Il problema che nessuno vuole guardare
Se sei un avvocato in Spagna, in Francia o in Germania e usi per le riunioni con i clienti uno strumento di trascrizione ospitato fuori dall’UE, c’è una conversazione che probabilmente non hai ancora avuto con il tuo DPO: dove risiedono fisicamente i dati mentre vengono elaborati.
Non è marketing. È ciò che dicono i loro accordi sul trattamento dei dati (DPA) e le loro pagine dei sub-responsabili.
Cosa è cambiato ad aprile 2026: la guida dell’AEPD sulla trascrizione con IA
Il 20 aprile 2026, l’Agenzia spagnola per la protezione dei dati (AEPD) ha pubblicato una guida specifica sulla conformità al GDPR degli strumenti di trascrizione automatica con IA. In breve, richiede quattro cose:
- Consenso specifico per sessione. Un avviso generico all’iscrizione al servizio non costituisce un consenso valido. Ogni registrazione richiede un’accettazione esplicita.
- Il diritto di accesso vale anche per le registrazioni con più interlocutori. Non si può negare l’accesso a un interessato con la scusa di proteggere i dati di terzi presenti nello stesso audio.
- Due diligence obbligatoria sul fornitore. Il titolare del trattamento (= l’azienda o il professionista che registra) deve documentare che il fornitore di trascrizione offre informazioni chiare sui trattamenti aggiuntivi e su dove risiedono fisicamente i dati.
- Trascrizione ≠ funzionalità tecnica. È un trattamento di dati personali con una governance continua, non un’utilità tecnica a basso rischio.
Questo cambia le regole in Spagna. I bot per riunioni statunitensi sono passati da "zona grigia" a "due diligence non superata" con una sola pubblicazione ufficiale.
Perché conta: Schrems II è ancora in vigore
Nel luglio 2020 la CGUE ha invalidato il Privacy Shield UE-USA (C-311/18). Da allora, trasferire dati personali europei verso gli Stati Uniti richiede:
- Clausole contrattuali tipo (SCC) firmate con il fornitore.
- Valutazione d’impatto del trasferimento (TIA) che documenti i rischi.
- Misure tecniche aggiuntive (cifratura end-to-end, pseudonimizzazione) dove applicabili.
L’EU-US Data Privacy Framework (successore del Privacy Shield, in vigore dal 2023) è un meccanismo valido ma fragile: NOYB e altri stanno facendo causa per invalidarlo, come è già successo alle due versioni precedenti. Costruire la tua conformità su di esso è costruire sulla sabbia.
Essere conformi è difficile. Le autorità spagnole hanno sanzionato aziende per aver trasferito dati negli Stati Uniti senza queste garanzie (Risoluzione AEPD PS-00121/2023).
Per uno studio legale, il contenuto di una riunione con un cliente è informazione coperta dal segreto professionale. Elaborarlo in una giurisdizione straniera senza le garanzie di Schrems II è un doppio rischio: normativo e deontologico.
Cosa chiedere a qualsiasi fornitore
Avere un DPA è necessario ma non sufficiente. La domanda è dove risiedono fisicamente i dati durante l’elaborazione. Prima di usare uno strumento con le riunioni dei clienti, chiedi per iscritto la regione di hosting, l’elenco dei sub-responsabili e se esiste un’opzione di residenza nell’UE (alcuni siti non la menzionano o la limitano a certi piani). Nei confronti raccogliamo ciò che ogni strumento dichiara sul proprio sito ufficiale, con la fonte e la data di verifica.
Come lo fa AudioMap
AudioMap è progettato in modo diverso: UE-first per architettura, non per configurazione.
- Archiviazione: Cloudflare R2 con giurisdizione UE esplicita (non globale, che instrada verso gli Stati Uniti).
- Trascrizione: AssemblyAI tramite il suo endpoint europeo (`api.eu.assemblyai.com`).
- Whisper locale come alternativa: sidecar self-hosted su Hetzner DE (faster-whisper large-v3-turbo). Nemmeno un byte lascia la Germania se AssemblyAI non risponde.
- Modelli linguistici: Google Vertex AI in `europe-west1` (Paesi Bassi).
- Worker e database: server Hetzner dedicato in Germania (Falkenstein).
- Sentry: regione UE.
Elenco pubblico dei sub-responsabili · Politica di sovranità dei dati · Conformità AEPD aprile 2026.
