Lista de verificación del RGPD para herramientas de IA en reuniones en 2026 (guía de evaluación de proveedores)

Una guía práctica para profesionales que quieren usar asistentes de IA para reuniones sin generar problemas de cumplimiento normativo. Para una evaluación comparativa de herramientas concretas, consulte nuestro análisis de la mejor herramienta de IA para reuniones conforme al RGPD.

Utilizar IA para capturar información de reuniones, generar resúmenes y mantenerse al día con los elementos de acción se ha convertido en práctica estándar para los profesionales del conocimiento. Pero si está sujeto al RGPD (porque su organización está establecida en la UE, o porque ofrece servicios a personas en la UE o monitoriza su comportamiento allí), necesita pensar cuidadosamente en cómo estas herramientas gestionan los datos personales.

Esta lista de verificación le ayuda a evaluar cualquier herramienta de IA para reuniones y garantizar que su uso se mantenga conforme. También hemos incluido orientación sobre lo que necesita hacer de su parte, porque incluso la herramienta más consciente de la privacidad no puede cumplir todas sus obligaciones del RGPD por usted.

Parte 1: Evaluación de su herramienta de IA para reuniones

Antes de adoptar cualquier asistente de IA para reuniones, verifique estos aspectos fundamentales:

Acuerdos de procesamiento de datos

Qué buscar:

• Un Anexo de Procesamiento de Datos (DPA) que cumpla los requisitos del Artículo 28 del RGPD
• Documentación clara de qué datos se procesan y con qué fines
• Roles definidos (usted como responsable del tratamiento, el proveedor de la herramienta como encargado del tratamiento)

Por qué importa: Un DPA es obligatorio cuando un proveedor procesa datos personales en su nombre (Artículo 28). Esto es independiente de su base legal del Artículo 6 para el procesamiento en sí: necesita ambos. Usar un encargado del tratamiento sin un acuerdo conforme al Artículo 28 es incumplimiento, independientemente de su base legal.

Transferencias internacionales de datos

Si su proveedor de herramientas envía datos fuera de la UE (muchos tienen sede en EE.UU.), la transferencia necesita una base legal propia:

Qué buscar:

• Un mecanismo de transferencia identificado: una decisión de adecuación (para un proveedor estadounidense, certificación bajo el Marco de Privacidad de Datos UE-EE.UU.) o Cláusulas Contractuales Tipo (SCCs) de la UE incorporadas en el acuerdo
• Cuando se utilizan SCCs, una Evaluación de Impacto de la Transferencia (TIA) que documente la situación legal en el país de destino y cualquier medida complementaria
• Información clara sobre qué subencargados manejan sus datos y dónde
• La opción de verdadera residencia de datos en la UE: sus datos de conversación almacenados en infraestructura ubicada físicamente en la Unión Europea

Por qué importa: La sentencia Schrems II invalidó el EU-US Privacy Shield en 2020. Su sucesor, el Marco de Privacidad de Datos, sigue vigente en septiembre de 2026, pero está bajo presión: hay un recurso pendiente ante el Tribunal de Justicia de la UE (asunto C-703/25 P), y una sentencia de junio de 2026 del Tribunal Supremo de EE.UU. sobre la FTC planteó nuevas dudas sobre la supervisión en la que se basa (qué significa esa sentencia para las transferencias UE-EE.UU.). Las SCCs siguen disponibles, pero requieren una evaluación caso por caso y, cuando sea necesario, medidas complementarias. La residencia en la UE elimina esa cuestión para los datos que cubre.

Medidas Técnicas y Organizativas (TOMs)

Qué buscar:

• Documentación de medidas de seguridad (cifrado, controles de acceso, etc.)
• Información sobre dónde y cómo se almacenan los datos
• Políticas de retención de datos: ¿cuánto tiempo se conservan?
• Opciones de procesamiento local/en el dispositivo vs. procesamiento en la nube

Por qué importa: Necesita verificar que su encargado del tratamiento cuenta con medidas de seguridad apropiadas para la sensibilidad de los datos que procesa.

