I migliori software di trascrizione conforme al GDPR in Europa (2026): 8 strumenti verificati

Le informazioni su ciascun fornitore sono state verificate sulle sue pagine ufficiali il 9 novembre 2026. Prezzi e policy cambiano, quindi segui i link prima di acquistare.

La registrazione di un'intervista, di una lezione o di una chiamata con un cliente è un dato personale. Quando la carichi su un servizio di trascrizione, quel servizio diventa il tuo responsabile del trattamento, e tu, in quanto titolare del trattamento, hai il compito di sceglierlo con attenzione. Se cerchi una trascrizione conforme al GDPR, i bollini «GDPR-compliant» sulle landing page non ti dicono molto. I documenti che ci stanno dietro sì.

In breve:

• Per la configurazione solo UE più rigorosa, con documentazione pubblicata: Good Tape (Danimarca) — sub-responsabili solo nell'UE, un DPA nel tuo account, ISO 27001.
• Per sottotitoli, traduzione e trascrizione in un unico strumento ospitato nell'UE, con un budget ridotto: BlaBlaScribe (Polonia, server in Germania).
• Per team accademici e della pubblica amministrazione che hanno bisogno di certificazioni ISO e di trascrizione umana: Amberscript (Paesi Bassi).
• Per il controllo totale, se hai degli ingegneri: Whisper in self-hosting.

Trasparenza: BlaBlaScribe è il nostro prodotto. Per mantenere equo questo confronto abbiamo valutato ogni strumento, compreso il nostro, con gli stessi nove controlli, abbiamo collegato ogni affermazione ai documenti del fornitore stesso e abbiamo elencato le nostre lacune.

Risposta rapida: i software di trascrizione conformi al GDPR a colpo d'occhio

«Non pubblicato» o «non indicato» significa che non l'abbiamo trovato nelle pagine pubbliche del fornitore. Non vuol dire che il fornitore ne sia privo. Chiedi prima di acquistare.

Cosa significa davvero «conforme al GDPR» per uno strumento di trascrizione

Nessuno strumento è «conforme al GDPR» di per sé. La conformità dipende da come lo usi tu. Uno strumento può renderla facile o difficile. Ecco cosa conta dal punto di vista legale.

Tu sei il titolare, lo strumento è il tuo responsabile del trattamento (art. 28)

In base all'articolo 28 del GDPR puoi ricorrere solo a un responsabile che presenti «garanzie sufficienti», e deve esserci un contratto, l'accordo sul trattamento dei dati (DPA), che stabilisca cosa il responsabile può fare con i dati, le sue misure di sicurezza, i suoi sub-responsabili e la cancellazione al termine del servizio. Le Linee guida 07/2020 dell'EDPB sui concetti di titolare e responsabile del trattamento lo spiegano nel dettaglio.

In pratica: se per lavoro trascrivi la voce di altre persone (intervistati, candidati, clienti, partecipanti a una ricerca), ti serve un DPA con il tuo fornitore di trascrizione. I fornitori più semplici da gestire lo pubblicano o ti permettono di accettarlo nel tuo account.

L'hosting nell'UE è obbligatorio? No, ma ti toglie un intero livello di lavoro

Il GDPR non impone che i dati restino nell'UE. I trasferimenti al di fuori del SEE sono consentiti se esiste una decisione di adeguatezza (il Regno Unito ne ha una, rinnovata a dicembre 2025 fino al 2031), una certificazione nell'ambito del Data Privacy Framework UE-USA oppure clausole contrattuali standard (SCC) accompagnate da una valutazione d'impatto del trasferimento.

Il DPF è in vigore, ma un ricorso contro di esso è in appello davanti alla Corte di giustizia dell'UE (causa C-703/25 P), e diverse autorità europee hanno consigliato alle aziende di tenere pronto un piano di uscita. Uno strumento ospitato nell'UE con sub-responsabili solo nell'UE evita del tutto la questione.

Un'altra sfumatura: «ospitato nell'UE» riguarda dove si trovano i dati, non chi può essere obbligato a consegnarli. Un fornitore con una capogruppo statunitense può comunque essere soggetto alla legge USA (come il CLOUD Act) per i dati che conserva a Francoforte. Se per te conta, verifica la struttura societaria, non solo il data center.

