Dictado por voz y RGPD: ¿adónde van de verdad tus datos?

Cuando dictas un correo, un acta o un escrito jurídico, pronuncias en voz alta información a menudo confidencial: nombres, importes, elementos de un expediente. La pregunta no es solo «¿la transcripción es buena?», sino «¿adónde va mi voz y quién puede acceder a ella?». Es exactamente lo que regula el RGPD. Esta guía explica qué exige realmente el reglamento a una herramienta de dictado por voz, por qué la localización de los servidores no basta y cómo reconocer una solución conforme y soberana.

Tu voz es un dato personal

Primer punto, a menudo mal entendido: una grabación de voz es un dato personal en el sentido del RGPD en cuanto permite, directa o indirectamente, identificar a una persona. La voz en sí, un nombre pronunciado, un número de cliente dicho en voz alta: todo ello entra dentro del reglamento. El RGPD se aplica, por tanto, al dictado por voz desde el momento en que un humano habla.

¿Hay que concluir de ello que se trata de datos «sensibles»? No de forma automática, y el matiz es importante. Según la CNIL, la voz solo se convierte en dato biométrico (categoría sensible, regulada por el artículo 9 del RGPD) cuando un sistema la utiliza para reconocer o autenticar a un hablante a partir de sus características vocales. Una herramienta de dictado no hace eso: transforma el habla en texto, no identifica a nadie por su voz. La consecuencia práctica:

• El audio es un dato personal, pero no un dato biométrico, porque no hay identificación vocal.
• El contenido dictado, en cambio, puede ser de todo menos inocuo: un expediente médico mencionado, datos bancarios, el nombre de un cliente y la naturaleza de su litigio. Ahí es donde se concentra el verdadero riesgo.

Dicho de otro modo, el peligro no es que tu timbre de voz sirva para identificarte; es que lo que dictas acabe almacenado, reutilizado o accesible para un tercero. De ahí la importancia de saber con precisión qué hace la herramienta con tu audio.

Qué exige concretamente el RGPD a una herramienta de dictado por voz

El RGPD no se reduce a un banner de consentimiento. Para un servicio que transcribe tu voz, seis obligaciones cuentan de verdad:

• Una finalidad y una base jurídica claras. Tus datos solo sirven para producir tu transcripción, no para otra cosa.
• La minimización. La herramienta solo debe tratar lo estrictamente necesario. La CNIL, en su libro blanco sobre los asistentes de voz, recomienda incluso transferir a los servidores únicamente los datos indispensables.
• La limitación de la conservación. El RGPD prohíbe guardar los datos más tiempo del necesario. Para el dictado, la mejor opción es sencilla: cero conservación, el audio se elimina en cuanto se transcribe.
• La no reutilización. Tu voz y tus textos no deben servir para entrenar modelos de IA sin tu consentimiento.
• Un encargado del tratamiento regulado. El editor debe ofrecerte un acuerdo de tratamiento (DPA, artículo 28 del RGPD) que enumere sus encargados y sus garantías.
• La seguridad y el marco de las transferencias. Cifrado, medidas técnicas serias y, sobre todo, un marco estricto si los datos salen de la Unión Europea (artículos 44 y siguientes).

Estos criterios son verificables. Un editor serio responde a cada uno por escrito. Es precisamente el último punto, las transferencias fuera de la UE, el que más a menudo falla, y el peor entendido.

Una precisión útil, para despejar una confusión frecuente: el AI Act, el Reglamento europeo de inteligencia artificial, no trata estas cuestiones. Regula lo que un sistema de IA tiene derecho a hacer, no dónde se tratan sus datos ni bajo qué jurisdicción está el proveedor. Desarrollamos ese reparto de papeles en nuestro artículo sobre qué exige realmente el AI Act a sus herramientas de IA.

El editor es tu encargado del tratamiento: qué debe decir el artículo 28

Esta es la parte que la mayoría de los compradores se salta, y es la que carga con la responsabilidad. Cuando dictas contenido profesional, tú eres el responsable del tratamiento de esos datos y el editor es tu encargado del tratamiento. El artículo 28 del RGPD no deja esa relación a la buena voluntad: exige un contrato escrito, el DPA, y enumera lo que ese contrato debe contener.

