Guida AEPD di aprile 2026 per le aziende che registrano riunioni: cosa è cambiato e cosa devi fare

Cosa è cambiato

Il 20 aprile 2026, l’Agenzia spagnola per la protezione dei dati (AEPD) ha pubblicato una guida specifica sulla conformità al GDPR degli strumenti di trascrizione vocale automatica con IA. È la seconda in quattro mesi (la prima era di gennaio 2026) e la combinazione delle due traccia una linea chiara per qualsiasi azienda o professionista che usi l’IA per trascrivere riunioni, chiamate o qualsiasi altro audio con dati personali.

Se registri riunioni con clienti, pazienti, consulenti, candidati o dipendenti, questa guida ti riguarda. Non è facoltativa.

Perché adesso

L’adozione di strumenti di trascrizione e di appunti con IA è cresciuta molto negli ultimi 18 mesi. L’AEPD vede due problemi paralleli:

1. Adozione acritica. La maggior parte dei professionisti e delle aziende che usano questi strumenti non ha fatto la due diligence su dove vengono elaborati i dati, con cosa vengono addestrati o come si gestiscono i diritti degli altri partecipanti alla registrazione.
2. Prodotti progettati negli Stati Uniti per il mercato statunitense. I principali attori sono pensati per giurisdizioni con il consenso di una sola parte (la California è l’eccezione). Il modello "bot che entra da solo con opt-out via email un’ora prima" non rispetta gli standard europei di consenso specifico e informato.

La guida non vieta questi strumenti. Chiarisce cosa deve fare l’azienda o il professionista che li usa per evitare di commettere una violazione.

I quattro requisiti, spiegati

1. Consenso specifico per sessione

Cosa dice l’AEPD: il consenso deve essere specifico per ogni sessione di registrazione. Un avviso generico all’iscrizione al servizio ("usando questo prodotto accetti che le tue riunioni vengano registrate") non costituisce un consenso valido. Ogni registrazione è un atto di trattamento a sé.

In pratica: - Non basta che tu, come organizzatore, abbia accettato i termini del servizio. Devi verificare che ogni partecipante a ogni riunione sia d’accordo che quella specifica riunione venga registrata. - Il consenso deve essere precedente alla registrazione, non successivo. Avvisare "questa chiamata è in registrazione" dopo 30 secondi è problematico. - Il consenso deve essere documentato. Se ti chiedono "dimostra che il cliente X ha acconsentito alla registrazione l’11 marzo alle 16:00", devi poter mostrare la prova.

Come rispettarlo: - Procedura documentata prima di ogni riunione. Una frase precisa, non parafrasata: "questa riunione verrà registrata e trascritta con AudioMap. Sei d’accordo?". Registra la risposta. - Se usi un bot che entra in automatico: verifica che il flusso di opt-out via email funzioni, che non dipenda solo dall’email (e se il partecipante non la apre?) e che venga segnalato anche all’inizio della sessione. - Se usi l’acquisizione intenzionale (carichi tu l’audio): chiedi il consenso esplicito prima di iniziare. AudioMap lo registra in un registro di audit immutabile (IP + User Agent + versione + timestamp) ogni volta che accetti la finestra di consenso.

2. Diritto di accesso anche nelle registrazioni con più interlocutori

Cosa dice l’AEPD: il diritto di accesso previsto dall’art. 15 del GDPR vale anche quando la registrazione contiene più interlocutori. Non puoi negare l’accesso a un interessato con la scusa di proteggere i dati personali degli altri partecipanti.

In pratica: - Se un partecipante alla riunione ti chiede l’accesso ai "suoi dati" e la registrazione include altre voci, non puoi rifiutare in nome della privacy degli altri. - Devi consegnare almeno la parte di trascrizione che gli appartiene, o documentare perché non è tecnicamente possibile. - Vale anche per la portabilità (art. 20), la rettifica (art. 16), la cancellazione (art. 17) e l’opposizione (art. 21).

Come rispettarlo: - Il tuo strumento di trascrizione deve supportare una diarizzazione ragionevolmente buona (separazione per interlocutore). Senza diarizzazione, la conformità è quasi impossibile. - Procedura interna chiara: quando ricevi una richiesta di accesso da un interessato, entro un mese (art. 12.3 del GDPR), consegna la parte che lo riguarda. - Se registri riunioni con terzi che non sono tuoi utenti (clienti, candidati, pazienti), ti serve un canale perché LORO possano chiederti l’accesso direttamente, senza passare dallo strumento. AudioMap sta costruendo questo endpoint pubblico.

3. Due diligence sul fornitore

Cosa dice l’AEPD: il titolare del trattamento (l’azienda o il professionista che registra) deve documentare la due diligence nella scelta del fornitore di trascrizione. Questo include: giurisdizione reale dell’elaborazione, sub-responsabili, politica di conservazione, politica di addestramento dei modelli.

In pratica: - "Hanno un DPA" non è una risposta sufficiente. Devi saper spiegare cosa dice il DPA, quali sub-responsabili usano e cosa succede al tuo audio in ogni fase. - "Aderiscono all’EU-US Data Privacy Framework" non è una risposta sufficiente nemmeno questa. Il framework è valido oggi, ma NOYB sta facendo causa per invalidarlo (è il terzo tentativo: i due precedenti sono caduti). Costruire la tua conformità su di esso è costruire sulla sabbia. - Ti serve una valutazione d’impatto del trasferimento (TIA) per ogni sub-responsabile con sede negli Stati Uniti. L’AEPD ha sanzionato aziende che avevano firmato le SCC ma non avevano una TIA documentata.

