Software de transcripción conforme al RGPD: transcripción con IA sin riesgo para los datos

Una entrevista de investigación, una llamada con un cliente grabada, una nota de voz llena de apuntes de proyecto: la transcripción con IA convierte horas de tecleo en minutos de cómputo. Y exactamente por eso, innumerables equipos están subiendo ahora mismo sus grabaciones a cualquier servicio de transcripción sin preguntarse dónde acaba realmente ese audio.

La verdad incómoda: casi toda grabación contiene datos personales, a menudo datos especialmente protegidos. Si los transmites a un servicio en la nube fuera del Espacio Económico Europeo (EEE), además de la base jurídica del tratamiento tienes que comprobar y asegurar la transferencia a un tercer país. Este artículo muestra qué importa de verdad en un software de transcripción conforme al RGPD, qué preguntas deberías hacer a cualquier proveedor y por qué la transcripción local con IA puede simplificar la revisión.

Una aclaración previa: esto es una visión general, no asesoramiento jurídico. La valoración concreta depende siempre de tu escenario de uso. Si lo tuyo es el dictado en vivo y no la transcripción de grabaciones, encontrarás el análisis legal en nuestro artículo sobre software de dictado conforme al RGPD.

Por qué la transcripción es un tema de privacidad más delicado que el dictado

Al dictar procesas tu propia voz y tus propios pensamientos. Al transcribir grabaciones se añade una dimensión decisiva: los datos de otras personas. Una entrevista contiene la voz y las declaraciones de tu interlocutora. Una reunión grabada contiene las palabras de todos los participantes. Estas grabaciones de voz son, por regla general, datos personales. Solo se consideran datos biométricos, una categoría especial según el art. 9 del RGPD, cuando se procesan con medios técnicos específicos para identificar de forma inequívoca a una persona.

El contenido se vuelve sensible enseguida. Las entrevistas cualitativas suelen tocar la salud, las opiniones políticas o la historia de vida de las personas entrevistadas, es decir, categorías especiales de datos personales según el art. 9 del RGPD. Las llamadas con clientes contienen detalles contractuales, las reuniones de equipo asuntos internos y de personal. Quien procesa esas grabaciones es responsable de datos que otras personas le han confiado.

A esto se suma una obligación que rige antes de cualquier transcripción: la propia grabación necesita una base jurídica. Grabar conversaciones sin el conocimiento y el consentimiento de los participantes es ilícito en muchos casos y puede incluso constituir delito. El consentimiento explícito es la vía más segura en muchas situaciones típicas de entrevista y conversación; qué base jurídica sostiene realmente el tratamiento depende del contexto concreto.

El problema de los servicios de transcripción en la nube

Imagen ilustrativa generada con IA

Los servicios de transcripción más conocidos funcionan en la nube, muchos con servidores en Estados Unidos. Eso te abre varios frentes a la vez.

En cuanto un proveedor procesa audio por encargo tuyo, necesitas un contrato de encargado del tratamiento según el art. 28 del RGPD. Si el tratamiento tiene lugar fuera del EEE, se añade la transferencia a un tercer país, que para proveedores estadounidenses exige garantías adecuadas y una evaluación de la transferencia. Para los destinatarios estadounidenses certificados en el EU-US Data Privacy Framework rige la decisión de adecuación de la Comisión del 10 de julio de 2023; el Tribunal General de la UE la confirmó en septiembre de 2025 y hay un recurso pendiente, de modo que para los destinatarios no certificados el camino siguen siendo las cláusulas contractuales tipo con una evaluación de la transferencia. Frente a las personas grabadas tienes, por regla general, deberes de información según los arts. 13 y 14 del RGPD, salvo que se aplique una excepción legal: deben ser informadas de los destinatarios o las categorías de destinatarios de su grabación. Si te basas en un consentimiento, su alcance debe cubrir también la comunicación y el tratamiento previstos.

Hay un punto que se pasa por alto con frecuencia: el entrenamiento de modelos de IA. Algunos servicios se reservan el derecho de usar el audio o las transcripciones subidas para mejorar sus modelos. Para grabaciones confidenciales eso es un criterio de exclusión, independientemente de dónde esté el servidor. Un proveedor que no se comprometa de forma clara y contractual a no usar tus contenidos para entrenamiento no es una opción para grabaciones sensibles.

Para las profesiones sujetas a secreto, todo se endurece aún más. Médicos, abogados y terapeutas que revelan sin autorización secretos de clientes o pacientes se exponen a consecuencias profesionales y a menudo penales. Una entrevista con una paciente o la grabación de una reunión con un cliente sencillamente no pinta nada en el servidor de un proveedor que no controlas contractualmente.