Una registrazione vocale è un «dato biometrico»?

Alcuni articoli sostengono che ogni registrazione vocale sia un dato biometrico ai sensi del GDPR. È un'esagerazione. L'articolo 4, punto 14 definisce i dati biometrici come dati personali ottenuti da un trattamento tecnico specifico che consente o conferma l'identificazione univoca di una persona, e l'articolo 9 li limita quando sono trattati per identificare in modo univoco qualcuno.

Trasformare il parlato in testo non fa questo. Una registrazione resta un dato personale, e il suo contenuto può includere categorie particolari di dati (salute, opinioni politiche, religione). Ma la semplice trascrizione non la rende biometrica. La clonazione della voce è un'altra cosa: un modello vocale costruito da un campione può identificare una persona, ed è per questo che gli strumenti che offrono la clonazione dovrebbero prima chiedere un consenso esplicito.

Dove entra in gioco l'AI Act dell'UE

La trascrizione vocale non è un sistema ad alto rischio ai sensi dell'AI Act dell'UE. Ma l'articolo 5, paragrafo 1, lettera f) vieta dal 2 febbraio 2025 di inferire le emozioni sul luogo di lavoro e negli istituti di istruzione, salvo per motivi medici o di sicurezza. Se il tuo strumento per riunioni o colloqui offre punteggi di «sentiment» o di «emozione» su candidati o dipendenti, disattiva quella funzione.

Come abbiamo valutato gli strumenti: una checklist in 9 punti

Abbiamo usato solo ciò che ogni fornitore pubblica: informativa sulla privacy, pagina sulla sicurezza, DPA, elenco dei sub-responsabili e prezzi. Non abbiamo interpellato i team commerciali, perché anche il tuo DPO partirà dai documenti pubblici.

1. DPA pubblico (art. 28). Puoi scaricarlo o accettarlo nel tuo account, oppure devi chiederlo?
2. Provider di hosting e regione indicati per nome. «Server nell'UE» è un'affermazione; «AWS eu-central-1» è verificabile.
3. Elenco pubblicato dei sub-responsabili. Chi altro mette le mani sul tuo audio o sul tuo testo?
4. Meccanismo di trasferimento per ogni responsabile extra UE: adeguatezza, DPF o SCC.
5. Il tuo audio finisce a un fornitore di AI terzo? Molti strumenti rivendono il modello vocale di un'altra azienda.
6. Nessun addestramento sui dati dei clienti, scritto nell'informativa sulla privacy o nel DPA, non solo in una pagina di marketing.
7. Conservazione e cancellazione predefinite, backup compresi.
8. Certificazione indipendente (ISO 27001, SOC 2) e relativo ambito.
9. Entità giuridica nell'UE e autorità di controllo capofila, così sai a chi rivolgerti per un reclamo.

Indichiamo anche prezzo, piano gratuito e numero di lingue. Per l'accuratezza, fai una prova con le tue registrazioni; leggi la nostra guida su come si misura l'accuratezza della trascrizione (WER).

Gli 8 strumenti, verificati uno per uno

Gli strumenti qui sotto non sono in classifica. Sono raggruppati in base a ciò per cui sono più adatti.

