Qué tratamientos activa un asistente de transcripción, qué base lo legitima y dónde la funcionalidad cruza la frontera de lo prohibido.

Una herramienta trivial en el cruce de dos reglamentos

El 2 de febrero de 2025 entraron en vigor las prohibiciones del artículo 5 del Reglamento (UE) 2024/1689 de Inteligencia Artificial. El 2 de agosto de 2026, entrarán en vigor las obligaciones de transparencia previstas en su artículo 50. Entre ambas fechas y, desde 2018, por encima de ellas, rige el Reglamento (UE) 2016/679. Tres marcos, dos reglamentos de inteligencia artificial y de protección de datos, convergen en torno a una función que la mayoría de las organizaciones ha adoptado sin apenas deliberación jurídica: convertir la voz en texto mediante un sistema de IA.

Un asistente que transcribe una reunión, una llamada de soporte o una nota de voz no realiza una operación técnica neutra. Ejecuta, en el plano jurídico, al menos un tratamiento de datos personales y, con frecuencia, más de uno; y activa, según lo que haga con la señal de voz, obligaciones que van desde la información previa al interesado hasta la prohibición absoluta de la funcionalidad. La aparente banalidad del «pasar audio a texto» esconde un problema de calificación que conviene resolver antes de encender el micrófono, no después de recibir la primera reclamación.

El análisis que sigue reconstruye ese régimen a partir de las dos normas que lo rigen. Más que un catálogo de buenas prácticas, ofrece una lectura de qué exige el ordenamiento cuando una máquina escucha y escribe: la naturaleza del dato, la anatomía de los tratamientos que se solapan, las bases que los legitiman, el principio de exactitud aplicado a un texto que se atribuye a una persona, y la frontera —a veces sorprendentemente cercana— en la que el Reglamento de IA convierte una utilidad de productividad en una práctica prohibida.

La voz como dato personal y el umbral de la categoría especial

La voz es un dato personal siempre que permita identificar o hacer identificable a una persona física, directa o indirectamente (artículo 4.1 RGPD). No lo es de manera homogénea: su capacidad identificativa depende del contexto, de los medios razonablemente utilizables y del estado de la técnica. Para quien conoce al hablante, o para quien dispone de muestras de referencia, la voz reconoce a la persona; despojada de esos anclajes, o modificada en origen, puede dejar de hacerlo. Junto a la voz viajan, además, los metadatos del servicio —número de teléfono, dirección IP, cookies, información de uso— que son datos personales por derecho propio y quedan sujetos al principio de minimización con independencia de lo que ocurra con el audio.

La calificación decisiva, sin embargo, no es esa. Es la que separa la voz tratada como dato ordinario de la voz tratada como dato biométrico de categoría especial, con el régimen reforzado del artículo 9 RGPD. El artículo 4.14 define el dato biométrico como el obtenido a partir de un tratamiento técnico específico, relativo a características físicas, fisiológicas o conductuales, que permita o confirme la identificación única de la persona. Y el artículo 9.1 solo somete a las categorías especiales los datos biométricos tratados «con el fin de identificar de manera unívoca a una persona física».

De la literalidad de ambos preceptos se sigue una conclusión que la práctica tiende a pasar por alto: transcribir no es, por sí solo, tratar datos biométricos de categoría especial. Levantar el acta de una reunión no persigue reconocer a nadie por su huella vocal; persigue capturar el contenido de lo dicho. El sistema no genera un patrón de voz para identificar al hablante, sino una representación textual de sus palabras. El salto al artículo 9 se produce cuando el sistema incorpora una función distinta: la verificación o identificación por voiceprint —el patrón vocal como llave de acceso— o la inferencia de estados internos a partir de rasgos de la voz.

