La trascrizione con IA è conforme al GDPR?

Non appena l'audio contiene le voci di persone identificabili – cosa che accade quasi sempre – si trattano dati personali ai sensi del GDPR. Se si utilizza anche la diarizzazione dei parlanti, entrano in gioco dati biometrici (Art. 4 Nr. 14 GDPR), che innalzano ulteriormente i requisiti.

Cosa richiede concretamente la conformità al GDPR:

1. Base giuridica. Di solito il consenso (Art. 6 Abs. 1 lit. a) o il legittimo interesse (lit. f) previa ponderazione. In ambito lavorativo, spesso un accordo con il comitato aziendale (§ 26 BDSG in combinato disposto con l'Art. 88 GDPR).

2. Contratto di trattamento dei dati (DPA). Chiunque utilizzi un servizio di trascrizione esterno deve stipulare un DPA ai sensi dell'Art. 28 Abs. 3 GDPR. Il contratto deve specificare, tra l'altro, oggetto, durata, natura e finalità del trattamento, categorie di dati, nonché obblighi e diritti di entrambe le parti.

3. Archiviazione dei dati nell'UE. I dati possono essere trattati solo nell'UE o in Paesi con una decisione di adeguatezza. I fornitori statunitensi sono delicati dalla sentenza Schrems II – anche l'EU-US Data Privacy Framework del 2023 resta sotto osservazione giuridica. Via più sicura: fornitori con server in Germania o nell'UE.

4. Divieto di uso per l'addestramento. Il contratto deve escludere esplicitamente che i tuoi dati audio o testuali vengano usati per addestrare i modelli di IA del fornitore. In molte API cloud statunitensi questo non è garantito nelle condizioni standard.

5. Tempi di cancellazione. L'audio dovrebbe essere cancellato al termine della trascrizione, i dati testuali dopo un periodo di conservazione definito. Il principio GDPR di limitazione della conservazione (Art. 5 Abs. 1 lit. e) impone di non conservare più dati del necessario.

6. Misure tecniche e organizzative (MTO). Crittografia a riposo e in transito, controlli degli accessi, registri di audit, certificazione ISO 27001 del data center – standard ai sensi dell'Art. 32 GDPR.

7. Diritti degli interessati. Accesso, cancellazione e portabilità devono essere tecnicamente implementati. Con i fornitori statunitensi è spesso un problema pratico.

DeepScript soddisfa tutti questi punti: modello di DPA disponibile online, infrastruttura esclusivamente sui propri server in data center tedeschi (Hetzner Falkenstein/Nürnberg), nessun addestramento sui dati dei clienti, audio cancellato dopo l'elaborazione, infrastruttura certificata ISO 27001.

Importante: \"conforme al GDPR\" non è una certificazione, ma una proprietà che nasce dall'interazione di contratto, tecnica e processi. Chi fa sul serio esamina il DPA, l'elenco dei sub-responsabili e la documentazione tecnica del fornitore – non solo il banner di marketing.