1. BlaBlaScribe — ideale per trascrizione, sottotitoli e traduzione in un unico strumento ospitato nell'UE

• Chi c'è dietro: Vindrose sp. z o.o., Breslavia, Polonia. Entità UE; l'autorità capofila è l'UODO polacco. (Informativa sulla privacy)
• Dove va il tuo audio: trascrizione, generazione dei sottotitoli e separazione voce/musica girano sui server propri di BlaBlaScribe, ospitati da Hetzner Online GmbH in Germania. L'audio non viene inviato a fornitori di AI terzi. Due funzioni facoltative inviano testo: la traduzione e i riepiloghi AI inviano il testo della trascrizione all'API di Google Gemini, e il doppiaggio AI invia il copione del voice-over a ElevenLabs (più un campione di voce solo se crei un clone della voce, con consenso esplicito). (Pagina sicurezza)
• Documentazione GDPR: un accordo sul trattamento dei dati pubblico si applica automaticamente quando accetti i Termini, senza bisogno di firma. Un elenco dei sub-responsabili mostra cosa riceve ciascun fornitore e dove; le modifiche vengono annunciate su quella pagina. I trasferimenti extra UE si basano sulle SCC o sul DPF. Notifica delle violazioni entro 48 ore; i dati vengono cancellati quando elimini l'account, e i backup si rinnovano entro 30 giorni.
• Crittografia: in transito (HTTPS). I file sono conservati sui server propri di BlaBlaScribe in Germania; i dischi di archiviazione non sono crittografati.
• Nessun addestramento: i file non vengono «mai usati per addestrare l'AI», né da BlaBlaScribe né dai suoi fornitori.
• Conservazione: trascrizioni, sottotitoli e traduzioni restano finché non li elimini. I file multimediali originali vengono conservati 30 giorni sul piano gratuito; sui piani a pagamento, finché l'abbonamento è attivo e poi per 60 giorni (Creator), 9 mesi (Pro) o 12 mesi (Business) dopo la disdetta, con promemoria via email prima della cancellazione. Puoi eliminare i file in qualsiasi momento.
• Certificazioni: nessuna per ora.
• Prezzo: 30 minuti gratuiti una tantum, senza carta. Creator $14/mese (600 min), Pro $43/mese, Business $99/mese; circa il 20% in meno con fatturazione annuale. Oltre 120 lingue, traduzione in oltre 50, doppiaggio in 27. (Prezzi)
• Attenzione a: niente ISO 27001 né SOC 2 per ora, e nessuna crittografia a riposo. Se usi la traduzione o i riepiloghi AI, il testo della trascrizione va a un responsabile con sede negli USA (Google), quindi tieni disattivate queste funzioni per il materiale sensibile se vuoi un percorso solo UE. Nessuna API pubblica.

2. Happy Scribe — ideale per i team di sottotitolaggio che vogliono anche la revisione umana

• Chi c'è dietro: Happy Scribe Limited, Dublino, Irlanda. (Privacy)
• Dove va il tuo audio: AWS e Heroku, con il data center «nell'Unione europea»; nessuna regione indicata. OpenAI e Anthropic sono citati nell'informativa sulla privacy per l'assistente AI e i connettori. Il motore di trascrizione principale non è indicato. (Sicurezza, Privacy)
• Documentazione GDPR: l'informativa sulla privacy cita un DPA ma non spiega come ottenerlo; la pagina sulla sicurezza invita a contattarli. I sub-responsabili sono elencati su un trust portal con notifica delle modifiche. I trasferimenti si basano su SCC, DPF o altri meccanismi degli artt. 45/46.
• Addestramento: è questa la riserva principale. L'informativa sulla privacy descrive un consenso opt-in al momento della registrazione; con il consenso, i contenuti de-identificati possono essere concessi in licenza o condivisi con terzi per l'addestramento di modelli. Assicurati che quella casella resti deselezionata negli account di lavoro.
• Conservazione: i file eliminati sono recuperabili per 10 giorni, poi vengono cancellati definitivamente. Gestione dei backup non indicata.
• Certificazioni: SOC 2 Type 2 (ambito non indicato). La ISO 27001 si riferisce al fornitore del data center, non a Happy Scribe stessa.
• Prezzo: piano gratuito con 10 minuti una tantum. Basic da $17/mese, oppure $8,50/mese con fatturazione annuale. Oltre 150 lingue. (Prezzi)
• Attenzione a: l'opt-in per l'addestramento, e il DPA che non si ottiene in autonomia.

