Otter.ai y el RGPD / AI Act: transcripción de reuniones y transferencias

Presentación y datos tratados

Otter.ai es un servicio estadounidense de transcripción y toma de notas de reuniones. Su asistente OtterPilot se une a las reuniones (Zoom, Teams, Google Meet), graba, transcribe y resume.

Otter trata la voz de los participantes, las transcripciones, los resúmenes y los metadatos. Editor estadounidense: alojamiento/tratamiento en Estados Unidos probable, con exposición a la CLOUD Act. Verifique el posible uso de los datos para la mejora de los modelos según la oferta.

Los riesgos para su empresa

La transferencia fuera de la UE de datos de voz, el consentimiento de los participantes (especialmente externos) y la conservación constituyen los principales riesgos, agravados por la sensibilidad potencial de los comentarios.

Principales riesgos RGPD:

• Información insuficiente (un banner no es suficiente); internamente, el consentimiento del empleado raramente es válido (interés legítimo/contrato).
• Reuniones con terceros: información y consentimiento indispensables.
• Transferencia fuera de la UE (CLOUD Act); garantías a establecer (SCC).
• Posible uso de los datos para el entrenamiento (a verificar/desactivar); conservación y minimización.

Las obligaciones RGPD

1. Informar en la invitación y oralmente; recabar el consentimiento de terceros.
2. Firmar el DPA; enmarcar las transferencias (SCC); verificar/desactivar el entrenamiento con sus datos.
3. Definir duraciones de conservación cortas; minimizar (audio).
4. Consultar al CSE si vigilancia/evaluación; inscribir en el registro; EIPD si análisis de comportamiento.
5. Involucrar al DPO; formar a los equipos. ¿No tiene DPO? Vea nuestro DPO externalizado.

Las obligaciones AI Act

Transparencia (artículo 50): informar de la IA y señalar las actas generadas por IA. GPAI (obligaciones de proveedores); alfabetización en IA requerida. Prohibición (artículo 5): análisis del tono/humor/estrés/compromiso emocional prohibido en el trabajo — desactive estas funciones. Los análisis de participación que alimentan decisiones de RRHH pasan a alto riesgo (Anexo III). Ver la guía AI Act.

Riesgos AI Act: participantes no informados de la IA; análisis de tono/emoción (prohibidos); análisis de participación con fines de RRHH (alto riesgo).

Ciberseguridad y buenas prácticas

Riesgos ciber: grabaciones de voz fuera de la UE; acceso a las transcripciones a compartimentar; bot en reuniones confidenciales; NIS 2 según el tamaño.

Buenas prácticas: enmarcar las transferencias (SCC), verificar/desactivar el entrenamiento; información + consentimiento de terceros; audio en lugar de vídeo; conservación mínima; desactivar el análisis emocional; para reuniones sensibles, preferir una solución soberana; carta de IA, registro, formación en IA.

Checklist:

• Información + consentimiento de los participantes, DPA + transferencias enmarcadas (SCC), entrenamiento verificado/desactivado
• Conservación corta, ningún análisis de emoción/tono, CSE consultado si vigilancia/evaluación
• EIPD si análisis de comportamiento, alternativa soberana para lo sensible, equipos formados

Sanciones, conclusión y recomendaciones

Sanciones: RGPD (hasta 20 M€ o 4 %); AI Act (35 M€/7 % o 15 M€/3 %); vertiente penal (artículo 226-1 del código penal); delito de obstrucción (CSE).

Recomendación: Otter.ai es eficaz pero acumula transferencia fuera de la UE y grabación de la voz. Enmarque las transferencias, verifique el entrenamiento, informe/haga consentir, minimice y elimine rápido. Para reuniones confidenciales, una alternativa soberana como tl;dv es preferible. Compare con Fireflies.ai y Fathom. Ver el comparativo de herramientas de IA.