Consideraciones específicas de IA

Qué buscar:

• Confirmación de que sus datos no se usan para entrenar modelos de IA
• Políticas claras de retención de datos con subencargados de IA (idealmente retención cero)
• Transparencia sobre qué servicios de IA procesan sus datos

Por qué importa: Muchas herramientas de IA envían datos de conversaciones a servicios de IA de terceros. Necesita visibilidad sobre quién procesa sus datos y en qué términos. Aunque el RGPD no establece períodos de retención específicos, los principios de minimización de datos favorecen retenciones más cortas, y los compromisos de retención cero de los subencargados de IA reducen su exposición al riesgo.

Transparencia de subencargados

Qué buscar:

• Una lista completa de subencargados con sus propósitos y ubicaciones
• Proceso de notificación ante cambios de subencargados
• Capacidad de oponerse a nuevos subencargados

Por qué importa: El Artículo 28(2) requiere que los encargados obtengan autorización del responsable para los subencargados. Necesita visibilidad sobre todos los que tocan sus datos y la capacidad de evaluar si su participación es apropiada.

Parte 2: Sus responsabilidades como responsable del tratamiento

Incluso con una herramienta totalmente conforme, tiene obligaciones que ningún software puede cumplir por usted:

Antes de empezar a grabar

Base legal

• Identifique su base legal para el procesamiento según el Artículo 6 del RGPD (interés legítimo, consentimiento, ejecución de un contrato, etc.)
• Documente esta base y esté preparado para explicarla si se le solicita
• Nota: El consentimiento es una opción, pero los intereses legítimos o la necesidad contractual pueden ser apropiados según su contexto

Transparencia e información

• Informe a todos los participantes de la reunión que herramientas de IA procesarán la conversación
• Explique qué se capturará, cómo se procesará y quién tendrá acceso
• Proporcione esta información de forma clara y antes de que comience el procesamiento
• Un breve aviso verbal al inicio de la reunión funciona mejor como referencia a un aviso de privacidad más completo (fines, retención, sus datos de contacto y los derechos de las personas). Para ejemplos de redacción, vea Cómo pedir permiso para grabar una reunión

Leyes sobre grabación (independientes del RGPD)

• Compruebe las leyes locales sobre grabación de conversaciones; muchas jurisdicciones requieren consentimiento de los participantes independientemente del RGPD
• Estos requisitos varían según el país y pueden ser más estrictos que el propio RGPD
• Pedir consentimiento a todos antes de grabar es la práctica más segura respecto a las leyes de grabación, pero no resuelve por sí solo el RGPD: sigue necesitando un aviso de privacidad completo y, en entornos laborales, el consentimiento puede no considerarse libremente otorgado, por lo que puede necesitar otra base legal

Evaluación de riesgos

• Considere si se requiere una Evaluación de Impacto en la Protección de Datos (EIPD)
• Las EIPD son obligatorias para el procesamiento que probablemente resulte en alto riesgo para los derechos y libertades de las personas
• Factores que pueden indicar alto riesgo incluyen: procesamiento a gran escala, datos sensibles, nuevas tecnologías y monitorización sistemática
• Incluso cuando no son estrictamente obligatorias, las EIPD son buena práctica para el procesamiento basado en IA y ayudan a demostrar responsabilidad

Reglamento de IA de la UE (independiente del RGPD)

• Las obligaciones del Reglamento de IA dependen de cómo se clasifica un sistema de IA y de su papel (proveedor o responsable del despliegue), no de si procesa datos personales
• Las obligaciones de transparencia del Artículo 50 se aplican desde el 2 de agosto de 2026
• Tras el AI Omnibus (en vigor desde el 27 de julio de 2026), las obligaciones de alto riesgo para los usos del Anexo III, como la IA utilizada para evaluar candidatos a un empleo, se aplican desde el 2 de diciembre de 2027, y para los productos del Anexo I desde el 2 de agosto de 2028
• Las notas habituales de reuniones no son un uso de alto riesgo enumerado; si utiliza resultados de IA para tomar decisiones sobre personas, consulte a su Delegado de Protección de Datos o asesor legal