3. Amberscript — ideale per università ed enti pubblici che hanno bisogno di certificazioni ISO

• Chi c'è dietro: Amberscript Global B.V., Amsterdam, con una GmbH a Berlino. (Privacy)
• Dove va il tuo audio: Google Cloud Platform a Francoforte; la pagina sulla sicurezza dice che i dati non vengono mai conservati fuori dall'Europa. «Terze parti» non nominate trascrivono ed elaborano l'audio. (Sicurezza dei dati)
• Documentazione GDPR: DPA su richiesta tramite un modulo (ricevi un PDF precompilato). Nessun elenco pubblico dei sub-responsabili. L'informativa sulla privacy dice che alcuni partner si trovano fuori dal SEE ma non indica il meccanismo di trasferimento, il che contraddice il «mai conservati fuori dall'Europa» della pagina sulla sicurezza. Chiedi loro di chiarire.
• Addestramento: l'informativa sulla privacy dice che audio e trascrizioni non vengono mai usati per addestrare i modelli linguistici in uso.
• Conservazione: per impostazione predefinita i file vengono cancellati automaticamente 6 mesi dopo il caricamento (con promemoria); puoi disattivare questa opzione. Backup non indicati.
• Certificazioni: ISO 27001 e ISO 9001 (ambito non indicato).
• Prezzo: nessun piano gratuito menzionato. Starter 19 €/mese (5 ore), a consumo 10 €/ora, trascrizione umana da 1,85 €/min. Oltre 90 lingue (automatica), oltre 18 (umana). (Prezzi)
• Attenzione a: partner AI non nominati e un quadro poco chiaro sui trasferimenti extra UE.

4. Good Tape — ideale per la configurazione solo UE più rigorosa

• Chi c'è dietro: Good Tape ApS, Copenaghen, Danimarca. (Sicurezza)
• Dove va il tuo audio: un elenco pubblicato di sub-responsabili solo nell'UE: Google (UE) e Azure (UE, per i picchi di carico) per la trascrizione, Scaleway per l'archiviazione dei file, Supabase e MongoDB per i dati dell'app. (Sub-responsabili)
• Documentazione GDPR: un DPA standard sul piano Pro e uno su misura sul piano Business, disponibili nelle impostazioni dell'account; un esempio è pubblico. (DPA) Tutti i fornitori sono nell'UE, quindi non serve alcun meccanismo di trasferimento.
• Addestramento: «non addestriamo mai nulla sui dati dei nostri utenti», scritto nella policy e nel DPA.
• Conservazione: cancellazione, backup compresi, entro 12 ore. L'impostazione predefinita è descritta in modo diverso a seconda della pagina (cancellazione dopo l'elaborazione oppure conservazione per tutto il tempo che vuoi), quindi controlla le tue impostazioni.
• Certificazioni: ISO/IEC 27001:2022, rilasciata il 30 gennaio 2026, valida fino a gennaio 2029 (ambito non indicato).
• Prezzo: prova gratuita con 1 ora di trascrizione, senza carta. Pro 16 €/mese con fatturazione annuale (20 ore al mese); Business su richiesta. Oltre 100 lingue. (Prezzi)
• Attenzione a: la pagina sulla sicurezza parla di «infrastruttura propria», ma l'elenco dei sub-responsabili mostra la trascrizione su Google e Azure (regioni UE). Fa solo trascrizione: niente stile dei sottotitoli, traduzione o doppiaggio.

5. Trint — ideale per le redazioni (con sede nel Regno Unito, tenant UE disponibile)

• Chi c'è dietro: Trint Limited, Londra. I trasferimenti dall'UE al Regno Unito sono coperti dalla decisione di adeguatezza rinnovata. (Privacy)
• Dove va il tuo audio: tenant separati UE (AWS Francoforte/Irlanda, MongoDB Atlas Irlanda) e USA. Anthropic è elencata come sub-responsabile «per uso interno». Il motore di trascrizione non è indicato.
• Documentazione GDPR: i sub-responsabili sono elencati all'interno dell'informativa sulla privacy. I trasferimenti si basano sulle SCC e sull'adeguatezza del Regno Unito. Un DPA per i clienti non è menzionato pubblicamente.
• Addestramento: la pagina sulla sicurezza dice che le registrazioni non vengono usate per addestrare i suoi algoritmi; l'informativa sulla privacy non ne parla.
• Conservazione: i contenuti restano finché non li elimini o chiudi l'account; la formulazione cambia tra informativa sulla privacy e pagina sulla sicurezza.
• Certificazioni: ISO 27001:2022 e Cyber Essentials.
• Prezzo: prova gratuita, nessun piano gratuito. Pro da 69 € per postazione al mese. Oltre 50 lingue. (Piani)
• Attenzione a: la pagina dei prezzi indica un «server dedicato con sede nell'UE» solo sul piano Business personalizzato, quindi verifica in quale tenant finiscono gli account self-serve.

