Mejor notetaker de IA conforme al RGPD para la UE (2026)

Ningún notetaker de IA está «certificado RGPD»: ese certificado no existe. El mejor notetaker de IA conforme al RGPD para una empresa de la UE ofrece un DPA del artículo 28, una ubicación y transferencia de datos defendibles, nada de entrenamiento con tus reuniones, y encaja con tus reglas de consentimiento y de representación de los trabajadores. Para alojamiento en la UE: Jamie y tl;dv; para notas de equipo sin bot: Reline (alojado en EE. UU.).

Nosotros hacemos Reline, así que lee esto como la guía de un proveedor. Reline captura el audio sin bot en tu dispositivo, pero la transcripción, la IA y el almacenamiento corren en la nube en EE. UU., cubiertos por las cláusulas contractuales tipo de la UE. Reline no ofrece residencia de datos en la UE y no tiene SOC 2. Cada dato sobre otras herramientas viene de las páginas del propio proveedor, revisadas el 21 de octubre de 2026, y puede cambiar.

Cuando tu empresa graba una reunión, tú eres el responsable del tratamiento y el proveedor es tu encargado. Una grabación de reunión es un dato personal: voces, nombres, opiniones, a veces categorías especiales como la salud. Por tanto, el cumplimiento recae en ti, y el proveedor tiene que hacerlo posible. Estos son los seis puntos que revisará tu delegado de protección de datos.

Necesitas un contrato de encargo del tratamiento con cada proveedor que procese datos de reuniones por ti, con bot o sin él. Comprueba que cubre el plan que realmente compras. La página de precios de Jamie solo menciona los DPA en Enterprise. El artículo de ayuda de Fireflies describe su papel de encargado para Business y Enterprise. El DPA de Reline, en reline.so/dpa, viene prefirmado y se aplica a todos los espacios de trabajo. Lee también la lista de subencargados: te dice quién más trata los datos y en qué país.

«Alojado en la UE» y «conforme al RGPD» son afirmaciones distintas. El RGPD no prohíbe el tratamiento en EE. UU.; exige un mecanismo de transferencia. Los dos más comunes son el EU-U.S. Data Privacy Framework (una decisión de adecuación de julio de 2023 que cubre a las empresas estadounidenses certificadas) y las cláusulas contractuales tipo, normalmente con una evaluación de impacto de la transferencia. El Tribunal General de la UE confirmó el Data Privacy Framework el 3 de septiembre de 2025; hay un recurso de casación pendiente ante el Tribunal de Justicia (asunto C-703/25 P). Su predecesor, el Privacy Shield, fue anulado en 2020, y por eso muchos delegados de protección de datos prefieren el tratamiento en la UE cuando existe.

Separa también almacenamiento y tratamiento. Según las preguntas frecuentes de seguridad de Fireflies, su opción Private Storage guarda el contenido en la UE, pero Fireflies lo sigue procesando en EE. UU. La web alemana de tl;dv dice que los datos se alojan y almacenan en la UE, pero no dice dónde ocurre el tratamiento por IA. Haz las dos preguntas.

La limitación del plazo de conservación (art. 5, apartado 1, letra e, RGPD) obliga a no guardar las grabaciones más de lo necesario. Pregunta cuánto tiempo viven el audio, las transcripciones y los resultados de la IA, si borrar una reunión lo borra todo y cuánto tiempo los guardan las copias de seguridad. Según sus propias páginas, Jamie y Granola no almacenan el audio de las reuniones. Fireflies purga al instante una reunión borrada y elimina los datos de la cuenta en 30 días. Reline purga de la papelera las notas borradas a los 30 días, con transcripción, grabación y resultados de la IA, y conserva copias de seguridad hasta 30 días.

