RGPD y resúmenes de reuniones con IA: qué endpoint usar

En Autorec, la transcripción se hace en tu equipo. El resumen con IA es el único paso que puede salir de él. Si lo activas, la transcripción va a un proveedor de LLM que tú eliges, y desde ese momento ese proveedor es encargado del tratamiento de todos los datos personales que contuviera la reunión.

Este artículo trata de cómo elegir ese proveedor. No es asesoramiento jurídico: tu delegado de protección de datos o tu asesoría deciden qué permiten tu base jurídica y tu tolerancia al riesgo. Los datos sobre proveedores que verás abajo salen de su propia documentación, revisada en octubre de 2026. Las políticas cambian, así que consulta las páginas enlazadas antes de fiarte de una fila.

Qué envía Autorec exactamente

El resumen con IA de Autorec está desactivado hasta que añades un proveedor en Ajustes → Resumen con IA. Cuando se ejecuta, sale una única petición HTTPS directamente de tu ordenador a la URL base de la API que configuraste. No hay ningún servidor de Autorec en medio.

El cuerpo de la petición contiene:

tu prompt de resumen, como mensaje de sistema
el texto de la transcripción, como mensaje de usuario
el nombre del modelo y la longitud máxima del resumen

También lleva los campos adicionales que tú mismo añadas en Extra request fields (JSON), como opciones de enrutamiento del proveedor. Eso son ajustes, no datos de la reunión. No sale nada más: ni audio, ni vídeo, ni capturas de pantalla, ni nombres de archivo, ni la lista de participantes. Se envía la transcripción completa, así que una reunión larga supone mucho texto.

El título y el resumen que vuelven se guardan junto a la grabación en tu disco. Tu clave de API está en la configuración local de Autorec, y para servidores locales es opcional.

El audio y el vídeo, que contienen voces y caras, nunca salen de la máquina. El texto sí, y el texto sigue siendo un dato personal cuando alguien dice en voz alta nombres, datos de salud o salarios. Una transcripción no es anónima solo por ser texto.

Nuestro artículo sobre RGPD y HIPAA cubre la parte de la grabación: base jurídica, consentimiento, conservación. Todo lo que dice sigue siendo válido. Este artículo añade el paso del proveedor.

Los ajustes de Resumen con IA de Autorec con el desplegable de proveedores abierto, mostrando preajustes agrupados en agregadores, APIs propias, inferencia rápida, servidores locales y Custom

Qué comprobar antes de elegir proveedor

Cuatro preguntas resuelven casi todo.

¿Dónde se tratan los datos? «UE» no es una palabra mágica, pero quita de en medio casi toda la cuestión de las transferencias. El tratamiento en EE. UU. necesita un mecanismo de transferencia y una evaluación de la transferencia.

¿Hay un contrato de encargo del tratamiento? Si el proveedor trata datos personales por cuenta tuya, el artículo 28 del RGPD exige un contrato. Comprueba que puedes aceptarlo sin pasar por una llamada comercial.

¿Cuánto tiempo se conserva el contenido? Muchos proveedores de API guardan los prompts durante un periodo corto para vigilar abusos, aunque no entrenen con ellos. La «retención cero» suele ser un acuerdo que tienes que solicitar, no la opción por defecto.

¿Se usa el contenido para entrenar? En el tráfico de API, entre los grandes nombres esto ya rara vez es lo predeterminado, pero no es uniforme y puede variar entre el plan gratuito y el de pago.

Proveedores alojados en la UE

Mistral

Mistral es la primera opción europea en la lista de proveedores de Autorec (Proveedor → Mistral, URL base https://api.mistral.ai/v1, modelo por defecto mistral-small-latest).

Región: el centro de ayuda de Mistral dice que los datos se alojan por defecto en la Unión Europea, y en Estados Unidos solo si usas explícitamente su endpoint de API estadounidense. Mistral también publica en su Trust Center una lista de subencargados, algunos fuera de la UE.
Contrato de encargo: Mistral publica un Data Processing Addendum dentro de sus condiciones comerciales.
Entrenamiento: esta es la fila que hay que leer con calma. El centro de ayuda de Mistral dice que en pago por uso tienes derecho a excluirte del entrenamiento en cualquier momento, y describe el interruptor: en Mistral Studio, Privacy → Anonymous improvement data. El modo gratuito de Studio indica que Mistral puede usar tus datos para entrenar sus modelos. El chat para consumidores y la API tienen interruptores distintos. Así que no des nada por hecho: abre la página Privacy de la cuenta cuya clave pones en Autorec y compruébalo.
Conservación: Mistral ofrece una opción de Zero Data Retention para las llamadas de API compatibles, incluidas las chat completions, en los planes de pago. Se solicita a soporte y Mistral puede aprobarla o rechazarla. Las páginas de ayuda de Mistral a las que pude acceder no indican el periodo de conservación por defecto del contenido de la API, así que no voy a dar una cifra. Pregunta o lee el contrato.

Scaleway

Las Generative APIs de Scaleway están alojadas en París y anuncian compatibilidad con OpenAI, incluido un endpoint de chat completions. No hay preajuste en Autorec, así que elige Custom… e introduce la URL base que te da la consola de Scaleway.

Según la página de privacidad de datos de Scaleway, no recopila, lee, reutiliza ni analiza prompts ni respuestas, y no los usa para entrenar modelos. La excepción es la investigación de un abuso o una avería, en cuyo caso los datos pueden guardarse hasta dos semanas. La página identifica a Scaleway como encargado del tratamiento y remite a su política de privacidad y a sus condiciones del servicio de IA para la parte contractual.