Al leer un DPA, estas son las cláusulas que cuentan en la práctica:

• Instrucciones documentadas. El editor solo puede tratar tus datos siguiendo tus instrucciones y para la finalidad que has definido. Esa única cláusula es la que prohíbe reutilizarlos para entrenar modelos.
• Confidencialidad del personal. Toda persona con acceso a los datos debe estar sujeta a una obligación de confidencialidad.
• Medidas de seguridad del artículo 32. Cifrado en tránsito y en reposo, control de accesos y capacidad declarada de restablecer la disponibilidad tras un incidente.
• Subencargados nombrados y autorizados. El editor no puede incorporar a otro proveedor sin tu autorización, y debe informarte antes de cualquier cambio. Un DPA que no nombra la cadena no está haciendo su trabajo.
• Asistencia con los derechos de las personas. Si alguien te pide acceso o supresión, el editor debe ayudarte a responder dentro del plazo.
• Supresión o devolución al final del contrato, y la información de auditoría necesaria para verificar todo lo anterior.

Un editor que responde «cumplimos el RGPD» sin aportar ese documento no ha respondido. Pide el DPA antes de firmar, no después de un incidente.

Plazo de conservación, y qué pasa con tus derechos

La limitación del plazo de conservación es la obligación que las herramientas de dictado incumplen más a menudo, porque conservar el audio le conviene al editor: alimenta el control de calidad y la mejora de los modelos. El RGPD plantea a cambio una pregunta directa, cuánto tiempo es necesario el audio para la finalidad que has aceptado, y para una transcripción la respuesta honesta cabe en los pocos segundos que tarda en producirse el texto. Más allá de eso hay un plazo de conservación que hay que justificar, documentar y declarar.

El plazo de conservación determina también hasta qué punto tus derechos son practicables. El derecho de acceso, rectificación, supresión y portabilidad recae sobre lo que el editor conserva. Eso tiene una consecuencia práctica que conviene entender: con una política real de cero conservación no hay nada que consultar ni que suprimir en el servidor, porque el audio ya no existe y el texto está en tu propio equipo. Cuando una herramienta guarda un historial de tus dictados, esos derechos se convierten en trabajo real, y el editor debe poder atenderlos en el plazo de un mes.

Transferencias fuera de la UE, y la cuestión de la jurisdicción

Los artículos 44 y siguientes regulan lo que ocurre cuando los datos salen de la Unión Europea. En la práctica, un editor estadounidense se apoya o bien en el Data Privacy Framework, la decisión de adecuación adoptada el 10 de julio de 2023, o bien en las cláusulas contractuales tipo de la Comisión Europea. En ambos casos la transferencia pasa a ser lícita, y eso es realmente útil.

También es solo la mitad del análisis. Debajo hay otra pregunta: qué Estado puede obligar al editor a entregar tus datos una vez que los tiene. La Cloud Act estadounidense alcanza a cualquier proveedor sujeto a la jurisdicción de Estados Unidos con independencia de dónde estén los servidores, y por eso «alojado en Europa» y «fuera del alcance de las autoridades estadounidenses» no son la misma afirmación. Es un tema en sí mismo, que tratamos en detalle, con la jurisprudencia, el recurso pendiente contra el DPF y las cuatro comprobaciones que hacer a cualquier editor, en nuestra guía por qué alojar en Europa no basta.

Lo que el RGPD te exige a ti, no solo a la herramienta

Elegir un editor conforme no te libera de tus propias obligaciones. Tres de ellas se aplican en cuanto dictas contenido profesional:

• Tu registro de actividades de tratamiento (artículo 30). Si dictas contenido con datos personales, la herramienta forma parte del registro: finalidad, categorías de datos, el editor como encargado, plazo de conservación y cualquier transferencia fuera de la UE. Es una línea en una tabla, no un proyecto, pero una inspección la pedirá. El artículo 30.5 exime a las organizaciones de menos de 250 empleados, pero la exención decae en cuanto el tratamiento no es ocasional o afecta a datos confidenciales de clientes, que es exactamente el caso de un despacho que dicta a diario.
• Una evaluación de impacto (artículo 35), o no. Una EIPD es obligatoria cuando el tratamiento puede entrañar un alto riesgo para los derechos de las personas. Un dictado que se limita a convertir tu propia voz en texto, sin conservación y sin identificación biométrica, no suele alcanzar ese umbral por sí solo. Dictar a gran escala datos de categorías especiales, información de salud por ejemplo, cambia el cálculo, y ahí la evaluación te corresponde a ti, no a tu editor.
• Las personas de las que hablas. Cuando dictas el expediente de un cliente, ese cliente también es un interesado. Tu política de privacidad suele cubrirlo, pero debe reflejar la realidad: un encargado del tratamiento transcribe ese contenido.

