¿Tu empresa transcribe reuniones con IA? Estos controles no son opcionales

La voz y el contenido necesitan protección

La AEPD recuerda que la voz puede identificar o hacer identificable a una persona. A ella se suman el contenido de la conversación y metadatos como la dirección IP, el número de teléfono o la información de uso del servicio.

Por tanto, incorporar un transcriptor no consiste solo en habilitar una función: la empresa debe encajarlo en sus tratamientos, valorar su necesidad y aplicar las obligaciones del RGPD.

Fuente oficial: AEPD: Transcripción de voz con IA e implicaciones para la protección de datos

Siete comprobaciones antes de activarlo

• Definir para qué reuniones y con qué finalidad se utilizará.
• Comprobar qué datos recoge el proveedor además del audio o la transcripción.
• Revisar si utiliza conversaciones para entrenar o mejorar sus modelos.
• Confirmar quién puede escuchar muestras y qué subencargados intervienen.
• Verificar ubicación, conservación, borrado y medidas de seguridad.
• Determinar la base jurídica aplicable e informar antes de grabar o transcribir.
• Desactivar inferencias de emociones, salud, creencias u otras categorías sensibles salvo análisis especializado.

El consentimiento no siempre resuelve el problema

Cuando la base elegida sea el consentimiento, debe ser libre, específico, informado, inequívoco y tan fácil de retirar como de otorgar. En una relación laboral existe un desequilibrio que puede impedir que el consentimiento sea verdaderamente libre.

Si se utiliza interés legítimo, la empresa debe poder demostrar la ponderación frente a los derechos y libertades de las personas afectadas. La base jurídica depende del contexto; no se debe asumir de forma automática.

Qué debería quedar documentado

• Herramienta, propietario interno y perfiles autorizados.
• Finalidad, tipos de reunión permitidos y reuniones excluidas.
• Base jurídica, información facilitada y forma de oposición o retirada.
• Contrato, subencargados, transferencias, conservación y borrado.
• Configuración aplicada y evidencia de que el reentrenamiento está desactivado cuando corresponda.
• Procedimiento para incidentes, acceso, rectificación y supresión.

Una regla sencilla para empezar

Hasta completar la revisión, no permitas que cada empleado conecte por su cuenta asistentes de transcripción a reuniones con clientes, plantilla o información confidencial. Centraliza la elección de la herramienta, limita los permisos y deja una instrucción clara por escrito.