6. Gladia — ideale per gli sviluppatori che hanno bisogno di un'API speech-to-text europea

• Chi c'è dietro: Gladia SAS, Roubaix, Francia. Una consociata statunitense (Gladia Inc.) è un sub-responsabile. (DPA)
• Dove va il tuo audio: OVHcloud in Francia per impostazione predefinita; alcuni servizi AWS nell'UE e negli USA. Il DPA indica come ubicazione dei dati «Europe, USA». L'elaborazione in un'unica regione è possibile con accordo scritto. I componenti aggiuntivi usano OpenAI Irlanda, Google Cloud, DeepL e altri.
• Documentazione GDPR: il DPA è una pagina web pubblica, con i sub-responsabili in un allegato. I trasferimenti si basano sulle SCC o sul DPF.
• Addestramento: sul piano Self-serve (quello con 50 € di crediti gratuiti) il tuo audio può essere usato per l'addestramento di default; l'opt-out è gratuito. Il piano Enterprise è escluso dall'addestramento. (Prezzi)
• Conservazione: non indicata per Self-serve nella pagina dei prezzi; per Enterprise è indicata la conservazione zero dei dati.
• Certificazioni: SOC 2 Type 1 e Type 2. La ISO 27001 risulta «in corso» nella pagina sulla sicurezza, anche se la homepage la dichiara.
• Prezzo: 50 € di crediti gratuiti; 0,16 € per ora di audio, fino a 0,12 € con i volumi. Oltre 100 lingue con Solaria-1.
• Attenzione a: fai l'opt-out dall'addestramento prima di inviare dati reali, e imposta tu la conservazione.

7. Sonix — documentazione solida, ma un'azienda statunitense

• Chi c'è dietro: Sonix, Inc., San Francisco. (Privacy)
• Dove va il tuo audio: AWS negli USA. I clienti Enterprise possono concordare la residenza dei dati con il team di Sonix. Fornitori di AI terzi non dichiarati. (Sicurezza)
• Documentazione GDPR: DPA disponibile nel tuo account su richiesta; trasferimenti tramite SCC; nessun elenco pubblico dei sub-responsabili; non trovata nell'elenco del DPF.
• Addestramento: i contenuti dei clienti non vengono mai usati per addestrare i suoi modelli.
• Conservazione: i contenuti restano finché non li elimini; i backup possono persistere fino a 90 giorni.
• Certificazioni: SOC 2 Type 2; HIPAA tramite un BAA.
• Prezzo: prova gratuita di 30 minuti; $10/ora a consumo o $25/mese. Oltre 54 lingue. (Prezzi)
• Attenzione a: per i piani non Enterprise i dati vengono elaborati negli USA, quindi ti servono SCC e una valutazione del trasferimento.

8. Whisper in self-hosting — ideale per il controllo totale (se hai degli ingegneri)

• Che cos'è: il modello vocale di OpenAI, rilasciato come open source con licenza MIT. Eseguilo sui tuoi server o su un cloud europeo e nessuna terza parte toccherà il tuo audio.
• Documentazione GDPR: sei tu il titolare del trattamento e il proprietario dell'infrastruttura. Sicurezza, controllo degli accessi, cancellazione e documentazione sono tutti a tuo carico.
• Se invece usi l'API ospitata di OpenAI: i dati dell'API non vengono usati per l'addestramento di default, l'endpoint di trascrizione è idoneo alla conservazione zero dei dati e la residenza dei dati nell'UE è disponibile per i progetti idonei. OpenAI è un'azienda statunitense e non risultava nell'elenco del DPF al momento della nostra verifica. (OpenAI: i tuoi dati)
• Attenzione a: niente editor, etichette dei parlanti o esportazione dei sottotitoli già pronti, e l'accuratezza varia in base alla lingua e alle dimensioni del modello. Confronta l'impegno richiesto in Whisper o strumenti di trascrizione a pagamento.