La doctrina europea ha fijado ese umbral con nitidez. Las Directrices 05/2022 del Comité Europeo de Protección de Datos, sobre el uso de tecnología de reconocimiento facial, sostienen que tanto la función de autenticación como la de identificación constituyen un tratamiento de categorías especiales; el criterio es trasladable a la biometría de voz. Un sistema que verifica la identidad del llamante por su patrón vocal antes de darle acceso a su cuenta trata datos del artículo 9, con las consecuencias que ello arrastra: prohibición general de partida, necesidad de una excepción del apartado 2 —consentimiento explícito u otra—, y una evaluación de impacto que resulta casi inevitable. Que un análisis biométrico de la voz pueda capturar más de un centenar de parámetros de los que se infieren estados de salud o condiciones físicas y psicológicas explica por qué el legislador reserva ese régimen a los tratamientos que verdaderamente identifican.

Anatomía de dos tratamientos: transcribir y reentrenar

La transcripción rara vez llega sola. Junto a la conversión de voz en texto convive, con frecuencia, un segundo tratamiento de finalidad distinta: el ajuste o reentrenamiento del modelo de IA con muestras de voz, que puede ejecutar el propio responsable pero que suele realizar el proveedor del servicio para mejorar su producto. No es obligatorio que ambos coexistan, pero cuando lo hacen persiguen fines diferentes y exigen, por tanto, bases de legitimación diferentes.

El reparto de roles ordena todo lo demás. La organización que decide incorporar el servicio y determina sus fines y medios es responsable del tratamiento (artículo 4.7 RGPD), con independencia de que la herramienta sea propia o de un tercero. El proveedor que se limita a transcribir por cuenta de aquella actúa como encargado (artículo 4.8), y la relación debe articularse mediante el contrato del artículo 28, con su elenco de garantías: confidencialidad de la voz, del mensaje y de los metadatos, medidas de seguridad, subencargados, localización de los datos, plazos de conservación y asistencia al responsable. Pero cuando el proveedor emplea los datos de la transcripción para reentrenar su propio modelo con fines propios, ese segundo tratamiento ya no cabe en el artículo 28: el proveedor pasa a ser responsable de él, necesita su propia base y no hereda la del primero.

El detalle técnico tiene mordiente jurídica. El reentrenamiento de un transcriptor suele ser supervisado: personas reales escuchan fragmentos de audio y corrigen la transcripción a mano para afinar el modelo. Bajo la promesa aséptica de «mejorar el servicio», terceros pueden estar oyendo lo que se dijo en una reunión que los participantes creían reservada. Que el interesado conozca esa posibilidad antes de que ocurra no es cortesía informativa; es condición de licitud. La cláusula de estilo que autoriza al proveedor a usar los datos «para mejorar sus servicios», leída de cerca, es una cesión de tratamiento a un responsable distinto, y como tal debe informarse y, casi siempre, acotarse en el contrato.

Bases de legitimación: por qué el consentimiento suele ser la vía frágil

Cada tratamiento necesita su base del artículo 6 RGPD. Para la transcripción el catálogo es abierto —ejecución de un contrato, interés legítimo, consentimiento, y bases especiales en supuestos como los servicios de emergencia—, pero la elección no es intercambiable, y las dos vías más frecuentes plantean problemas de signo opuesto.

El consentimiento arrastra las exigencias conocidas del artículo 7 y del artículo 4.11: acto afirmativo claro, manifestación libre, específica, informada e inequívoca, sin casillas premarcadas ni activación por defecto, con una retirada tan sencilla como fue la prestación y sin perjuicio para quien la ejerce. El punto ciego está en la libertad. En una relación empleado-empleador, o en la tramitación ante una Administración, el desequilibrio de poder erosiona esa libertad hasta hacer el consentimiento, con frecuencia, inservible como base. Y como buena parte de las transcripciones de reuniones se produce precisamente en el entorno laboral, apoyar la grabación en el consentimiento del trabajador es asumir una base que cederá a la primera impugnación.

