Fireflies.ai y el RGPD / AI Act: notetaker, CRM y transferencias

Presentación y datos tratados

Fireflies.ai es un asistente de reuniones estadounidense: su bot («Fireflies Notetaker») se une a las llamadas (Zoom, Teams, Meet), graba, transcribe, resume e introduce la información en el CRM.

Fireflies trata la voz, las transcripciones, los resúmenes y los metadatos, así como los datos introducidos en el CRM. Editor estadounidense: exposición a la CLOUD Act; verifique el uso de los datos para la mejora de los modelos.

Los riesgos para su empresa

La transferencia fuera de la UE, el consentimiento de los participantes y la difusión de las transcripciones en el CRM (acceso ampliado) son los principales riesgos, junto con la sensibilidad potencial de los intercambios comerciales.

Principales riesgos RGPD:

• Información insuficiente; internamente, el consentimiento del empleado raramente es válido (interés legítimo/contrato).
• Reuniones con terceros: información y consentimiento indispensables.
• Transferencia fuera de la UE (CLOUD Act); necesidad de implementar cláusulas contractuales tipo (SCC).
• Difusión de las transcripciones en el CRM: acceso a compartimentar y minimización; conservación.

Las obligaciones RGPD

1. Informar y obtener el consentimiento de los participantes (terceros prioritariamente).
2. Firmar el DPA; regular las transferencias (SCC); verificar el entrenamiento.
3. Compartimentar el acceso a las transcripciones en el CRM; definir la conservación.
4. Consultar al comité de empresa si hay vigilancia/evaluación; inscribir en el registro; EIPD si hay análisis de comportamiento.
5. Involucrar al DPO; formar a los equipos. ¿No tiene DPO? Consulte nuestro DPO externalizado.

Las obligaciones AI Act

Transparencia (artículo 50): informar de la IA y señalar los informes generados por IA. GPAI; alfabetización en IA requerida. Prohibición (artículo 5): análisis del tono/estado de ánimo/estrés/compromiso emocional prohibido en el trabajo — desactive estas funciones. Los análisis de participación que alimenten decisiones de RRHH pasan a alto riesgo (Anexo III). Consulte la guía AI Act.

Riesgos AI Act: participantes no informados; análisis de tono/emoción (prohibidos); análisis de participación con fines de RRHH (alto riesgo).

Ciberseguridad y buenas prácticas

Riesgos ciber: transcripciones difundidas ampliamente a través del CRM; transferencia fuera de la UE; bot en reuniones confidenciales; NIS 2 según el tamaño.

Buenas prácticas: información + consentimiento; regular las transferencias (SCC); restringir el acceso a las transcripciones (CRM); conservación mínima; desactivar el análisis emocional; audio en lugar de vídeo; alternativa soberana para lo sensible; carta de IA, registro, formación en IA.

Checklist:

• Información + consentimiento, DPA + transferencias reguladas (SCC), entrenamiento verificado/desactivado
• Acceso a las transcripciones compartimentado (CRM), conservación breve, ningún análisis de emoción/tono
• Comité de empresa consultado si hay vigilancia/evaluación, EIPD si hay análisis de comportamiento, equipos formados

Sanciones, conclusión y recomendaciones

Sanciones: RGPD (hasta 20 M€ o 4 %); AI Act (35 M€/7 % o 15 M€/3 %); vertiente penal (artículo 226-1 del código penal); delito de obstrucción (comité de empresa).

Recomendación: Fireflies.ai acelera el seguimiento comercial, pero difunde ampliamente las transcripciones (CRM) y trata la voz fuera de la UE. Informe y obtenga el consentimiento, regule las transferencias, compartimente el acceso, minimice y suprima rápidamente. Para las reuniones confidenciales, prefiera una solución soberana como tl;dv. Compare con Otter.ai y Fathom. Consulte el comparativo de herramientas de IA.