Elegir una herramienta de IA para talleres que apruebe tu delegado de protección de datos
El equipo aprobó el piloto en junio y el delegado de protección de datos lo paró en septiembre, por una pregunta que se podría haber hecho en mayo. Pasa con casi todas las herramientas de IA que escuchan talleres: el equipo evalúa primero las funciones y al final los datos. Esta lista de comprobación invierte el orden: doce preguntas para enviar al proveedor antes de que nadie grabe nada, en la secuencia en que tu DPO las va a hacer.
Por qué importa el orden
Un DPO piensa desde los datos hacia fuera: dónde están, qué son, quién los ve, cuánto tiempo se quedan. Una demo del proveedor piensa desde las funciones hacia dentro. Pregunta en el orden del DPO y las cuatro primeras respuestas te dirán si el resto merece tu tiempo.
Las doce preguntas
- Dónde se alojan y se procesan los datos, país y proveedor. Alojamiento y procesamiento son dos respuestas, y en la segunda viven las sorpresas. Buena respuesta: país y proveedor nombrados para ambos.
- Se guarda el audio en bruto, dónde y durante cuánto tiempo. El audio es lo más sensible que produce un taller. Lo mejor: se procesa y se descarta. Lo segundo mejor: una ubicación concreta con un plazo de conservación que controlas tú.
- Qué modelos de IA procesan el contenido, dónde se ejecutan, se usa para entrenar. Pide un no por escrito al entrenamiento. «No entrenamos con tus datos» va en el contrato, no en un correo comercial.
- Se puede mantener el procesamiento en la UE, y qué pasa entonces con las funciones. Muchas herramientas tienen un modo UE que apaga en silencio la mitad del producto. Buena respuesta: una lista de lo que sigue funcionando.
- Quién ve qué. Roles, espacios privados, sin vistas entre equipos ni vistas de dirección sobre personas concretas. Pregunta sin rodeos si un directivo puede ver lo que dijo una persona en el taller de otro equipo. Buena respuesta: un no rotundo.
- Qué es biométrico, cómo se recoge el consentimiento, cómo se retira. Los perfiles de voz que reconocen a quien habla son datos biométricos. Buena respuesta: consentimiento por persona antes de la primera grabación, retirada con un clic, perfil borrado al retirarlo.
- Conservación: configurable, aplicada automáticamente, exportaciones incluidas. «Puedes borrar lo que quieras» no es una política de conservación. Buena respuesta: un plazo por organización, borrado sin que nadie tenga que acordarse, archivos exportados incluidos.
- Exportación y borrado de todo a petición, también para una sola persona. La organización se va y se lo lleva todo; una persona se va y sus aportaciones se van con ella. Pregunta cuánto tarda cada cosa.
- El contrato de encargo de tratamiento, los subencargados listados, quién firma. Pide el contrato antes del piloto. En la lista de subencargados es donde aparece el servicio de transcripción que nadie mencionó.
- Etiquetado del contenido de IA y control humano. Toda salida de IA está marcada como IA y una persona puede editarla; nada sobre una idea o una persona se decide automáticamente. Las normas de transparencia de la Ley de IA de la UE van en la misma dirección; consulta con tu equipo legal qué obligaciones te afectan.
- Nada que evalúe a personas. Tiempo de palabra por persona, puntuaciones de participación, detección de emociones: cada una convierte una herramienta de taller en una herramienta de vigilancia. Buena respuesta: la función no existe, no que se pueda desactivar.
- Seguridad básica. Cifrado en reposo y en tránsito, passkeys o segundo factor, registro de auditoría, un informe de seguridad que puedas leer. Sin él, tu DPO pregunta a sistemas, y sistemas dice que no.