Hay además un vicio estructural en el modo en que estos servicios recaban el consentimiento. La Agencia Española de Protección de Datos, en su Resolución PS/00342/2023, rechazó que baste con advertir a los asistentes de que «al unirse a la sesión dan su consentimiento» para tener por cumplida la exigencia de una manifestación libre, específica, informada e inequívoca. Incorporarse a una llamada no equivale a consentir su grabación. El consentimiento, cuando se elige como base, debe ser específico para cada actividad y no puede reinterpretarse como una autorización genérica e indefinida para grabaciones futuras: se agota con la sesión concreta para la que se otorgó.

El interés legítimo, base a menudo más sólida para la transcripción de actas internas, no es un comodín. Exige el juicio de ponderación del artículo 6.1.f) —finalidad legítima, necesidad del tratamiento y equilibrio con los derechos y libertades del interesado— y la responsabilidad proactiva del artículo 5.2 obligan a documentar ese balance, no simplemente a invocarlo. Para el reentrenamiento del modelo por el proveedor, en cambio, la ponderación es mucho más difícil de superar: ahí el consentimiento reaparece como base más natural, con todo su rigor. La regla operativa es que la base se decide tratamiento por tratamiento, y que la más cómoda para el prestador no es la que legitima al responsable.

Exactitud: cuando la transcripción atribuye lo que nadie dijo

Una transcripción no es un texto neutro: es una representación atribuida a una persona concreta, y como tal queda sujeta al principio de exactitud del artículo 5.1.d) RGPD. La cuestión, que suele tratarse como defecto técnico, es en rigor un problema de derechos.

Los sistemas de reconocimiento de voz yerran de forma previsible por acento, rapidez del habla, presencia de términos en otro idioma o simple idiolecto del hablante. Un apellido mal transcrito —pongamos «Hitler» donde se dijo «Schindler»— altera por completo el significado de lo atribuido. El error ya no es una errata; es una imputación, porque asigna a una persona identificada o identificable un contenido que no expresó. Cuando eso sucede, se activa la obligación de rectificación sin dilación indebida del artículo 16 RGPD, que alcanza tanto a las declaraciones imputadas como a los datos identificativos erróneos.

La previsibilidad del fallo tiene una consecuencia jurídica precisa. Dado que las limitaciones de estos sistemas son conocidas de antemano, la responsabilidad proactiva del artículo 5.2 impide al responsable esperar a que el error se materialice y a que el afectado reclame. Debe anticiparse: informar de las limitaciones e inexactitudes del sistema, prever supervisión humana de las transcripciones, implantar procedimientos claros de revisión y corrección, y habilitar mecanismos accesibles para el ejercicio de los derechos de acceso y rectificación. La exactitud no queda al albur de lo que la máquina acierte; se convierte en una obligación de diseño del proceso.

Merece atención una simetría incómoda. La escucha humana que corrige el acta para hacerla exacta y la escucha humana que afina el modelo del proveedor son, materialmente, la misma operación: personas oyendo y corrigiendo. Su régimen jurídico, en cambio, es opuesto. La primera es una garantía a favor del interesado; la segunda, un tratamiento ulterior que puede perjudicarle. Idéntico gesto material, signo jurídico invertido. El responsable que no distingue ambas se expone por partida doble.

Derecho de acceso y la coartada de los datos de terceros

El derecho de acceso del artículo 15 RGPD garantiza al interesado el conocimiento efectivo de los datos que le conciernen. En una transcripción, ese contenido está trenzado con el de otros participantes: las preguntas, comentarios y respuestas ajenos son inseparables del sentido de lo que dijo el solicitante. La tentación de denegar el acceso alegando la presencia de datos de terceros es, por eso, recurrente, y jurídicamente insostenible como regla general.

La AEPD lo ha delimitado al analizar el acceso a datos en soportes complejos. Del mismo modo que no cabe denegar de manera generalizada el acceso a grabaciones de vídeo por la mera presencia de terceros —existen técnicas de anonimización y difuminado que los protegen sin vaciar el derecho—, tampoco puede blindarse una transcripción tras esa coartada. Las resoluciones de la Agencia sobre acceso a información en formatos audiovisuales o registrados en dispositivos, entre ellas los expedientes TD/00183/2021 y PS/00281/2022, fijan la regla operativa: el responsable debe articular la técnica que permita entregar la información propia del solicitante protegiendo la de los demás, no invocar la dificultad como excusa para no hacerlo.