Cumplimiento continuo

Actualizaciones de la política de privacidad

• Actualice su política de privacidad para reflejar el uso de herramientas de IA para reuniones
• Incluya: qué datos se recopilan, propósitos, base legal, períodos de retención, terceros involucrados y derechos de los interesados

Derechos de los interesados

• Establezca procesos para gestionar solicitudes de acceso (las personas pueden preguntar qué datos tiene sobre ellas)
• Habilite solicitudes de eliminación: necesita poder eliminar los datos de alguien de sus registros de reuniones
• Documente cómo gestionará las solicitudes de oposición, particularmente si se basa en intereses legítimos

Retención y eliminación

• Defina cuánto tiempo conservará los datos de reuniones en función de sus propósitos declarados
• Implemente programas de eliminación regulares
• Los principios de minimización de datos implican que no debería conservar datos más tiempo del necesario

Mantenimiento de registros

• Mantenga registros de actividades de procesamiento según lo requerido por el Artículo 30
• Documente sus medidas y decisiones de cumplimiento

Revisión anual

El cumplimiento del RGPD no es una tarea puntual:

• Revise los términos actualizados, el DPA y la lista de subencargados de su herramienta al menos anualmente
• Reevalúe su base legal si sus casos de uso cambian
• Actualice su EIPD si las actividades de procesamiento cambian significativamente
• Verifique que se están cumpliendo sus programas de retención

Parte 3: Decisiones de configuración

La mayoría de las herramientas de IA para reuniones ofrecen varias funciones que afectan su postura de privacidad. Para cada función que active, considere las implicaciones de cumplimiento. (Para obtener orientación de configuración específica de Hedy — qué hace cada ajuste y perfiles recomendados para abogados, profesionales de la salud y coaches — consulte Configuración de privacidad de Hedy explicada.)

Nota sobre grabaciones de audio: Las grabaciones de voz son datos personales. Pueden calificarse como datos biométricos de categoría especial según el Artículo 9 si se procesan con el fin de identificar de forma única a una persona (por ejemplo, análisis de huella vocal, sistemas de identificación de hablantes). Las grabaciones de reuniones estándar usadas para transcripción y toma de notas normalmente no entran en esta categoría, pero si utiliza funciones de identificación por voz, se aplican los requisitos del Artículo 9.

Principio general: Active solo lo que necesita. Cada función adicional amplía su huella de procesamiento de datos y requiere justificación bajo los principios de minimización de datos.

Categorías especiales de datos

Si sus reuniones involucran datos sensibles según el Artículo 9 del RGPD (información de salud, opiniones políticas, creencias religiosas, datos procesados para identificación biométrica única, etc.), necesita protecciones reforzadas:

• Una base legal específica tanto bajo el Artículo 6 COMO una condición bajo el Artículo 9(2)
• El consentimiento explícito se usa comúnmente, pero pueden aplicarse otras condiciones según el contexto
• Medidas de seguridad más sólidas apropiadas para la sensibilidad
• EIPD probablemente requerida
• Considere si las funciones en la nube son apropiadas dado el perfil de riesgo

Parte 4: Implementación práctica

Ejemplo de aviso y lenguaje de consentimiento

Antes de iniciar cualquier reunión grabada:

“Me gustaría usar un asistente de IA para ayudar a capturar notas e información de nuestra conversación. Esto significa que nuestra discusión será transcrita y analizada por IA. La transcripción permanece bajo mi control y no se usará para entrenar ningún modelo de IA. ¿Le parece bien?”

Espere la confirmación antes de iniciar. Un aviso verbal como este cubre los aspectos básicos, pero por sí solo no es un aviso de privacidad completo del RGPD. Indique dónde pueden leer el resto (retención, a quién contactar, sus derechos) y compruebe las leyes locales sobre grabación. En un entorno laboral, el consentimiento puede no otorgarse libremente, así que no lo utilice como única base legal.

Adición a la invitación de calendario

“Esta reunión contará con la asistencia de un sistema de toma de notas con IA. Si tiene alguna inquietud al respecto, háganoslo saber antes de la reunión.”