Come soddisfiamo i 4 requisiti dell’AEPD
- Consenso specifico per sessione: ogni nota o registrazione chiede un consenso esplicito prima del caricamento. Registro di audit immutabile con IP + User Agent + versione del testo legale + timestamp nel database. Tipi di consenso separati (audio_storage, processing, marketing, third_party_sharing, biometric_data, recording_party_acknowledgement) ai sensi degli artt. 7 e 9 del GDPR.
- Diritto di accesso con più interlocutori: l’utente può accedere alle proprie note, esportarle ed eliminarle. Stiamo costruendo l’endpoint pubblico perché i terzi non utenti (un partecipante registrato senza account) possano chiedere direttamente la cancellazione, senza passare dall’organizzatore.
- Due diligence sul fornitore: documentazione pubblica di ogni sub-responsabile con la sua giurisdizione reale. Vertex UE + AssemblyAI UE + R2 UE + Hetzner DE. Whisper locale elimina del tutto la dipendenza dal cloud, se ti serve.
- Trascrizione = trattamento: politica esplicita "non addestriamo modelli con i tuoi contenuti", conservazione di 30 giorni dopo la chiusura dell’account, base giuridica documentata (contratto + consenso + legittimo interesse per ogni operazione).
Cosa non facciamo
Non abbiamo un bot che entra nella videochiamata per registrare. Non promettiamo la "registrazione silenziosa" come proposta di valore. Non elaboriamo le voci negli Stati Uniti per poi dire che "rispettiamo il GDPR". Non usiamo l’OAuth di Google Calendar per entrare automaticamente nelle tue riunioni.
Se ti suona familiare
Se gestisci uno studio legale, una clinica o una consulenza fiscale in Spagna e ti serve trascrizione + analisi con IA delle riunioni con i clienti senza il rischio dei trasferimenti internazionali, prova AudioMap. La prima ora è gratuita, senza carta. E se lo porti in produzione, firmiamo DPA con le clausole standard dell’articolo 28 del GDPR.
---
Fonti citate: - Guida dell’AEPD sulla trascrizione automatica della voce, 20 aprile 2026. - Schrems II: CGUE C-311/18 (16 luglio 2020). - Risoluzione AEPD PS-00121/2023 (trasferimenti internazionali senza SCC). - Art. 542 LOPJ: segreto professionale dell’avvocato spagnolo. - GDPR artt. 6, 7, 9, 12-22, 28, 33-34, 35.
Pronto a provarlo?
Registra la tua prossima riunione e ottieni un riepilogo operativo in pochi secondi.
Inizia gratisContinua a leggere
Vedi tutti →La lezione che hai registrato e non hai mai riascoltato: come riassumere una lezione registrata
Registrare la lezione richiede un pulsante. Riascoltarla richiede i novanta minuti che non hai. Ecco come una registrazione di novanta minuti diventa appunti con concetti, esempi, bibliografia e una mappa mentale, senza riascoltare.
8 minCome conservare un’intervista familiare: la vita di tua nonna non sta in un vocale di WhatsApp
Hai registrato tua nonna che racconta la sua infanzia e il file vive in una chat che un giorno verrà svuotata. Ecco come quella registrazione diventa qualcosa che puoi leggere, cercare per nome, guardare con i sottotitoli e condividere con la famiglia senza perderne il controllo.
8 minIl consulente che ha smesso di ripetere la stessa revisione quindici volte: un modello di revisione fiscale con IA
Quindici revisioni trimestrali in tre settimane, tutte simili e nessuna uguale. Il problema non è ricordare cosa è stato detto: è ricordare a chi. Ecco come ogni sessione finisce documentata, con la sua nota legale e i suoi dati in Europa.
8 minImporta un video di YouTube nelle tue note, direttamente dal link
Un intervento di novanta minuti su YouTube non è contenuto: è materiale di lavoro che non puoi citare. Incolla il link e finisce nel tuo quaderno come un’altra nota, con trascrizione, analisi e risposte che citano il minuto esatto.
7 minCondividere le note di un podcast in gruppo: il club che ha smesso di litigare su ciò che nessuno ricordava bene
Sei persone ascoltano la stessa puntata separatamente e quando si incontrano discutono di tre versioni diverse di ciò che ha detto l’ospite. Una libreria condivisa con trascrizioni e citazioni con timestamp cambia tutta la conversazione.
8 minModalità Team: tenere il sapere delle riunioni quando le persone se ne vanno
In un team, quello che si è detto in una riunione vive nella testa e nell’account di chi c’era. Il giorno in cui quella persona se ne va, se ne va tutto con lei. La modalità Team di AudioMap esiste perché questo smetta di succedere.
9 min