Este criterio trasciende lo doméstico: apunta en la dirección que sigue todo el Derecho europeo de datos. El Reglamento (UE) 2023/2854 de Datos reconoce en su artículo 4 el derecho de los usuarios a acceder a los datos generados por el uso de productos conectados, incluidos datos de rendimiento y registros de eventos, cuando no dispongan de acceso directo. Los asistentes de transcripción, a menudo integrados en dispositivos y plataformas conectadas, participan de esa misma lógica de acceso efectivo de la persona a los datos que las máquinas producen sobre ella.

El Reglamento de IA: clasificación de riesgo, prohibición y transparencia

El RGPD gobierna el tratamiento; el Reglamento (UE) 2024/1689 gobierna el sistema. Un transcriptor es un sistema de IA en el sentido de su artículo 3, y su régimen depende del nivel de riesgo que introduzca. La transcripción como tal se sitúa en el escalón de riesgo limitado, sujeto a obligaciones de transparencia; pero basta añadir determinadas funcionalidades para escalar al alto riesgo del Anexo III o, directamente, a la prohibición del artículo 5.

El primer punto de fricción es la detección de emociones. El artículo 5.1.f) prohíbe los sistemas de IA destinados a inferir las emociones de una persona física en el lugar de trabajo y en los centros educativos, salvo por motivos médicos o de seguridad. La prohibición se aplica desde el 2 de febrero de 2025 y las Directrices de la Comisión Europea de 4 de febrero de 2025 sobre prácticas prohibidas ayudan a delimitar su alcance. La consecuencia es tajante: un transcriptor de reuniones que además pretenda medir el estado de ánimo o el «compromiso» de los empleados no es un tratamiento que haya que legitimar bajo el RGPD, sino una funcionalidad prohibida de raíz. El debate sobre la base jurídica ni siquiera llega a plantearse. Fuera de esos dos entornos, un sistema de reconocimiento de emociones no está prohibido, pero se califica como de alto riesgo conforme al Anexo III y arrastra las obligaciones de evaluación de conformidad, gestión de riesgos y supervisión humana propias de esa categoría.

El segundo punto es la categorización biométrica. El artículo 5.1.g) prohíbe los sistemas que clasifiquen individualmente a las personas físicas a partir de sus datos biométricos para deducir categorías sensibles —origen racial o étnico, opiniones políticas, convicciones, orientación sexual, entre otras—. Un transcriptor que, a partir de la voz, infiriera ideología, origen o salud no solo trataría datos del artículo 9 RGPD: podría incurrir en la prohibición del propio Reglamento de IA. Las dos normas operan en planos distintos —una regula el tratamiento, otra el producto— pero convergen en el mismo resultado de bloqueo.

El tercer punto es la transparencia del artículo 50, aplicable desde el 2 de agosto de 2026. Su apartado 1 obliga a informar a las personas de que interactúan con un sistema de IA cuando ello no resulte evidente. Y su apartado 3 impone a los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica informar de su funcionamiento a las personas expuestas, además de tratar sus datos conforme al RGPD. La organización que utiliza el transcriptor es, en la terminología del Reglamento de IA, responsable del despliegue (deployer), y suma a sus obligaciones de responsable del tratamiento las que el artículo 26 impone a quien opera el sistema: uso conforme a las instrucciones, supervisión humana efectiva y vigilancia de su funcionamiento. Dos condiciones jurídicas —responsable del tratamiento y responsable del despliegue— recaen sobre el mismo sujeto y deben cumplirse a la vez.

Voces sintéticas: fuera del RGPD, dentro del artículo 50

Hay un supuesto que invierte la intuición habitual. Cuando la voz es sintética, o se ha modificado en origen para eliminar la identificabilidad y su vinculación con cualquier otra información identificativa, no hay persona identificable y, por tanto, no hay dato personal ni tratamiento sometido al RGPD. La conclusión es correcta, pero engañosa si se lee aislada.

