La guía de cumplimiento del centro de contacto: regulaciones y mejores prácticas

El cumplimiento en los centros de contacto nunca ha sido sencillo, pero los desarrollos de 2024 y 2025 lo hicieron drásticamente más complejo. La Federal Trade Commission (FTC) amplió la Telemarketing Sales Rule (TSR) para cubrir ciertas llamadas entrantes, la Federal Communications Commission (FCC) estableció nuevos plazos de revocación del consentimiento que exigen que las exclusiones voluntarias se respeten en un plazo de 10 días hábiles, y nuevos requisitos de PCI DSS 4.0.1 elevaron el listón para la gestión de pagos telefónicos.

Si ya está haciendo malabares con demandas contrapuestas en torno al coste, la satisfacción del cliente, el rendimiento de los agentes y la eficiencia operativa, el cumplimiento es un área más en la que lo que está en juego sigue aumentando y el margen de error sigue reduciéndose.

Esta guía cubre las regulaciones que todo centro de contacto necesita conocer, las brechas de cumplimiento que crea el monitoreo basado en muestreo a escala, y las prácticas operativas y las herramientas impulsadas por IA que respaldan un cumplimiento coherente y defendible.

¿Qué es el cumplimiento en los centros de contacto?

El cumplimiento en los centros de contacto requiere satisfacer varios regímenes regulatorios distintos a la vez, y una sola interacción con un cliente puede activar obligaciones bajo múltiples marcos simultáneamente. En la práctica, una interacción con un cliente puede activar los requisitos de la Health Insurance Portability and Accountability Act (HIPAA) si surge información de salud protegida, las obligaciones de PCI DSS si se cobra un pago, las reglas de la Telephone Consumer Protection Act (TCPA) si interviene la marcación automatizada, y las protecciones de la California Consumer Privacy Act (CCPA) si quien llama es residente de California.

Esa realidad estratificada es lo que hace que el cumplimiento sea tan difícil de gestionar. Cada marco conlleva sus propios requisitos de documentación, reglas de consentimiento y estructura de sanciones, y todos se aplican al mismo tiempo.

Las regulaciones que todo centro de contacto debe conocer

La mayoría de los centros de contacto operan bajo varios marcos superpuestos a la vez, y el entorno regulatorio cambió de forma significativa en 2024 y 2025. Esto es lo que exige cada uno.

Telemarketing Sales Rule (TSR)

La TSR cambió significativamente a finales de 2024. La Federal Communications Commission aprobó enmiendas a la TSR que amplían la cobertura a ciertas llamadas entrantes de telemarketing para servicios de soporte técnico. La regla actualizada conlleva varios requisitos clave.

• Requisitos de conservación de registros de cinco años para las transacciones cubiertas
• Un límite del 3% en las tasas de abandono de los marcadores predictivos
• La obligación continua de contrastar con el National Do Not Call Registry como mínimo cada 31 días

Telephone Consumer Protection Act (TCPA)

La TCPA regula la marcación automatizada, los mensajes pregrabados y los requisitos de consentimiento para los contactos salientes. En 2025 entró en vigor un cambio operativo significativo. La orden de revocación de la Federal Communications Commission, en vigor desde el 11 de abril de 2025, exige que quienes llaman respeten las exclusiones voluntarias a través de cualquier método razonable, ya sea un mensaje de texto que diga «STOP» o una solicitud verbal durante una llamada en directo. Quienes llaman deben procesar las revocaciones en un plazo de 10 días hábiles, y la carga de documentar tanto el consentimiento original como cualquier revocación recae sobre quien llama.

Health Insurance Portability and Accountability Act (HIPAA)

HIPAA se aplica a cualquier centro de contacto que actúe como socio comercial de una entidad cubierta. Dos requisitos son innegociables.

• Las entidades cubiertas y los socios comerciales deben suscribir Business Associate Agreements antes de intercambiar información de salud protegida
• La documentación requerida por HIPAA debe conservarse durante seis años, según la HHS Security Rule

Payment Card Industry Data Security Standard (PCI DSS)

PCI DSS 4.0.1 eleva el listón para la captura de pagos por teléfono. La guía sobre pagos telefónicos del PCI Security Standards Council establece varios requisitos que afectan directamente a las operaciones de los centros de contacto.

