el responsable del despliegue
Gong no es de alto riesgo en uso comercial normal. Tu exposición real está en el consentimiento de grabación, la confidencialidad y la línea biométrica.
No. En su uso comercial habitual, Gong no es de alto riesgo. Para tu organización, como responsable del despliegue, se sitúa en un riesgo mínimo o limitado, y la exposición real vive una capa más abajo: en el consentimiento de grabación de llamadas, en la confidencialidad y en una línea biométrica que no deberías cruzar, no en una clasificación del anexo III. Esta página te muestra dónde aterriza realmente Gong y el reducido conjunto de prácticas que te corresponde tener.
Dónde se sitúa Gong en la jerarquía de riesgo del Reglamento de IA
Gong es una plataforma de inteligencia de ingresos. Graba, transcribe y analiza llamadas y reuniones de ventas, revela información sobre operaciones y pipeline, puntúa oportunidades y orienta a los comerciales sobre sus patrones de conversación. Su alcance es notablemente más amplio que el de una simple transcripción de reuniones: la herramienta está diseñada para actuar sobre el contenido comercial de las conversaciones con clientes, no solo para generar notas.
Si contrastas esa función con el anexo III del Reglamento (UE) 2024/1689, no encontrarás ninguna categoría de alto riesgo en su uso estándar. Gong no realiza selección de personal ni evaluación de empleados (punto 4), ni evaluación de solvencia (punto 5, letra b), ni puntuación educativa (punto 3), ni labores policiales (punto 6). Como no se activa ninguna función del anexo III, el conjunto de obligaciones de alto riesgo del artículo 6(2) —gestión de riesgos, evaluación de la conformidad, registro— no se aplica a tu despliegue.
Tu rol también queda claro. Conforme al artículo 3, una empresa que se suscribe a Gong y lo utiliza tal como su proveedor lo previó es un responsable del despliegue, no un proveedor. Gong suministra el sistema; tú lo operas. Las obligaciones del proveedor no te alcanzan a menos que cruces el límite del artículo 25, al que volvemos al final.
Así que el trabajo se desplaza a otro lado: a controles de datos al nivel del RGPD, a la línea biométrica, al deber de alfabetización en IA del artículo 4 y a un disparador estrecho del artículo 50 que solo se activa cuando la salida de la IA llega a tu cliente. El nombre de la herramienta no fija tu nivel. Lo fija tu uso.
La línea biométrica: analizar lo que se dice no es categorización biométrica
El error de clasificación más habitual con una herramienta como Gong es suponer que, por procesar audio de voz, procesa datos biométricos. Por defecto, no lo hace.
Transcripción y análisis de sentimiento de texto frente a identificación por huella de voz
El anexo III, punto 1 abarca la identificación biométrica (1, letra a) y la categorización biométrica (1, letra b). Ambas se basan en analizar una plantilla biométrica —una huella de voz, una geometría facial— para identificar a una persona física concreta o para clasificarla en una categoría. El disparador jurídico es la plantilla, no el audio.
El análisis estándar de Gong hace algo distinto. Transcribe lo que se dijo, puntúa la proporción de habla y los temas, registra quién habló y cuándo, y aplica análisis de sentimiento basado en texto sobre la transcripción. Eso es análisis del contenido y los patrones de la conversación, no la construcción o el cotejo de una plantilla biométrica para identificar o clasificar a una persona. Es lo primero, no lo segundo, y lo primero no es una función biométrica del anexo III.
Cuándo Gong cruzaría al anexo III, punto 1, o a una prohibición del artículo 5
La línea solo se movería bajo una configuración que Gong no ejecuta por defecto: registrar huellas de voz para identificar biométricamente a los hablantes (hacia el anexo III, punto 1, letra a), o inferir atributos sensibles o emocionales a partir de la voz. Y aquí lo que está en juego sube con fuerza, porque dos prácticas no son solo de alto riesgo, sino que están prohibidas de plano. El artículo 5(1)(f) prohíbe el reconocimiento de emociones en el lugar de trabajo (con excepciones estrechas). El artículo 5(1)(g) prohíbe la categorización biométrica que infiere atributos sensibles. Ambas están en vigor desde el 2 de febrero de 2025.
La conclusión es nítida. El uso habitual de Gong se sitúa en el lado limitado o mínimo del Reglamento. El borde de la huella de voz y la emoción es lo que debes evitar en la configuración, no el comportamiento por defecto que estás comprando.
La exposición real: consentimiento de grabación, confidencialidad y conservación
Aquí es donde reside de verdad el trabajo práctico de cumplimiento, y se rige por el RGPD y la legislación nacional, que se aplican antes y por debajo del Reglamento de IA. Esto también es lo que separa a Gong de una herramienta interna de transcripción de reuniones: Gong apunta a llamadas con clientes, incluidas las salientes y las transfronterizas.