E Otter.ai, Fireflies e Rev?

Sono servizi statunitensi molto diffusi. Ognuno si può usare nel rispetto del GDPR, ma con più documentazione da gestire e meno controllo:

• Otter.ai è conforme al GDPR? Otter.ai, Inc. è certificata nell'ambito del DPF UE-USA e pubblica un DPA (nei suoi Termini) e un elenco dei sub-responsabili. La sua informativa sulla privacy dice che addestra la propria AI su audio e trascrizioni de-identificati, e l'hosting è su AWS senza alcuna residenza nell'UE dichiarata. Supporta 6 lingue. (Privacy, Sub-responsabili)
• Fireflies.ai è certificata DPF, con un DPA e un elenco dei sub-responsabili pubblicati, ma l'elaborazione avviene negli USA e la trascrizione è affidata a una terza parte (AssemblyAI). (DPA)
• Rev pubblica un DPA auto-applicativo con SCC; l'elaborazione avviene negli USA, con la trascrizione umana in parte in India. Dichiara di non addestrare modelli esterni sui tuoi contenuti, ma il suo centro assistenza descrive un opt-out dall'addestramento dei modelli vocali di Rev stessa, quindi chiedi al supporto di escluderti. (DPA, Centro assistenza)

Per le registrazioni delle riunioni, controlla anche le regole sul consenso: leggi è legale registrare una riunione nell'UE e negli USA.

Quale strumento scegliere per una trascrizione conforme al GDPR?

• Interviste accademiche con approvazione del comitato etico: Amberscript o Good Tape se il comitato etico richiede la ISO 27001; BlaBlaScribe se il budget conta e tieni disattivata la traduzione per i dati sensibili. Vedi trascrizione per ricercatori.
• Giornalismo e tutela delle fonti: Good Tape (solo UE, cancellazione rapida), oppure Whisper in self-hosting per le fonti più delicate. Vedi trascrizione per giornalisti.
• Colloqui HR e selezione del personale: qualsiasi strumento ospitato nell'UE con un DPA; disattiva le funzioni di sentiment ed emozioni (AI Act) e informa i candidati in anticipo.
• Chiamate con i clienti di agenzie o società di consulenza: Good Tape o BlaBlaScribe per l'elaborazione nell'UE; Trint se il tuo team ha sede nel Regno Unito.
• Sottotitoli e traduzione per video europei: BlaBlaScribe (trascrizione in Germania; la traduzione invia solo testo) o Happy Scribe (tieni disattivato l'opt-in per l'addestramento).
• Sviluppatori che creano un prodotto: Gladia (fai l'opt-out dall'addestramento, imposta la conservazione), oppure l'API di OpenAI con residenza dei dati nell'UE.
• Zero trust o ambienti air-gapped: Whisper in self-hosting.

Checklist GDPR prima di caricare la prima registrazione

1. Firma o accetta il DPA e salva una copia datata dell'elenco dei sub-responsabili.
2. Aggiungi il trattamento al tuo registro dei trattamenti (art. 30).
3. Valuta se ti serve una DPIA (art. 35): è probabile se le registrazioni includono dati sanitari, minori, persone vulnerabili o un monitoraggio su larga scala.
4. Informa i partecipanti o raccogli il consenso prima di registrare, e di' loro quale servizio farà la trascrizione. Vedi come trascrivere un'intervista.
5. Disattiva le funzioni AI facoltative che inviano dati a responsabili aggiuntivi se non ti servono, e fai l'opt-out dall'addestramento ovunque ci sia un'opzione.
6. Pseudonimizza: sostituisci i nomi nella trascrizione, poi elimina l'audio originale dopo averla controllata.
7. Stabilisci un periodo di conservazione e cancella gli originali alla scadenza.
8. Parla con le rappresentanze sindacali (in Germania, Paesi Bassi, Francia e altri paesi) prima di registrare i dipendenti.
9. Ricontrolla il fornitore ogni anno: sub-responsabili e meccanismi di trasferimento cambiano.