• Los tonos multifrecuencia de doble tono (DTMF) deben enmascararse o suprimirse durante la captura de pagos para que las entradas del teclado no sean audibles en las grabaciones
• Los datos de autenticación sensibles, incluidos los códigos CVV, nunca deben grabarse bajo ninguna circunstancia
• El acceso a los datos del titular de la tarjeta debe restringirse al personal mínimo necesario, con la aplicación obligatoria de identificadores de usuario únicos

California Consumer Privacy Act (CCPA) and California Privacy Rights Act (CPRA)

Las obligaciones de la CCPA y la CPRA siguen evolucionando, especialmente para los centros de contacto que recopilan, almacenan o analizan grandes volúmenes de datos de interacción con los clientes. Si su centro de contacto utiliza análisis de IA o reconocimiento de voz en llamadas con residentes de California, trate el cumplimiento de la privacidad de California como un programa vivo que abarca los procesos de notificación, acceso, eliminación y gobernanza, en lugar de una actualización puntual de la política.

General Data Protection Regulation (GDPR) and Privacy and Electronic Communications Regulations (PECR)

El GDPR y la PECR se aplican a los centros de contacto que atienden a clientes del Reino Unido o la UE. Los reguladores han aumentado la atención sobre las prácticas de marketing, la documentación del consentimiento y la minimización de datos, por lo que las gestiones de ventas salientes y entrantes a menudo requieren un escrutinio más detallado que las llamadas de servicio general.

Consecuencias del incumplimiento

Las sanciones han llegado a un punto en el que un solo fallo de cumplimiento puede amenazar a todo un negocio. Bajo la Telephone Consumer Protection Act (TCPA), los daños legales pueden alcanzar los $500 por infracción, y los tribunales pueden triplicar los daños por infracciones deliberadas o conscientes, lo que hace que las demandas colectivas sean especialmente arriesgadas.

La aplicación de HIPAA también puede tener un impacto financiero y operativo significativo a través de planes de acción correctiva y acuerdos de conciliación.

En todos estos marcos, los reguladores y los demandantes esperan que usted demuestre qué hizo, cuándo lo hizo y por qué sus controles son fiables.

Cómo varían los requisitos de cumplimiento según el sector

Los centros de contacto sanitarios se enfrentan a requisitos estrictos en torno al manejo de la información de salud protegida, junto con obligaciones más amplias de manejo de datos. El estándar de mínimo necesario de HIPAA requiere protocolos que limiten la información de salud protegida al mínimo necesario para las divulgaciones rutinarias, mientras que las divulgaciones no rutinarias requieren una revisión individual.

Los centros de contacto de servicios financieros operan en un panorama de cumplimiento complejo en el que los requisitos de supervisión y conservación a menudo se solapan con las obligaciones de monitoreo. Las empresas que utilizan centros de contacto subcontratados deben verificar que los procedimientos de supervisión mantengan el cumplimiento de las reglas de registro y supervisión, junto con los requisitos de continuidad del negocio. Las obligaciones de conservación también dependen del contenido de las comunicaciones y no del medio por el que se enviaron.

Los centros de contacto de seguros suelen tener requisitos estrictos de grabación y conservación en los flujos de ventas regulados. Las reglas de marketing de Medicare de los CMS exigen la conservación a largo plazo de las llamadas relacionadas con ventas en ciertos programas e incluyen requisitos de divulgación específicos para las organizaciones de marketing de terceros.

Los centros de contacto minoristas que procesan pagos deben abordar las obligaciones de PCI DSS en todo el tráfico de voz, incluidos los requisitos de transmisión segura para la voz sobre protocolo de internet (VoIP). La guía de pagos telefónicos del PCI SSC vincula las expectativas de cifrado con la transmisión de los datos del titular de la tarjeta.

Por qué el monitoreo de cumplimiento basado en muestreo falla a escala

La gestión de calidad (QM) basada en muestreo crea puntos ciegos difíciles de defender durante las auditorías y las investigaciones. Si solo revisa una pequeña fracción de las interacciones, puede pasar por alto justo las llamadas que crean exposición regulatoria. Tres problemas estructurales empeoran esto con el tiempo.

• El cumplimiento es binario. Los reguladores no dan crédito por encontrar y corregir problemas en una pequeña muestra si las infracciones continúan en otros lugares. El muestreo no le protege de lo que ocurre fuera del conjunto revisado.
• Las condiciones de los centros de contacto amplifican el riesgo. La alta rotación, la presión constante sobre los horarios y las reglas multijurisdiccionales que varían según el estado hacen que el conjunto de posibles infracciones sea siempre mayor de lo que cualquier muestra puede captar.
• Los programas regulados esperan visibilidad a nivel de patrones. Se espera que los supervisores detecten tendencias y valores atípicos en toda la población de llamadas, no solo errores aislados. La revisión manual no puede producir esa imagen.