Señales rojas y señales verdes
| Pregunta | Señal roja | Señal verde |
|---|---|---|
| Alojamiento y procesamiento | «En la nube, totalmente conforme al RGPD» | País y proveedor nombrados para ambos, por escrito |
| Audio en bruto | «Se guarda de forma segura» | No se guarda; se procesa y se descarta |
| Entrenamiento | «Nos tomamos la privacidad muy en serio» | Un no por escrito en el contrato de encargo |
| Perfiles de voz | «El reconocimiento de hablantes es automático» | Opt-in por persona, revocable, borrado al retirarlo |
| Contrato de encargo | «Lo enviamos después del piloto» | Enviado ya, subencargados listados, firmado antes del día uno |
| Evaluación de personas | «Analítica de participación incluida» | La función no existe |
El trabajo del DPO es decir cómo, no decir no. Lleva respuestas, no un folleto del proveedor, y la reunión se convierte en una revisión en vez de un interrogatorio.
Cómo hacer la evaluación en dos semanas
Días 1 a 2: envía las doce preguntas por escrito a cada candidato, con fecha límite. Días 3 a 7: puntúa cada respuesta como clara, vaga o ausente. Una respuesta ausente en las preguntas 1 a 4 termina la evaluación de ese proveedor.
Segunda semana: haz un taller real, no una demo, con los dos mejores candidatos. Después entrega al DPO las respuestas puntuadas, el contrato de encargo y una descripción de una página, con tus palabras, de lo que hace la herramienta con los datos. Decide esa misma semana. Algunos proveedores responden varias de estas preguntas de entrada; IdeaHone, por ejemplo, se aloja en Alemania, no almacena audio, ofrece un modelo de transcripción local y un modo solo UE, y guarda los perfiles de voz cifrados y con consentimiento. Pide el resto por escrito igualmente.
Pide la política de privacidad del propio proveedor y compárala sección por sección con lo que se dijo en la llamada comercial. Donde no coincidan, cuenta la política, y tu DPO va a encontrar la diferencia de todos modos.
«Cumplimos el RGPD» es una afirmación, no una respuesta. Cada una de las doce preguntas tiene una respuesta concreta, o no la tiene.
Cinco atajos que te pasan factura en la evaluación
- Funciones antes que datos. Tres sesiones comparando resúmenes, diez minutos sobre el alojamiento. Invierte el reparto del tiempo.
- El piloto que arranca antes del contrato de encargo. Los datos de un taller son datos personales desde el primer minuto. Sin contrato firmado, no se graba.
- Fiarse del sello de la web. Un logo de cumplimiento demuestra que el proveedor compró un logo. Haz la pregunta que hay detrás.
- Olvidar al comité de empresa. Una herramienta que graba lo que dicen los empleados es un tema de representación laboral. Implica al comité de empresa en la primera semana.
- Una herramienta que exige una cuenta en EE. UU. para quien facilita. Si la persona que facilita entra con una cuenta gestionada fuera de la UE, el modo UE es decoración.
Captura cada idea mientras la gente habla
IdeaHone escucha en tu sesión y convierte lo que se dice en tarjetas de ideas, preguntas y decisiones, en directo en un tablero compartido.
¿Qué debe revisar un DPO en una herramienta de IA para talleres?
Dónde se alojan y procesan los datos, si se guarda el audio, si el contenido entrena modelos, quién ve qué, el consentimiento para perfiles de voz, conservación y borrado, el contrato de encargo con subencargados y si la herramienta evalúa a personas. Las doce preguntas de arriba siguen ese orden.
¿Una herramienta de transcripción con IA cumple el RGPD?
El cumplimiento es una propiedad de cómo usas la herramienta, no una etiqueta que lleva. Una herramienta puede apoyarlo (procesamiento en la UE, sin entrenamiento, consentimiento, borrado), pero tu organización sigue siendo responsable del aviso a los participantes, del contrato de encargo y de la conservación. Lee transcripción y RGPD y consúltalo con tu delegado de protección de datos.
¿Qué es un contrato de encargo de tratamiento y lo necesitamos?
Un contrato de encargo de tratamiento obliga al proveedor a tratar datos personales solo según tus instrucciones, lista a sus subencargados y fija obligaciones de seguridad y borrado. Si una herramienta procesa cualquier cosa que digan tus participantes, necesitas uno firmado antes de la primera grabación.