Transcripción local con IA: resolver el problema de raíz

La buena noticia: la tecnología ha cambiado de raíz. Los modelos modernos de reconocimiento de voz como Whisper funcionan hoy directamente en portátiles normales, sin contacto con servidores y con una calidad que compite con los servicios en la nube. Puedes leer más sobre la tecnología en nuestra guía de software de dictado offline para Mac y Windows.

Para la privacidad, eso lo cambia todo. Si la transcripción se ejecuta localmente en tu dispositivo, la grabación nunca lo abandona. No hay destinatario, así que no hay contrato de encargado para este paso, ni transferencia a terceros países, ni cuestión Schrems II, ni preocupación por el entrenamiento de modelos ajenos. Tus deberes de información frente a las personas grabadas se simplifican, porque puedes decir con total verdad: la grabación se queda en este equipo.

Precisamente en la investigación cualitativa es un avance práctico. Los comités de ética y los delegados de protección de datos preguntan sistemáticamente adónde van las grabaciones de las entrevistas. "La transcripción se ejecuta localmente en el ordenador del estudio" puede simplificar la revisión en materia de protección de datos. Lo mismo vale para las redacciones que protegen a sus fuentes y para todas las profesiones sujetas a secreto.

La valoración honesta sigue siendo: lo local resuelve la cuestión de la transferencia, no todas las obligaciones. Sigues necesitando una base jurídica para la propia grabación, además de una seguridad razonable del equipo, es decir, cifrado de disco, control de acceso y una rutina limpia de borrado para las grabaciones que ya no necesites.

Si hay nube: entonces europea y desactivable

Imagen ilustrativa generada con IA

Hay casos en los que la potencia de la nube es realmente útil, por ejemplo grabaciones muy largas en hardware antiguo. Entonces la pregunta no es "nube sí o no", sino cuál. Una vía en la nube que opere íntegramente dentro del Espacio Económico Europeo puede simplificar la revisión, pero no sustituye ni la base jurídica ni las demás obligaciones. Importan en particular un contrato de encargado del tratamiento, subencargados transparentes, plazos de conservación y borrado documentados, medidas de seguridad adecuadas y la exclusión contractual del uso para fines ajenos, como el entrenamiento de modelos. Si el proveedor promete la zero data retention, es decir, que tu audio no se conserva tras el procesamiento, conviene que quede documentado con claridad qué abarca; no usar tus contenidos para entrenamiento es un compromiso distinto. Y tú debes poder controlar si algo va siquiera a la nube: local por defecto, nube solo como decisión deliberada, función por función. A modo de comparación, Ownvox transcribe localmente archivos de hasta 6 horas y nunca los envía a su nube opcional.

Lista de comprobación: preguntas para cualquier proveedor de transcripción

Antes de subir una grabación o implantar una herramienta, estas preguntas deberían tener respuestas claras. ¿La transcripción se ejecuta localmente por defecto, o cada audio va a la nube? Si interviene la nube: ¿dónde están los servidores, quiénes son los subencargados, existe un contrato de encargado del tratamiento? ¿Se usan el audio o las transcripciones para entrenar IA o se almacenan tras el procesamiento? ¿Puede la nube desactivarse por completo? Y por último, de tu lado: ¿qué base jurídica se aplica y se ha informado correctamente a las personas grabadas?

Un proveedor que solo responde a estas preguntas con fórmulas de marketing normalmente no las tiene bajo control. Una declaración clara y verificable en la política de privacidad vale más que cualquier eslogan.

Preguntas frecuentes sobre el RGPD y el software de transcripción

¿Puedo transcribir entrevistas con un servicio en la nube de EE. UU.?

Puede ser lícito, pero exige comprobar el servicio concreto y su uso. Normalmente necesitas un contrato de encargado del tratamiento, una base jurídica para el tratamiento, transparencia frente a los afectados y un mecanismo válido para la transferencia a un tercer país, por ejemplo la certificación del destinatario en el EU-US Data Privacy Framework o cláusulas contractuales tipo con la evaluación de la transferencia necesaria. El procesamiento local, o el que permanece íntegramente en el EEE, puede evitar la transferencia a un tercer país.

¿Necesito el consentimiento de las personas grabadas?