Cuando el monitoreo se queda corto, las organizaciones necesitan sistemas que puedan evaluar cada interacción, preservar el contexto y facilitar la producción de pruebas cuando llega una investigación.

Esta es la brecha que Oportun identificó antes de implementar Cresta. La fintech con propósito tenía vulnerabilidades de cumplimiento y riesgo que no podía ver mediante la revisión basada en muestreo. Tras pasar a Cresta Conversation Intelligence, alcanzaron una cobertura de QA del 100% y redujeron su carga de trabajo de QM en un 50% en el proceso.

Cómo la IA cambia el monitoreo de cumplimiento en los centros de contacto

La IA hace que el monitoreo integral y la intervención en el momento sean operativamente realistas. En lugar de encontrar los problemas días o semanas después mediante auditorías, los equipos pueden detectar el riesgo a medida que surge y actuar cuando la corrección todavía importa. Las aplicaciones prácticas se dividen en tres áreas.

• Orientación en tiempo real durante las llamadas en directo. Muchos agentes prefieren la ayuda que llega durante la interacción, cuando todavía pueden corregir una divulgación, confirmar la redacción del consentimiento o hacer una pausa antes de recopilar información sensible. La IA puede ofrecer avisos de cumplimiento en pantalla y reforzar las divulgaciones requeridas cuando la conversación entra en terreno regulado, en lugar de revelar las infracciones a posteriori.
• Protección automatizada de datos sensibles. Para los programas de PCI DSS y HIPAA, la redacción automatizada puede eliminar los números de tarjeta de crédito y los detalles de salud de las grabaciones de llamadas. Las organizaciones a menudo combinan esto con controles de telefonía como el enmascaramiento de DTMF, configurados fuera de la capa de inteligencia conversacional.
• Gobernanza de acceso coherente. Los controles de acceso basados en roles para la reproducción de grabaciones son más fáciles de aplicar cuando residen en la misma capa operativa que el monitoreo y la QM, lo que reduce la desviación de configuración que genera hallazgos en las auditorías.

Cresta Agent Assist apoya a los agentes humanos directamente en la capa de orientación en tiempo real. Ofrece indicaciones y listas de verificación específicas para cada situación, junto con recordatorios de cumplimiento adaptados a las conversaciones en directo. También puede señalar el riesgo en el momento cuando las señales conductuales sugieren que un agente se dirige hacia una brecha de divulgación, dándole la oportunidad de corregir el rumbo antes de que termine la llamada. 

Cuando las conversaciones las gestiona Cresta AI Agent en lugar de un humano, las mismas salvaguardas regulatorias se aplican a través de un mecanismo diferente. Las salvaguardas a nivel de sistema están integradas en el AI Agent para evitar salidas que violarían las políticas o la normativa, las salvaguardas de supervisión se ejecutan en paralelo para interceptar entradas de riesgo, y la QM conductual automatizada evalúa las conversaciones reales del AI Agent para que las infracciones de cumplimiento salgan a la luz en tiempo real en lugar de semanas después en una auditoría.

Las reglas de privacidad añaden una complicación adicional porque los sistemas de IA pueden crear nuevos almacenes de datos y nuevas rutas de procesamiento, lo que significa que la carga de gobernanza crece a la par que la capacidad.

Mejores prácticas para construir un centro de contacto que cumpla la normativa

Las regulaciones establecen el mínimo, pero la disciplina operativa es lo que mantiene a los centros de contacto fuera del radar de las autoridades. Estas son las prácticas que resisten el escrutinio.

Forme a los agentes en los requisitos regulatorios y los protocolos de grabación

Sus agentes necesitan formación específica sobre los protocolos de grabación y los requisitos regulatorios. Los agentes deberían comprender los protocolos de autenticación y los límites de grabación, incluido cómo manejar la información sensible cuando los clientes la ofrecen sin que se les pida. Use llamadas grabadas reales para demostrar los comportamientos conformes frente a los no conformes, y actualice la formación cada vez que cambien las regulaciones.

Cree flujos de trabajo de consentimiento documentados

Bajo la TCPA, la ley exige un consentimiento expreso previo, que puede ser oral o escrito según el contexto. Como mínimo, documente el origen del consentimiento, la fecha y hora en que se obtuvo y la redacción exacta utilizada, incluso cuando la ley no prescriba un único formato de documentación requerido. Las solicitudes de revocación deben captarse en todos los canales y procesarse con prontitud para cumplir con el requisito de 10 días hábiles de la FCC.

Implemente controles de acceso basados en roles para los datos sensibles

Los controles de acceso basados en roles para los datos sensibles deberían cubrir todos los sistemas que tocan la información del cliente. La cuestión práctica de implementación es cómo se aprovisiona, revisa y revoca el acceso a medida que los agentes cambian de rol o se marchan. Las organizaciones que tratan los controles de acceso como una configuración puntual en lugar de un proceso de gobernanza continuo crean el tipo de desviación que sale a la luz en las auditorías.

Haga que la gestión de calidad sea colaborativa en lugar de punitiva

Involucrar a los agentes en el proceso de revisión genera confianza y aceptación, especialmente cuando el coaching refleja un cuerpo de evidencia significativo en lugar de una llamada desafortunada. Cuando puntúa y revisa las conversaciones de forma integral, puede fundamentar la retroalimentación en patrones consistentes y hacer que las apelaciones y la calibración resulten más justas para agentes y gerentes. Cresta Conversation Intelligence apoya esto al puntuar todas las conversaciones automáticamente, de modo que el coaching refleje los patrones de rendimiento reales de un agente en lugar de una instantánea limitada.

Programe y documente las pruebas de cumplimiento

Sin un calendario de pruebas definido, las brechas de cumplimiento se acumulan en silencio. PCI DSS espera pruebas de seguridad periódicas, y los programas de HIPAA requieren revisiones periódicas de las salvaguardas y los controles. Defina la responsabilidad y la cadencia, y conserve evidencia clara para poder demostrar qué probó y cómo cerró las brechas.

Cómo Cresta ayuda a los centros de contacto a cumplir la normativa

Mantener el cumplimiento tanto en los agentes humanos como en los agentes de IA requiere una supervisión unificada y una evaluación coherente, con la capacidad de intervenir rápidamente cuando aparece el riesgo. Cresta está construida para esa realidad operativa. Cresta Agent Assist ofrece orientación en tiempo real a los agentes humanos durante las conversaciones en directo, presentando listas de verificación de divulgación y recordatorios regulatorios en el momento en que se necesitan para que los agentes puedan corregir el rumbo mientras la llamada sigue en curso en lugar de descubrir la brecha días después en una auditoría.

Cuando la conversación la gestiona un agente de IA en lugar de un humano, el cumplimiento aún debe mantenerse. Cresta AI Agent está construido con salvaguardas a nivel de sistema que evitan que las salidas violen las políticas o la normativa, salvaguardas de supervisión que interceptan las entradas de riesgo en paralelo, y una gestión de estado determinista que mantiene los flujos de trabajo regulados en una trayectoria predecible incluso a medida que la conversación se adapta. La QM conductual automatizada evalúa entonces las conversaciones reales del AI Agent para que cualquier infracción de cumplimiento salga a la luz en tiempo real en lugar de semanas después en una auditoría.

Cresta Conversation Intelligence monitorea cada interacción automáticamente, eliminando las brechas de muestreo que dejan invisible la exposición regulatoria hasta que los reguladores o los demandantes la sacan a la luz. Cuando los agentes de IA forman parte de la operación, el Cresta Agent Operations Center ofrece a los supervisores visibilidad en tiempo real de las conversaciones activas, priorización basada en el riesgo de las alertas de cumplimiento y controles de intervención directa para las situaciones que requieren criterio humano. Para sectores regulados como el de los seguros, Cresta Agent Assist presenta las reglas de elegibilidad y los recordatorios de cumplimiento en tiempo real para que los agentes puedan cotizar con precisión y mantenerse del lado correcto de los requisitos de divulgación en cada interacción. 

Cresta fue también el primer proveedor de IA para centros de contacto en obtener la certificación ISO 42001, un marco externo para la gobernanza responsable de la IA que se está convirtiendo en una señal significativa en los procesos de adquisición regulados.

La aplicación de la normativa se está acelerando, la presión de los litigios sigue siendo alta y las expectativas de gobernanza específicas de la IA siguen ampliándose. Visite nuestra biblioteca de recursos para explorar más sobre cómo construir una operación de centro de contacto que cumpla la normativa, o solicite una demostración para ver cómo funcionan en la práctica las capacidades de monitoreo y supervisión de Cresta.