Nota: Esto proporciona aviso previo, lo cual es buena práctica. Según su base legal y las leyes locales de grabación, puede que aún necesite confirmar el consentimiento al inicio de la reunión.

Lenguaje para política de privacidad (plantilla)

Incluya en su política de privacidad:

Asistencia de IA en reuniones

Utilizamos herramientas con IA para transcribir y analizar reuniones con el fin de [capturar elementos de acción / mejorar la comunicación / mantener registros precisos]. Este procesamiento se basa en [su base legal, por ejemplo, intereses legítimos en mantener registros empresariales precisos / ejecución de contrato / consentimiento].

Los datos de las reuniones pueden ser procesados por nuestro proveedor de herramientas de IA para reuniones y sus subencargados. Los datos pueden transferirse a Estados Unidos bajo [el Marco de Privacidad de Datos UE-EE.UU. / Cláusulas Contractuales Tipo de la UE con las medidas complementarias apropiadas].

Las transcripciones y resúmenes de reuniones se conservan durante [X período] y luego se eliminan. Puede solicitar acceso, corrección o eliminación de sus datos contactando a [datos de contacto].

Adapte esto a su situación específica y base legal.

Cómo gestiona Hedy el cumplimiento del RGPD

Construimos Hedy con la privacidad como principio fundamental, no como algo añadido después. Para el desglose completo del cumplimiento del RGPD de Hedy — incluyendo el DPA, las SCCs y la Evaluación de Impacto de la Transferencia — consulte el artículo dedicado. Así es como hemos abordado los requisitos de esta lista de verificación:

Marco contractual

• Anexo de Procesamiento de Datos con Cláusulas Contractuales Tipo de la UE incluido automáticamente con su cuenta
• Evaluación de Impacto de la Transferencia disponible documentando las salvaguardas y medidas complementarias para la transferencia de datos a EE. UU.
• Documentación completa de Medidas Técnicas y Organizativas
• Lista transparente de subencargados con notificaciones de cambios

Arquitectura que prioriza la privacidad

• Reconocimiento de voz en el dispositivo por defecto: su audio nunca sale de su dispositivo a menos que elija un proveedor de transcripción en la nube; el audio guardado de las sesiones nunca llega a los servidores de Hedy
• Etiquetas de hablantes en el dispositivo con el motor Nemotron, incluida una revisión posterior a la sesión con Nemotron 3 Diarization de NVIDIA en iPhones compatibles y Macs con Apple Silicon, sin enviar audio a un servicio en la nube
• Análisis de IA totalmente local opcional en hardware compatible (el Procesamiento de IA Local ejecuta todo el flujo en el dispositivo, incluso sin conexión)
• Las cuentas de la UE tienen el procesamiento de IA en la nube en la UE en Inceptron, en Suecia, bajo un contrato que limita el procesamiento a la UE y al EEE, con Google Vertex AI en una región de la UE como alternativa de respaldo. Apple Private Cloud Compute, una opción en iPhones y iPads compatibles, no está vinculado a una región, por lo que no cumple con la residencia en la UE
• Acuerdos de retención cero con subencargados de IA
• Sus datos nunca se usan para entrenar modelos de IA
• Controles granulares: active solo las funciones que necesita

Documentación de cumplimiento

• Documentación completa disponible en nuestro Trust Center
• Orientación de cumplimiento del RGPD para usuarios (responsabilidades del responsable del tratamiento)
• Examen SOC 2 Type I independiente y evaluación HIPAA completados

Control del usuario

• Modo solo local disponible para máxima privacidad
• Elimine sus datos en cualquier momento
• Exporte sus datos para portabilidad
• Región de datos de la UE elegida al registrarse, para que las conversaciones sincronizadas se almacenen en la UE
• Controles para compartir: los enlaces públicos para compartir no están listados, pero no son privados, y nunca incluyen audio; para sesiones confidenciales, use invitaciones por correo electrónico para que el destinatario tenga que iniciar sesión

Acceda a nuestra documentación completa de cumplimiento en trust.hedy.ai.

