Zoom AI Companion y el RGPD / AI Act: resúmenes de reuniones y transferencias

Presentación y datos tratados

Zoom AI Companion es el asistente de IA generativa integrado en la plataforma de videoconferencia Zoom: resúmenes de reunión, puntos de acción, síntesis de conversaciones y ayuda a la redacción.

La herramienta trata el contenido de las reuniones (audio/vídeo, transcripciones) para generar resúmenes y síntesis. Zoom indica que no utiliza el contenido del cliente para entrenar sus modelos de IA. Editor estadounidense: exposición a la CLOUD Act; verifique las opciones de residencia de los datos.

Los riesgos para su empresa

Los riesgos: información/consentimiento de los participantes sobre los resúmenes de IA, transferencia fuera de la UE y conservación de los resúmenes. La activación por el anfitrión crea un riesgo de uso sin información de los demás participantes.

Principales riesgos RGPD:

• Información insuficiente; internamente, el consentimiento del empleado rara vez es válido (interés legítimo/contrato).
• Reuniones con terceros: información y consentimiento indispensables.
• Transferencia fuera de la UE (CLOUD Act); verificar la residencia de los datos.
• Conservación de los resúmenes/transcripciones; minimización.

Las obligaciones RGPD

1. Informar a los participantes de la activación de la IA; recabar el consentimiento de los terceros.
2. Verificar el DPA de Zoom y las opciones de residencia de los datos; enmarcar las transferencias (SCC).
3. Definir la conservación de los resúmenes; minimizar.
4. Consultar al CSE si vigilancia/evaluación; inscribir en el registro; EIPD si análisis de comportamiento.
5. Implicar al DPO; formar a los equipos. ¿No tiene DPO? Vea nuestro DPO externalizado.

Las obligaciones AI Act

Transparencia (artículo 50): informar de la IA y señalar las actas generadas por IA. GPAI; se requiere alfabetización en IA. Prohibición (artículo 5): análisis del tono/humor/estrés/compromiso emocional prohibido en el trabajo — desactive estas funciones. Los análisis de participación que alimentan decisiones de RRHH pasan a alto riesgo (Anexo III). Vea la guía AI Act.

Riesgos AI Act: participantes no informados de la IA; cualquier análisis de emoción (prohibido); análisis de participación con fines de RRHH (alto riesgo).

Ciberseguridad y buenas prácticas

Riesgos cibernéticos: contenidos de reunión a proteger; transferencia fuera de la UE; acceso a los resúmenes a compartimentar; NIS 2 según el tamaño.

Buenas prácticas: informar de la activación de la IA; consentimiento de los terceros; verificar la residencia de los datos; enmarcar las transferencias (SCC); conservación mínima; desactivar cualquier análisis emocional; carta de IA, registro, formación en IA.

Checklist:

• Participantes informados de la activación de la IA, consentimiento de los terceros, DPA + residencia de los datos verificados
• Transferencias enmarcadas (SCC), conservación de los resúmenes definida, ningún análisis de emoción
• CSE consultado si vigilancia/evaluación, EIPD si análisis de comportamiento, equipos formados

Sanciones, conclusión y recomendaciones

Sanciones: RGPD (hasta 20 M€ o 4 %); AI Act (35 M€/7 % o 15 M€/3 %); vertiente penal (artículo 226-1 del código penal); delito de obstrucción (CSE).

Recomendación: Zoom AI Companion se beneficia de un compromiso de no entrenamiento sobre el contenido del cliente, pero sigue sujeto a las normas de información/consentimiento y de transferencias (editor estadounidense). Informe sistemáticamente de la activación de la IA, verifique la residencia de los datos, minimice y suprima. Compare con Teams Copilot y tl;dv. Vea el comparativo de herramientas de IA.