Base jurídica del RGPD y leyes nacionales de consentimiento de ambas partes
Grabar una llamada de ventas genera datos personales, que necesitan una base jurídica conforme al artículo 6 del RGPD. Por separado, grabar una conversación activa normas nacionales de consentimiento e interceptación que varían según el Estado miembro. Algunas exigen el consentimiento de todas las partes (a menudo llamado consentimiento de ambas partes) antes de poder grabar una llamada siquiera. Ese requisito muerde con más fuerza en la prospección saliente y en las llamadas transfronterizas con clientes, donde la otra parte no ha aceptado tu régimen de grabación y puede estar sujeta a una norma nacional más estricta que la tuya.
Contenido confidencial y de categorías especiales en las transcripciones
Las transcripciones de ventas no son texto neutro. Recogen condiciones comerciales sensibles, información confidencial de terceros compartida en la negociación y —cuando un cliente potencial revela datos de salud, financieros u otros datos sensibles— potencialmente datos de categorías especiales conforme al artículo 9 del RGPD. Por eso necesitas una política sobre qué llamadas se graban y sobre quién, dentro de la organización, puede abrir las transcripciones resultantes.
Los controles operativos que separan un despliegue conforme de uno expuesto son concretos: aviso o consentimiento de los participantes integrado en el flujo de la llamada; un contrato de tratamiento de datos con el proveedor que defina controles y residencia de datos; un periodo de conservación definido para grabaciones y transcripciones; y restricciones de acceso al contenido sensible. Los detalles de consentimiento e interceptación varían según el Estado miembro y justifican una revisión jurídica local: no des por hecho que una norma nacional viaja a otra jurisdicción.
Alfabetización en IA del artículo 4: el deber del Reglamento que ya te obliga
De todo el Reglamento, una obligación ya obliga a un responsable del despliegue de Gong en su uso habitual: la alfabetización en IA del artículo 4, en vigor desde el 2 de febrero de 2025. Exige que garantices un nivel de comprensión suficiente y adecuado al rol entre el personal que opera el sistema.
Para Gong, eso significa que el personal de ventas y los responsables deben entender, a un nivel acorde con su función, qué hace la herramienta y dónde falla. Sobre todo: las transcripciones contienen errores de transcripción, y las puntuaciones de operaciones, los resúmenes de llamadas y las señales de coaching generados por IA son salidas probabilísticas, no una verdad absoluta sobre la que actuar a ciegas.
Conviene dejar clara la proporcionalidad. El artículo 4 no exige un programa de formación formal. Una breve nota de uso aceptable —que cubra los límites de precisión, las reglas de consentimiento de grabación y cómo tratar las llamadas confidenciales— satisface el deber para un uso habitual de inteligencia de ingresos. En la práctica, un responsable del despliegue debería producir dos prácticas: el registro de alfabetización y uso aceptable, y la política de consentimiento de grabación.
Cuándo se aplica la transparencia del artículo 50: cuando la salida de la IA llega al cliente
El artículo 50 es un régimen de divulgación, no una evaluación de la conformidad. Exige que los chatbots de IA revelen que son IA, que las ultrafalsificaciones y los contenidos sintéticos se marquen como generados artificialmente, y que los proveedores de IA generativa marquen sus salidas de forma legible por máquina.
La mayoría del uso de Gong no lo activa. El coaching interno de comerciales y la analítica de pipeline —análisis de llamadas grabadas para tus propios equipos— no es ni un chatbot orientado al cliente ni generación de contenido sintético, así que el artículo 50 permanece inactivo.
El disparador a vigilar es estrecho pero real: cuando una función generativa de Gong redacta correos o textos orientados al cliente, o alimenta una interfaz conversacional orientada al cliente, la obligación de divulgación de chatbot del artículo 50(1) y las consideraciones sobre contenido generado del artículo 50(2) pueden volverse relevantes.
Ten en cuenta la salvedad del calendario. Las obligaciones de marcado de contenido del artículo 50 surten efecto el 2 de diciembre de 2026 en virtud del Ómnibus Digital, que ya está adoptado: el Parlamento lo votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, un trámite formal que no cambia la fecha.