Domande frequenti

La trascrizione con l'AI è conforme al GDPR?

Può esserlo. La trascrizione con l'AI è lecita ai sensi del GDPR se hai una base giuridica per registrare, un accordo sul trattamento dei dati con il fornitore e se il fornitore protegge i dati e li trasferisce in modo lecito. Non è lo strumento da solo a renderti conforme, ma la tua configurazione.

Mi serve un DPA con il mio fornitore di trascrizione?

Sì, se trascrivi dati personali di altre persone per conto della tua organizzazione. L'articolo 28 del GDPR richiede un contratto scritto tra titolare e responsabile del trattamento. Preferisci i fornitori che pubblicano il loro DPA o ti permettono di accettarlo nel tuo account.

Il GDPR impone di conservare i dati delle trascrizioni nell'UE?

No. I trasferimenti al di fuori del SEE sono consentiti con una decisione di adeguatezza, una certificazione nell'ambito del Data Privacy Framework UE-USA o clausole contrattuali standard. L'hosting nell'UE con sub-responsabili solo nell'UE ti evita semplicemente la valutazione aggiuntiva del trasferimento e l'incertezza giuridica che circonda il DPF.

Otter.ai è conforme al GDPR?

Otter.ai si può usare nel rispetto del GDPR: è certificata nell'ambito del Data Privacy Framework UE-USA e offre un DPA. Però elabora i dati negli USA, e la sua informativa sulla privacy dice che addestra la propria AI su registrazioni e trascrizioni de-identificate. Per questo molte organizzazioni europee preferiscono un'alternativa ospitata nell'UE.

OpenAI Whisper è conforme al GDPR?

Whisper in self-hosting è conforme quanto la tua infrastruttura, perché nessuna terza parte riceve l'audio. L'API ospitata di OpenAI non si addestra sui dati dell'API di default, offre la conservazione zero dei dati per la trascrizione e la residenza dei dati nell'UE per i progetti idonei, ma OpenAI resta un responsabile del trattamento statunitense.

Serve il consenso per trascrivere un'intervista?

Non sempre. Il consenso è una delle basi giuridiche; al suo posto possono valere il legittimo interesse, il contratto o la ricerca di interesse pubblico. Devi sempre informare le persone che vengono registrate e trascritte, e molti comitati etici richiedono comunque un consenso scritto.

Una registrazione vocale è un dato biometrico ai sensi del GDPR?

Di solito no. Una voce diventa un dato biometrico solo quando viene trattata con una tecnologia specifica per identificare in modo univoco una persona. La semplice trascrizione non lo fa. La clonazione della voce o l'identificazione dei parlanti sì, quindi queste funzioni richiedono maggiore cautela e un consenso esplicito.

Un servizio di trascrizione può usare i miei file per addestrare la sua AI?

Solo se i suoi termini lo consentono. Alcuni fornitori non si addestrano mai sui dati dei clienti (Good Tape, Sonix, BlaBlaScribe), altri lo fanno su dati de-identificati (Otter.ai), e altri ancora offrono opzioni di opt-in o opt-out (Happy Scribe, Gladia, Rev). Controlla l'informativa sulla privacy, non solo la pagina di marketing.

Conclusione

Tre cose da ricordare:

1. Controlla i documenti, non il bollino. Un DPA pubblico, un provider di hosting indicato per nome e un elenco dei sub-responsabili ti dicono più di un «GDPR-compliant» su una landing page.
2. L'hosting nell'UE semplifica la vita, ma non sostituisce un DPA. E una capogruppo statunitense può contare anche quando i server sono a Francoforte.
3. Sappi dove vanno il tuo audio e il tuo testo. Molti strumenti tengono l'audio nell'UE ma inviano le trascrizioni a un modello AI statunitense per riepiloghi o traduzioni.

Se vuoi trascrizione, sottotitoli e traduzione ospitati nell'UE in un unico posto, prova BlaBlaScribe gratis: 30 minuti, senza carta, trascritti sui nostri server in Germania. Leggi nel dettaglio come gestiamo le tue registrazioni prima di caricare qualsiasi cosa.