Preguntas frecuentes

¿Cómo evalúo una herramienta de IA para reuniones en cuanto al cumplimiento del RGPD?

Compruebe cuatro cosas: un DPA que cumpla el Artículo 28, un mecanismo válido para cualquier transferencia fuera de la UE (el Marco de Privacidad de Datos UE-EE.UU. si un proveedor estadounidense está certificado bajo él, o SCCs de la UE respaldadas por una Evaluación de Impacto de la Transferencia), Medidas Técnicas y Organizativas documentadas, y una lista completa de subencargados con derechos de notificación. Si un proveedor no puede mostrarle estos elementos, insista antes de firmar.

¿Qué preguntas debo hacer a un proveedor sobre el RGPD?

Cinco preguntas básicas: (1) ¿Puede proporcionar un DPA con cláusulas del Artículo 28? (2) ¿Dónde se almacenan físicamente los datos y ofrece residencia en la UE? (3) Para cualquier transferencia fuera de la UE, ¿en qué mecanismo se basa (certificación bajo el Marco de Privacidad de Datos o Cláusulas Contractuales Tipo de la UE) y hay una TIA disponible cuando se utilizan SCCs? (4) ¿Quiénes son sus subencargados y dónde operan? (5) ¿Mis datos se usan alguna vez para entrenar modelos de IA? Si falta alguna respuesta, insista.

¿Qué es una Cláusula Contractual Tipo y necesito una?

Las Cláusulas Contractuales Tipo (SCCs) son plantillas contractuales aprobadas por la UE que obligan a un importador de datos fuera de la UE a aplicar protecciones de nivel europeo cuando los datos personales se transfieren fuera de la UE. Son un mecanismo de transferencia, no el único. Un proveedor estadounidense certificado bajo el Marco de Privacidad de Datos UE-EE.UU. puede basarse en esa decisión de adecuación; Fireflies, por ejemplo, se basa primero en el marco y mantiene las SCCs como alternativa de respaldo. Cuando las SCCs son el mecanismo, necesitan una Evaluación de Impacto de la Transferencia y, cuando corresponda, medidas complementarias. En cualquier caso, sigue necesitando un DPA del Artículo 28.

¿Necesito una Evaluación de Impacto en la Protección de Datos para herramientas de IA en reuniones?

Una EIPD es obligatoria según el Artículo 35 si el procesamiento probablemente genera un alto riesgo para los interesados. La monitorización sistemática, el procesamiento a gran escala, los datos sensibles y las nuevas tecnologías son indicadores habituales de ese riesgo. La grabación basada en IA suele presentar uno o más de ellos. Incluso cuando no sea estrictamente obligatoria, una EIPD es una buena práctica y demuestra responsabilidad.

¿Cuáles son mis responsabilidades como responsable del tratamiento al usar herramientas de IA en reuniones?

Establecer una base legal bajo el Artículo 6 (interés legítimo, consentimiento, ejecución de contrato), proporcionar avisos de transparencia a los participantes antes de grabar, mantener registros de actividades de procesamiento del Artículo 30, realizar una EIPD cuando sea necesaria, gestionar los derechos de los interesados (acceso, eliminación, oposición) y actualizar su política de privacidad. El proveedor gestiona las obligaciones del encargado; usted gestiona las del responsable.

¿Preguntas?

El cumplimiento del RGPD puede parecer complejo, pero no tiene que ser abrumador. Si tiene preguntas sobre cómo usar Hedy de forma conforme al RGPD, contáctenos en privacy@hedy.ai o consulte nuestra documentación de ayuda.

Para cuestiones de cumplimiento complejas específicas de su organización, recomendamos consultar con un profesional cualificado en protección de datos o su Delegado de Protección de Datos.

Esta guía proporciona información general sobre el cumplimiento del RGPD para herramientas de IA en reuniones. No constituye asesoramiento legal y no debe tomarse como tal. Los requisitos pueden variar según su situación específica, jurisdicción y la naturaleza de los datos que procesa. Las leyes locales sobre grabación de conversaciones pueden imponer requisitos adicionales más allá del RGPD.