Porque justamente esa voz sintética que escapa del RGPD entra de lleno en el artículo 50 del Reglamento de IA. Quien genere contenido de audio artificial deberá marcarlo en un formato legible por máquina y detectable como generado o manipulado; y quien difunda una ultrasuplantación —una réplica de voz o imagen que aparente autenticidad— deberá hacer público su carácter artificial. La síntesis de voz sale así por la puerta del RGPD y entra por la del Reglamento de IA. El responsable que cree haber resuelto el problema anonimizando o sintetizando la señal debe verificar que no ha cambiado un régimen por otro, esta vez en materia de etiquetado y trazabilidad.

Gobernanza del cumplimiento: diseñar antes de captar

La suma de ambos reglamentos dibuja un estándar que no admite la adopción pasiva de la tecnología. La diligencia no se agota en la contratación: se extiende a todo el ciclo de vida del tratamiento y del sistema. De ahí que la protección de datos desde el diseño y por defecto del artículo 25 RGPD no sea un principio decorativo, sino la exigencia de configurar el servicio —indicador de grabación en curso, cancelación automática del estado de captación al terminar la sesión, minimización de metadatos— antes de que la primera voz sea captada.

La evaluación de impacto del artículo 35 RGPD será exigible en buena parte de los supuestos. La combinación de tratamiento a gran escala, tecnología innovadora y, en su caso, inferencias sensibles activa los umbrales del propio artículo 35 y de las listas de la autoridad de control. Aun cuando no fuera estrictamente obligatoria, la evaluación es el instrumento natural para documentar la ponderación del interés legítimo, el análisis del riesgo de inexactitud y las medidas de supervisión humana, y para engarzar las obligaciones del RGPD con las que el artículo 26 del Reglamento de IA impone al responsable del despliegue.

Queda un frente que la normativa no cierra del todo: la conservación. Debe informarse del plazo tanto de la voz como de la transcripción, pero ningún precepto resuelve si el audio original ha de destruirse una vez obtenida y validada la transcripción. La lógica de la minimización del artículo 5.1.c) empuja a suprimir la grabación en cuanto deja de ser necesaria —la transcripción corregida cumple la finalidad del acta—, salvo que exista una razón acreditada para conservarla, como la verificación de exactitud a instancia del interesado. Mantener el audio de forma indefinida «por si acaso» es, en la mayoría de los casos, un exceso difícil de justificar frente a los principios de minimización y limitación del plazo de conservación.

Un régimen que obliga a diseñar, no solo a informar

El desplazamiento que introducen estas herramientas no está en el dato —la voz siempre lo fue— sino en el momento del cumplimiento. Durante años, la conformidad de una grabación se agotaba en la cláusula informativa y en la casilla de consentimiento. La transcripción con IA rompe ese esquema porque incorpora operaciones que no se ven: el reentrenamiento supervisado, la inferencia latente, la persistencia del estado de grabación. Frente a lo que no se ve, la información previa es insuficiente, y por eso tanto el RGPD como el Reglamento de IA responden con obligaciones de diseño —señales activas, apagados automáticos, supervisión humana, procedimientos de rectificación anticipada— antes que con advertencias.

La frontera que ninguna de las dos normas dibuja con una línea nítida es la que separa transcribir de escrutar. Mientras la voz solo se convierte en texto, el marco es exigente pero manejable: base jurídica, información, exactitud, acceso. En cuanto de la voz se pretende extraer algo más —quién es, cómo se siente, qué revela—, la funcionalidad se acerca al alto riesgo o a la prohibición, y el Reglamento de IA está más cerca de lo que la mayoría de las organizaciones supone. Distinguir con precisión entre una cosa y otra es, probablemente, la primera decisión jurídica que hay que tomar; y conviene tomarla antes de encender el micrófono, no cuando ya está grabando.