IONOS

IONOS AI Model Hub describe endpoints compatibles con OpenAI y dice que todo el tratamiento se realiza en sus centros de datos de Alemania (Berlín) y que los datos de los clientes nunca se usan para entrenar modelos. No encontré ningún periodo de conservación declarado, así que pregúntales antes de pasar contenido de reuniones por ahí. Aquí también se usa Custom….

Otros

OVHcloud AI Endpoints y Aleph Alpha también son europeos. Mientras escribía esto no pude confirmar en fuentes primarias sus condiciones actuales ni su compatibilidad de API, así que no están en la tabla.

Proveedores de EE. UU.

OpenAI y Anthropic tienen preajuste en Autorec. Sus condiciones por defecto para la API son mejores de lo que la gente cree. La cuestión abierta es la transferencia a EE. UU., no el entrenamiento.

OpenAI: su documentación dice que los datos de la API no se usan para entrenar sus modelos salvo que tú lo actives, y que los registros de vigilancia de abusos se conservan por defecto hasta 30 días. La Zero Data Retention requiere aprobación previa. La residencia de datos en la UE (el prefijo eu.api.openai.com) es un ajuste de proyecto y viene con condiciones, como Zero Data Retention o una vigilancia de abusos modificada, y no todos los modelos la admiten.
Anthropic: su centro de privacidad dice que las entradas y salidas de los usuarios de la API se borran del backend en un plazo de 30 días, y que las entradas y salidas de los productos comerciales no se usan para entrenar por defecto. Su contrato de encargo con Cláusulas Contractuales Tipo se incorpora automáticamente a las Commercial Terms. No pude confirmar una opción de tratamiento exclusivamente en la UE, así que no afirmo que exista.

De un vistazo

Proveedor	Región de tratamiento	Conservación	Entrenamiento	Contrato de encargo
Mistral	UE por defecto; endpoint de EE. UU. opcional	ZDR bajo solicitud en planes de pago; periodo por defecto no indicado en las páginas que revisé	Interruptor de exclusión en Studio; el plan gratuito puede usarse	Addendum publicado
Scaleway	París, Francia	No guarda prompts; hasta dos semanas para investigar averías	No se usa	Condiciones de encargado en la política de privacidad y las condiciones de IA
IONOS	Alemania (Berlín)	No indicada	Nunca se usa, según IONOS	No revisado
OpenAI	EE. UU.; residencia en la UE opcional con condiciones	Hasta 30 días (registros de abusos); ZDR previa aprobación	No se usa salvo que lo actives	No revisado
Anthropic	No consta como solo UE	Se borra en 30 días	No por defecto	Incorporado en las Commercial Terms

«No revisado» significa que no lo leí, no que no exista.

Las pasarelas añaden una parte más

Un agregador como OpenRouter delante de un modelo convierte también al agregador en encargado del tratamiento, además de la empresa que ejecuta el modelo. Puedes restringirlo, incluso con opciones por petición como el indicador de retención cero de OpenRouter, que puedes fijar en Extra request fields (JSON). Nuestro artículo sobre privacidad en OpenRouter repasa los ajustes. Si lo que buscas es un rastro documental limpio, un único contrato directo con un proveedor europeo es más fácil de documentar que una capa de enrutamiento.

Cuándo lo local es mejor respuesta

Un endpoint en la UE reduce el riesgo. Un modelo en tu propia máquina elimina al encargado del tratamiento por completo: sin proveedor, sin contrato de encargo, sin transferencia, sin pregunta sobre conservación. Para reuniones con datos de salud, secreto profesional, asuntos de RR. HH. o cualquier cosa bajo un acuerdo de confidencialidad estricto con un cliente, suele ser la decisión más fácil de defender.

El precio es el hardware y la calidad. Un modelo pequeño en un portátil escribe un resumen más tosco que uno grande alojado, y las transcripciones largas van lentas. Nuestra guía de LLM local explica cómo apuntar Autorec a Ollama o LM Studio.

Un reparto razonable:

reuniones internas rutinarias: un endpoint alojado en la UE con el entrenamiento desactivado y un contrato de encargo firmado
reuniones delicadas: un modelo local, o ningún resumen y solo la transcripción

Puedes cambiar de proveedor en Ajustes cuando quieras, y los resúmenes se generan grabación a grabación, así que el reparto no tiene por qué ser todo o nada.

Lista de comprobación breve

Elige el proveedor y acepta su contrato de encargo en la cuenta cuya clave vas a usar.
Confirma el ajuste de entrenamiento en esa cuenta concreta, no en general.
Solicita Zero Data Retention si el proveedor la ofrece y tu nivel de riesgo lo pide.
Informa a los participantes de que un proveedor de IA trata la transcripción. Tu aviso de grabación debería nombrar la categoría de encargado.
Anota el proveedor en tu registro de actividades de tratamiento.
Deja desactivado Resumir automáticamente tras la transcripción en las reuniones que quieras revisar antes.

Autorec mantiene el audio en tu máquina y te enseña exactamente qué texto sale de ella. Los contratos y la política te tocan a ti. Para la parte de la grabación, consulta la guía de RGPD y HIPAA, y para saber por qué no usamos bots en las reuniones, el artículo sobre grabar sin bot.