Come rispettarlo: - Chiedi al fornitore l’elenco pubblico dei sub-responsabili. Se non ce l’ha o non vuole fornirlo, hai già la tua risposta. - Chiedi la politica di conservazione per iscritto. "30 giorni" non è lo stesso di "indefinito per backup/motivi legali". - Chiedi la politica di addestramento. "Non addestriamo sui tuoi contenuti" deve stare per contratto nel DPA, non solo nel marketing. - Valuta i fornitori europei. AudioMap elabora al 100% in territorio UE (Hetzner DE + AssemblyAI UE + Vertex UE + R2 UE) e pubblica tutto: /legal/subprocessors, /legal/data-residency, /legal/aepd-compliance.

4. Trascrizione ≠ funzionalità tecnica

Cosa dice l’AEPD: la trascrizione non è un’utilità tecnica a basso rischio. È un trattamento di dati personali con governance continua, trasparenza chiara e garanzie proattive.

In pratica: - Ti serve una DPIA (valutazione d’impatto sulla protezione dei dati, art. 35 del GDPR) se il trattamento è ad alto rischio. Registrare riunioni con clienti/pazienti lo è: ci sono più interlocutori, dati potenzialmente sensibili ed elaborazione automatizzata con IA. - Ti serve un registro delle attività di trattamento (art. 30 del GDPR) che includa la trascrizione con IA come attività documentata. - Ti serve una politica di conservazione scritta e applicata (non "conserviamo quello che vuole il fornitore"). - Ti serve un flusso di notifica delle violazioni (art. 33 del GDPR, 72 ore) che includa lo scenario "fuga di dati dal fornitore di trascrizione".

Come rispettarlo: - DPIA: se non sai come farla, assumi un DPO esterno. Si parte da 80 euro all’ora. Una DPIA ben fatta sulla trascrizione con IA sta in 4-6 pagine. - Registro delle attività: aggiungi una voce concreta "Trascrizione automatica delle riunioni con i clienti" con base giuridica, finalità, categorie di dati, tempi di conservazione. - Politica di conservazione: documenta quanto conservi tu e quanto conserva il fornitore. AudioMap conserva 30 giorni dopo la chiusura dell’account e pubblica questo impegno in /privacy.

Cosa NON cambia

La guida dell’AEPD non vieta la trascrizione con IA. Non obbliga a usare strumenti europei. Non annulla i DPA già firmati. Quello che fa è alzare l’asticella di ciò che conta come "uso conforme" in Spagna.

Le aziende che avevano già un programma di conformità maturo (consenso registrato, DPIA, gestione procedurale delle richieste degli interessati, gestione dei fornitori) sono ben posizionate per continuare come prima. Chi dava per scontato che "avere un DPA" bastasse ha del lavoro da fare.

Possibili sanzioni

L’AEPD può sanzionare le inadempienze con multe fino al 4% del fatturato annuo mondiale o a 20 milioni di euro, se superiore (art. 83 del GDPR). In pratica, le sanzioni alle medie imprese spagnole per questioni legate a trascrizione e registrazione vanno da 5.000 a 200.000 euro, a seconda della gravità e della collaborazione con l’ispettore.

Più rilevante della multa potenziale è il costo reputazionale e il disagio operativo di un’ispezione dell’AEPD. Se la tua attività dipende dalla fiducia dei clienti (consulenza fiscale, studio legale, clinica), un’ispezione aperta è già un problema prima di qualsiasi risoluzione.

Come lo rispetta AudioMap

AudioMap mappa i quattro requisiti punto per punto. La pagina /legal/aepd-compliance li dettaglia con approfondimenti tecnici. In sintesi:

1. Consenso specifico: consenso per nota + registro di audit immutabile + tipi separati (artt. 7 e 9 del GDPR).
2. Accesso con più interlocutori: dashboard utente + endpoint pubblico per terzi in costruzione + diarizzazione a livello di interlocutore.
3. Due diligence sul fornitore: elaborazione al 100% nell’UE, sub-responsabili pubblici, Whisper locale come alternativa per eliminare la dipendenza dal cloud.
4. Governance continua: DPIA in costruzione, conservazione di 30 giorni, flusso di notifica delle violazioni entro 72 ore, sub-responsabili con preavviso dei cambiamenti.

Prossimo passo

Se gestisci una consulenza fiscale, uno studio legale, una clinica o una società di consulenza in Spagna e non hai ancora verificato la conformità della tua trascrizione con IA rispetto a questa guida, ti consiglio di:

1. Audit rapido (2 ore): elenco degli strumenti di IA che usi, dove elaborano, quale consenso ottieni.
2. Interventi rapidi (1 settimana): registro del consenso per riunione, politica scritta sull’intranet, elenco dei DPA firmati.
3. Lavoro di fondo (1 mese): DPIA, TIA, procedura per le richieste degli interessati.
4. Cambio di fornitore, se necessario (nei prossimi 3 mesi): se il tuo strumento attuale elabora negli Stati Uniti e tratti dati sensibili, valuta un’alternativa europea.

Se AudioMap fa al caso tuo, provalo gratis o parla con noi. Firmiamo DPA ai sensi dell’art. 28 del GDPR lo stesso giorno.

---

Fonti: - Guida dell’AEPD sulla trascrizione vocale automatica, 20 aprile 2026. - Regolamento generale sulla protezione dei dati (GDPR), artt. 6, 7, 9, 12-22, 28, 30, 33-34, 35, 83. - Sentenza Schrems II, CGUE C-311/18, 16 luglio 2020. - Risoluzione AEPD PS-00121/2023.