Profesiones con secreto: abogados, notarios, asesores fiscales

Para un abogado, un notario o un asesor fiscal, el RGPD se suma a una obligación aún más estricta: el secreto profesional. Dictar el nombre de un cliente y la naturaleza de su expediente en una herramienta que podría ser obligada a comunicar esos datos es exponer información cubierta por el secreto.

Como ejemplo en Francia, el Consejo Nacional de la Abogacía lo recordó en su guía deontológica sobre la inteligencia artificial: el uso de herramientas de IA nunca puede justificar un levantamiento del secreto profesional, y nunca debe confiarse a una IA generativa de consumo masivo datos cubiertos por él. La guía subraya además que las soluciones alojadas en la Unión Europea, que no reutilizan las consultas para entrenar sus modelos, presentan un perfil de riesgo netamente inferior al de las herramientas de consumo.

Es exactamente el criterio que hay que aplicar a una herramienta de dictado: tratamiento en la UE, cero conservación, sin reutilización y un editor que no esté sujeto a una legislación extraterritorial.

5 preguntas que hacer antes de elegir una herramienta de dictado por voz

Una forma sencilla de decidir: haz estas cinco preguntas a cualquier editor. Las respuestas deben ser claras y por escrito.

1. ¿Conservan mi audio y mis transcripciones? La buena respuesta es: no, eliminación inmediata tras la transcripción.
2. ¿Mis datos sirven para entrenar sus modelos? La buena respuesta es: no.
3. ¿Dónde se procesan mis datos y qué empresa lo hace? Busca un tratamiento en la UE por una empresa europea, no solo un «centro de datos en Europa».
4. ¿Están sujetos a la Cloud Act o a otra ley extraterritorial? Un editor europeo no controlado por una matriz estadounidense puede responder que no. Si la respuesta es evasiva, nuestra guía sobre la Cloud Act explica cómo comprobarlo tú mismo.
5. ¿Ofrecen un DPA conforme al artículo 28 del RGPD? Imprescindible para un uso profesional.

La opción más estricta: el 100 % local

Seamos honestos: si quieres la garantía absoluta de que tu voz nunca sale de tu ordenador, la solución más protectora no es la nube, es el tratamiento 100 % local. Nada se va a internet: ni el RGPD ni la Cloud Act entran siquiera en juego, ya que ningún dato se transmite a un tercero. Herramientas de código abierto como Handy (gratuita, con licencia libre, para Windows, macOS y Linux) ejecutan la transcripción directamente en tu máquina, sin ningún envío a un servidor.

La contrapartida es real, y la detallamos en nuestra comparativa dictado por voz local vs nube: el 100 % local se limita casi siempre a una transcripción en bruto, sin la limpieza ni el formato por IA, y exige una máquina bastante potente. Para muchos profesionales, el reto es, por tanto, recuperar la comodidad de la nube, un texto limpio, en cualquier aplicación y en cualquier ordenador, sin renunciar a la soberanía. Es precisamente lo que persigue Fast Dictate.

El enfoque de Fast Dictate

Fast Dictate es una alternativa europea pensada para responder a estas preguntas sin rodeos:

• Cero conservación de datos en todos los planes. Tu audio se transcribe y se elimina de inmediato, y nunca se reutiliza para entrenar modelos.
• Plan Pro: tratamiento exclusivamente en Francia, en servidores certificados ISO/IEC 27001, fuera del alcance de la Cloud Act estadounidense, con un DPA RGPD avanzado. Pensado para abogados, notarios y cualquiera que maneje expedientes confidenciales.
• Planes Free y Standard: una infraestructura internacional rápida, siempre sin conservación de datos.
• Funciona en todas partes: Word, Gmail, Notion, tu navegador, cualquier campo de texto, con un solo atajo en Windows y Mac.
• Plan gratuito: 2.000 palabras por semana, sin tarjeta de crédito.

Preguntas frecuentes