Mapa de obligaciones de Gong por caso de uso
El principio es que el nivel sube con el uso, no con el nombre de la herramienta. En filas realistas, Gong se mantiene en mínimo o limitado; la variable que se mueve es la capa de datos y consentimiento que hay bajo el Reglamento.
| Caso de uso | Nivel del Reglamento de IA | ¿Anexo III? | Deberes / señales principales |
|---|---|---|---|
| Grabación interna de llamadas, transcripción y analítica de operaciones | Mínimo / limitado | No | Aviso/consentimiento del art. 6 del RGPD, alfabetización del art. 4, política de conservación |
| Grabación de llamadas salientes / transfronterizas con clientes | Limitado (Reglamento de IA) | No | Ley nacional reforzada de consentimiento de ambas partes, confidencialidad, contrato de tratamiento con el proveedor |
| Función generativa de Gong que redacta mensajes orientados al cliente | Limitado | No | Divulgación del artículo 50 / consideraciones sobre contenido generado |
| Hipotética identificación de hablante por huella de voz o inferencia de emoción en el trabajo | No es el Gong habitual | Borde del anexo III, punto 1 | Plantea problemas de prohibición del artículo 5(1)(f)/(g): evítalo |
Ejemplo práctico: una organización de ventas SaaS de 400 personas que despliega Gong
Lattigo Software, una empresa B2B de SaaS con 400 empleados, despliega Gong en sus equipos de ventas de la UE y transfronterizos. Su responsable de cumplimiento trabaja la clasificación antes que nada.
No hay ninguna función del anexo III en el uso de Lattigo, ni ningún análisis biométrico de huella de voz activado, así que el nivel del Reglamento de IA es de mínimo a limitado. Los problemas vivos son el consentimiento de grabación para las llamadas salientes con clientes, la confidencialidad de los datos comerciales de la fase de negociación y la conservación de las transcripciones: todas son cuestiones de la capa de datos, no de alto riesgo.
La lista de tareas del responsable del despliegue es corta y concreta:
- Establecer una base jurídica y un aviso o consentimiento de los participantes conforme al artículo 6 del RGPD para grabar las llamadas.
- Firmar un contrato de tratamiento de datos con el proveedor que defina controles y residencia de datos.
- Fijar una política sobre qué llamadas se graban y quién puede acceder a las transcripciones.
- Redactar una nota de una página de alfabetización y uso aceptable conforme al artículo 4.
- Definir y aplicar un periodo de conservación de las transcripciones.
- Comprobar el punto de divulgación del artículo 50 si alguna función generativa redacta mensajes orientados al cliente.
La pregunta de cierre es el límite del artículo 25. Lattigo, al usar Gong tal como se entrega, sigue siendo responsable del despliegue. Solo se convertiría en proveedor si pusiera su propia marca sobre la salida del sistema, modificara sustancialmente el sistema o lo reorientara hacia un uso de alto riesgo, nada de lo cual ocurre aquí.
Cómo ayuda Confir
Añade Gong a tu registro de IA y el motor de clasificación de Confir ejecuta las comprobaciones en orden. Aplica primero la prueba de prácticas prohibidas del artículo 5 —el borde de la huella de voz y la emoción en el trabajo— y después el alcance del artículo 6 y del anexo III. Para la inteligencia de ingresos habitual, confirma el nivel de limitado a mínimo y revela los controles que de verdad importan: las obligaciones de consentimiento, confidencialidad y conservación del RGPD, y el registro de alfabetización del artículo 4.
El motor es determinista y basado en reglas: sin inferencia de modelos, sin alucinaciones. La misma entrada produce el mismo resultado siempre, y la regla que se activó está redactada en lenguaje claro que cualquier revisor puede comprobar.
Las fechas que obligan a un responsable del despliegue de Gong son pocas. La alfabetización del artículo 4 y las prohibiciones del artículo 5 están ambas en vigor desde el 2 de febrero de 2025 (las prohibiciones solo importan en el borde de la huella de voz y la emoción). El marcado de contenido del artículo 50 está fijado para el 2 de diciembre de 2026 en virtud del Ómnibus Digital, ya adoptado y pendiente solo de su publicación en el Diario Oficial.
Los niveles de sanción, exactamente: las prácticas prohibidas conllevan multas de hasta 35 millones EUR o el 7 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(3)); la mayoría de incumplimientos del responsable del despliegue y de transparencia, hasta 15 millones EUR o el 3 % (artículo 99(4)); facilitar información incorrecta o incompleta a las autoridades, hasta 7,5 millones EUR o el 1 % (artículo 99(5)). Conforme al artículo 99(6), para las pymes y las empresas emergentes las multas se limitan al menor de los dos importes, el porcentaje o la cantidad fija. Las sanciones del RGPD por fallos de consentimiento y confidencialidad se aplican por separado y por su propia vía.
Guías relacionadas
- añade Gong a tu inventario de sistemas de IA
- clasificar herramientas de transcripción de reuniones por uso, no por nombre
- qué se considera dato biométrico
- la clasificación de riesgo limitado bajo el Reglamento de IA de la UE
- las obligaciones de transparencia del artículo 50 explicadas
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →