Definición
PCI DSS es el Estándar de seguridad de datos de la industria de tarjetas de pago, un conjunto de requisitos técnicos y operativos para las entidades que almacenan, procesan o transmiten datos de tarjetas. Lo publica el PCI Security Standards Council, y las marcas de tarjeta y los adquirentes lo aplican mediante sus contratos.
Qué abarca
PCI DSS ofrece una base de requisitos técnicos y operativos para proteger los datos de cuentas de pago. El PCI Security Standards Council dice que está pensado para las entidades que almacenan, procesan o transmiten datos del titular de la tarjeta o datos de autenticación sensibles, o que podrían afectar a la seguridad del entorno que los contiene. Eso incluye comerciantes, procesadores, adquirentes, emisores y proveedores de servicios. El consejo fija el estándar, y los adquirentes y las marcas de pago lo aplican mediante sus acuerdos, así que no es una ley. Esta página refleja la versión 4.0.1 del estándar.
Aquí importan dos términos. Los datos del titular incluyen el número de cuenta principal (PAN). Los datos de autenticación sensibles (SAD) incluyen el código de verificación impreso en la tarjeta, como el CVV2, CVC2 o CID, que existe para demostrar que quien paga tiene la tarjeta en la mano.
Qué exige
El requisito 3.2.1 pide que el almacenamiento de datos de cuenta se reduzca al mínimo mediante políticas, procedimientos y procesos de conservación y eliminación de datos. El requisito 3.3.1 dice que los SAD no se almacenan tras la autorización, aunque estén cifrados. Los datos del titular, como el PAN, pueden conservarse tras la autorización solo si existe una necesidad de negocio y, en el caso del PAN, solo cuando se vuelve ilegible. Los SAD no pueden conservarse.
El Consejo ha aplicado esto directamente a las llamadas. En la FAQ 1210 dice que almacenar un código de validación de tarjeta en cualquier grabación de audio digital, como un archivo .wav o .mp3, tras la autorización es una infracción del requisito 3.3.1. Si se recogen esos datos durante una llamada, debe hacerse todo lo posible para evitar que se graben, y donde exista tecnología para suprimir o ocultar el audio durante la introducción de datos debe activarse. Si no se puede evitar la grabación, los datos deben borrarse de forma segura inmediatamente después de la autorización. Donde no sea posible borrarlos, la alternativa son los controles compensatorios. La FAQ también afirma que PCI DSS no anula las leyes locales o regionales de conservación de audio.
Qué significa para un agente de voz
Un agente de voz es un lugar nuevo por donde pueden extenderse los datos de tarjeta. Los dígitos que una persona dice o teclea pueden aparecer en el audio de la llamada, en una transcripción, en un prompt enviado a un LLM, en una llamada a herramienta, en una carga de webhook, en un almacén de análisis y en los registros de un proveedor. Cada copia plantea si cae dentro de su alcance PCI.
Los enfoques habituales son pasar a quien llama a un flujo de pago que queda fuera del agente, o recoger los dígitos con tonos del teclado que se enmascaran en el audio (DTMF), de modo que el agente nunca los oye ni los almacena. Sea cual sea el diseño, compruebe qué captura la grabación de llamadas durante el paso de pago y cómo se guardan y se eliminan las piezas (conservación de datos). El informe SOC 2 de un proveedor no demuestra el estatus PCI. Pida la atestación PCI del proveedor si está en la ruta de los datos de tarjeta. Para ejemplos bancarios, véase la guía sobre IA conversacional en banca.
Preguntas para el asesor jurídico
- ¿Almacenamos, procesamos o transmitimos datos de tarjeta en este flujo, o podemos dejar al agente fuera de alcance?
- ¿Qué evaluación o atestación se nos aplica y qué exigen nuestro adquirente y las marcas de tarjeta?
- ¿Cómo evitamos que los dígitos de tarjeta lleguen a grabaciones, transcripciones, prompts y registros?
- ¿Qué hacemos si una grabación ya contiene un código de verificación?
- ¿Qué proveedores de la ruta de la llamada deben darnos pruebas de su propio estatus PCI?
Términos relacionados
Guías
Casos de uso
Fuentes
- PCI Security Standards Council, PCI Data Security Standard (PCI DSS)
- PCI SSC FAQ 1210, Are audio/voice recordings permitted to contain sensitive authentication data?
Esta página ofrece información general, no asesoramiento jurídico. Las normas varían según el país, el estado y el caso de uso, y cambian. Consulta las fuentes enlazadas y pide consejo a un abogado cualificado antes de basarte en ella.
Última revisión el 19 de octubre de 2026