Hay dos preguntas: ¿el proveedor entrena sus propios modelos con tus datos, y sus proveedores de IA lo tienen prohibido? Las respuestas varían más de lo que sugiere el marketing. La política de privacidad de Otter dice que entrena su propia IA con grabaciones de audio y transcripciones desidentificadas. La de Fathom dice que, según la configuración de la cuenta, puede usar datos de reuniones desidentificados para entrenar sus modelos internos. La página de seguridad de Granola dice que entrena con datos anonimizados salvo que te excluyas, con el entrenamiento desactivado por defecto en Enterprise. Jamie, tl;dv y Fireflies dicen que no entrenan con tus datos. Reline no entrena modelos con tus datos, y sus proveedores de IA lo tienen prohibido por sus condiciones de API.

Todas las personas de la reunión deben saber que se las graba y para qué (artículos 13 y 14 del RGPD), y necesitas una base jurídica según el artículo 6. El derecho nacional añade más: en Alemania, el artículo 201 del Código Penal castiga grabar sin autorización palabras pronunciadas en privado. En la práctica, avisa a todos en la invitación y al empezar, y obtén el consentimiento donde la ley lo exija. Una herramienta sin bot quita el bot visible de la llamada, no este deber. Reline publica un aviso para los participantes en reline.so/participants.

1. Pedir el DPA y confirmar que cubre tu plan, no solo Enterprise.
2. Leer la lista de subencargados: quién trata los datos y en qué país.
3. Preguntar dónde se almacenan y dónde se procesan los datos, y qué mecanismo de transferencia aplica (Data Privacy Framework, cláusulas contractuales tipo).
4. Revisar la conservación: audio, transcripciones, resultados de la IA, copias de seguridad, y qué pasa al borrar una reunión o la cuenta.
5. Revisar el entrenamiento de IA: modelos propios del proveedor y sus proveedores de IA, y si existe una exclusión.
6. Decidir si un bot en la llamada es aceptable para tus clientes y candidatos.
7. Preparar un aviso de grabación para los participantes y un paso de consentimiento donde la ley lo exija.
8. Implicar pronto a tu delegado de protección de datos y a la representación de los trabajadores; hacer una EIPD si hace falta.

Los datos vienen de las páginas de cada proveedor, revisadas el 21 de octubre de 2026 (inicio, precios, página de seguridad o política de privacidad). «Según el proveedor» es deliberado: recogemos lo que dice, no es una auditoría. Cuando una página no dice nada, lo indicamos.

Cómo leer las tablas: si el alojamiento en la UE es obligatorio, empieza por Jamie (almacenamiento y tratamiento en el EEE, Suiza y el Reino Unido, según Jamie) o tl;dv (pregunta dónde ocurre el tratamiento por IA). Si deciden las certificaciones formales, Fireflies, Granola, Otter y Fathom declaran SOC 2 Type 2 y Jamie ISO 27001. Si el entrenamiento con tus reuniones es una línea roja, lee la política de privacidad, no la portada: Otter, Fathom y Granola describen alguna forma de entrenamiento con datos desidentificados o anonimizados.

Reline captura tu micrófono y el audio del sistema en local en tu ordenador: ningún participante se une a la llamada y no aparece ningún aviso de entrada. La transcripción en directo en más de 60 idiomas, los resúmenes de IA y el almacenamiento corren después en nuestra nube en EE. UU. Conservas la transcripción completa y la grabación, con un botón de reproducir en cada línea, en un bloc de notas que tu equipo edita en conjunto. Las notas son privadas por defecto, con cinco niveles de permiso por nota y carpeta, y la interfaz existe en inglés, alemán, francés, español, japonés, portugués y árabe.

El compromiso es claro: Reline no ofrece residencia de datos en la UE ni SOC 2. Encaja cuando el bot en la llamada es tu problema principal y tu delegado de protección de datos acepta el tratamiento en EE. UU. con cláusulas contractuales tipo en un DPA que cubre todos los planes. Si no, elige una de las herramientas alojadas en la UE de arriba.

¿Quieres sustituir Fireflies en concreto? Nuestra guía de alternativas a Fireflies recorre el cambio paso a paso. Para un repaso de todas las herramientas en el eje de protección de datos, mira nuestra revisión RGPD de asistentes de reuniones con IA.