El consentimiento explícito es la vía más segura para muchas entrevistas y conversaciones grabadas, pero no la única base jurídica concebible. Importan la finalidad, el contexto, las categorías de datos y las normas legales aplicables. Las grabaciones ocultas son ilícitas en muchos casos y pueden constituir delito. Si te basas en un consentimiento, debería cubrir también el tratamiento posterior previsto.

¿Es la transcripción local con IA peor que la transcripción en la nube?

No necesariamente. Los modelos locales modernos como Whisper pueden ofrecer una calidad perfectamente utilizable para entrevistas, notas de voz y reuniones. El resultado depende del idioma, la calidad de la grabación, el hardware y el modelo; lo más fiable es probar con tu propio material. En hardware antiguo, un servicio en la nube debidamente protegido puede ser un compromiso razonable.

¿Qué significa zero data retention?

Que el proveedor no almacena de forma duradera, tras el procesamiento, el audio y las transcripciones cubiertos por el compromiso. Si los contenidos tampoco se usan para entrenar modelos u otros fines propios debería regularse por separado y de forma expresa. Para grabaciones confidenciales, el alcance y las excepciones deberían quedar documentados por contrato.

¿Basta un servidor en la UE para cumplir el RGPD?

No. Un servidor en el EEE solo puede evitar la transferencia a un tercer país si el resto de la cadena de tratamiento y los accesos relevantes también permanecen en el EEE; un acceso remoto desde un tercer país puede constituir por sí mismo una transferencia. Sigues necesitando una base jurídica, en su caso un contrato de encargado del tratamiento, transparencia sobre los subencargados, medidas de seguridad adecuadas y reglas claras sobre almacenamiento y entrenamiento de modelos.

¿Qué rige para médicos, abogados y otras profesiones sujetas a secreto?

Para ellos el listón está más alto: la revelación no autorizada de secretos profesionales acarrea consecuencias disciplinarias y a menudo penales. Las grabaciones que implican a pacientes o clientes no deberían, idealmente, abandonar nunca un dispositivo bajo tu propio control. La transcripción local es a menudo la única vía limpia.

Conclusión: el procesamiento local evita una transferencia adicional

La transcripción conforme al RGPD empieza antes de la primera subida: con una base jurídica sólida, la información necesaria para los afectados y la pregunta de si la grabación tiene que abandonar siquiera tu dispositivo. Si la transcripción con IA se ejecuta localmente, para ese paso del tratamiento desaparecen las obligaciones en torno a un encargado externo y a una posible transferencia a un tercer país. Si necesitas potencia de nube, comprueba en concreto la cadena de tratamiento, los contratos, los plazos de conservación, las medidas de seguridad y un posible uso para entrenar modelos.

Ownvox: transcripción local con IA, desarrollada en Alemania

Ownvox sigue exactamente este principio y cubre las dos mitades del trabajo. Para el dictado en vivo, Ownvox convierte tu voz en texto en cuanto dejas de hablar e inserta el texto terminado directamente en el cursor de cualquier aplicación. Para las grabaciones, la pestaña Transcripciones recibe tus archivos, por ejemplo una entrevista, una reunión que grabaste por tu cuenta o una nota de voz en un formato compatible (mp3, wav, m4a, aac, flac, ogg, mp4, mov, mkv, y en los vídeos solo se usa la pista de audio), y te devuelve el texto. Puedes poner varios archivos en cola y se procesan uno tras otro, cada uno de hasta 6 horas. Puedes copiar el resultado, guardarlo como .txt o .md o encontrarlo después en el historial de transcripciones. El reconocimiento de voz se ejecuta por defecto localmente en tu Mac o PC con Windows, y la transcripción de archivos es siempre local: nunca pasa por la nube, ni siquiera cuando la nube opcional está activada para el dictado, así que tu grabación se queda en tu dispositivo. Un límite honesto para el trabajo con entrevistas: Ownvox no etiqueta a los hablantes ni añade marcas de tiempo, así que obtienes texto plano que estructuras tú. Opcionalmente puedes activar una nube europea cuya inferencia corre en Francia con Scaleway y cuyo proxy corre en Alemania con Hetzner. Esta vía está configurada para la zero data retention y tus contenidos no se usan para entrenar modelos. Un interruptor de privacidad desactiva todas las funciones de nube con un clic, hay disponible un contrato de encargado del tratamiento, y Ownvox se desarrolla en Alemania.

Si buscas un reconocimiento de voz cuyo ajuste local por defecto respalda técnicamente los requisitos de protección de datos, descarga Ownvox y transcribe tu primera grabación localmente en tu equipo.