Una consulta con un cliente, una anamnesis médica, una evaluación de daños: graba algo confidencial y quiere texto limpio. Antes de pensar en qué software usar, hay una pregunta incómoda que merece respuesta: no solo «¿dónde va mi grabación?», sino «¿qué ordenamiento jurídico puede acceder a ella ahí?» Una transcripción conforme al RGPD depende menos de las funciones y mucho más de dónde caen sus datos de audio y quién obtiene acceso.

«Conforme al RGPD» no es una casilla que marcar

En el momento en que una grabación contiene nombres, voces o datos de salud, procesa datos personales y el RGPD se aplica. Base jurídica, limitación de finalidad, plazos de conservación, medidas de seguridad: eso sigue siendo responsabilidad suya independientemente de la aplicación que elija. Pero una cosa cambia con la tecnología, y pesa más que todo lo demás: si la grabación abandona su esfera de responsabilidad.

La pregunta real: ¿Qué ordenamiento jurídico puede acceder a su grabación?

Si envía audio a un servicio en la nube con sede en EE. UU. o propiedad de una corporación estadounidense, transfiere datos a un tercer país. Esto solo es lícito bajo las condiciones del Capítulo V del RGPD —en la práctica, casi siempre mediante una decisión de adecuación de la Comisión Europea.

Y esa decisión es históricamente frágil. En 2015, el Tribunal de Justicia anuló el acuerdo Safe Harbour (Sentencia Schrems I); en 2020, su sucesor Privacy Shield (Schrems II). Desde 2023 rige el Data Privacy Framework, y ya está bajo cuestionamiento. A finales de junio de 2026, el Tribunal Supremo estadounidense decidió que la Comisión Federal de Comercio (FTC) no es independiente del presidente. El problema: la decisión de adecuación de la UE se apoya en esa independencia de la FTC cientos de veces. La organización noyb ha anunciado ya un recurso ante el Tribunal de Justicia de la Unión Europea.

El patrón es difícil de ignorar: cada uno de estos arreglos duró unos años y luego se desmoronó. Si hoy confía grabaciones confidenciales a una nube estadounidense, construye sobre un fundamento jurídico con fecha de vencimiento.

«Pero los servidores están en Europa»

La objeción más frecuente, y desgraciadamente no es una salida. La ley estadounidense CLOUD Act obliga a empresas estadounidenses a entregar datos a las autoridades de EE. UU., independientemente de dónde estén los servidores. La ley sigue a la empresa, no al servidor. Un centro de datos en Madrid propiedad de un hiperscaler estadounidense está geográficamente en la UE, pero legalmente, no solo está en la UE.

Hay otro detalle que al RGPD le molesta particularmente: cuando las autoridades estadounidenses acceden a datos de esta forma, el proveedor a menudo ni siquiera puede informar a los afectados. La transparencia —una obligación central del RGPD— se convierte en un gesto vacío. Una etiqueta de «UE» en el armario de servidores cambia poco al respecto.

En el dispositivo: evitar el problema de transferencia

La solución más limpia a un problema de transferencia es no transferir. Cuando la conversión de voz a texto ocurre directamente en su dispositivo, la grabación nunca abandona su esfera de responsabilidad. Ningún tercer país. Ninguna decisión de adecuación de la que dependa su cumplimiento. Ninguna cuestión del CLOUD Act para ese paso. Por qué el procesamiento local es el punto de partida más limpio se explica con más detalle en por qué local y bajo reconocimiento de voz local.

Así funciona Bygmind: transcripción en el dispositivo, en más de 25 idiomas, sin cuenta. «En el dispositivo» no significa «sin servidores a cualquier precio» —la sincronización vía Bygmind Cloud o su propio servidor es posible, pero es su decisión. La diferencia es que el modo sin conexión es lo normal, no una solución de emergencia.

Grabar sigue exigiendo una base jurídica

Un malentendido persistente: «Si todo se queda local, puedo grabar cualquier cosa». No. Lo que se regula localmente es el dónde del procesamiento, no el si de la grabación. Una conversación mantenida en privado es legalmente protegida; capturarla sin permiso conlleva riesgo legal. La grabación en sí misma necesita un fundamento sólido —normalmente consentimiento. Ninguna tecnología le exime de eso. En España, grabar sin consentimiento a una persona en conversación privada incurre en los tipos de artículo 197 del Código Penal: violación de la intimidad.

Para quién esto importa más: Secreto profesional

La apuesta es más alta para quienes están sujetos a secreto profesional. Compartir secretos profesionales con un tercero entra en territorio de riesgo legal —y un proveedor de servicios en la nube cuenta como tercero. En una consulta médica, durante la anamnesis; en un despacho de abogados, durante una consulta con cliente; al manejar datos de siniestros sensibles en seguros —es simplemente más limpio cuando la grabación nunca sale del edificio. El artículo 199 del Código Penal prevé penas para quien revela secretos profesionales confiados bajo garantía de secreto. La normativa sí permite recurrir a un encargado del tratamiento, pero solo con los contratos y garantías adecuados —un esfuerzo que el procesamiento en el dispositivo le ahorra.

Lista de comprobación: Transcripción conforme al RGPD en la práctica

  • ¿Base jurídica o consentimiento para la grabación aclarados?
  • ¿La transcripción se ejecuta localmente o el audio viaja a la nube?
  • Si nube: ¿proveedor estadounidense o empresa matriz estadounidense? Entonces compruebe la exposición a tercer país y CLOUD Act —la ubicación del servidor por sí sola no es protección.
  • ¿Ninguna cuenta extrayendo datos silenciosamente en segundo plano?
  • ¿Cifrado de dispositivo y control de acceso activados?
  • ¿Plan de eliminación y plazo de conservación definidos?
  • ¿Categorías especiales como datos de salud considerados?

Conclusión

El mayor riesgo de protección de datos en transcripción raramente reside en una característica de software; vive en la pregunta de qué ordenamiento jurídico llega a su grabación. Mientras fluya a una nube próxima a EE. UU., depende de acuerdos que ya se han roto antes y de una ubicación de servidor que promete menos de lo que parece. El procesamiento en el dispositivo elimina esa dependencia. No elimina el resto de los requisitos del RGPD, pero hace el cumplimiento notablemente más sencillo.

Este artículo es información general y no es asesoramiento jurídico. Para su situación concreta, consulte a un profesional cualificado.