Transkrypcja zgodna z RODO: najlepsze programy w Europie (2026), 8 narzędzi sprawdzonych

Fakty o dostawcach sprawdziliśmy 9 listopada 2026 roku na ich własnych stronach. Ceny i zasady się zmieniają, więc przed zakupem kliknij w linki.

Nagranie wywiadu, wykładu czy rozmowy z klientem to dane osobowe. Gdy wgrywasz je do usługi transkrypcji, ta usługa staje się twoim podmiotem przetwarzającym, a ty, jako administrator, odpowiadasz za jej staranny wybór. Odznaka „transkrypcja zgodna z RODO” na stronie głównej niewiele ci mówi. Dużo więcej mówią dokumenty, które za nią stoją.

Krótka odpowiedź:

• Do najbardziej rygorystycznej konfiguracji tylko w UE, z opublikowaną dokumentacją: Good Tape (Dania) — podmioty podprzetwarzające wyłącznie z UE, umowa powierzenia (DPA) dostępna na koncie, ISO 27001.
• Do napisów, tłumaczenia i transkrypcji w jednym narzędziu hostowanym w UE, przy małym budżecie: BlaBlaScribe (Polska, serwery w Niemczech).
• Dla zespołów akademickich i sektora publicznego, które potrzebują certyfikatów ISO i transkrypcji wykonywanej przez człowieka: Amberscript (Holandia).
• Do pełnej kontroli, jeśli masz inżynierów: Whisper hostowany samodzielnie.

Zastrzeżenie: BlaBlaScribe to nasz produkt. Żeby porównanie było uczciwe, każde narzędzie, łącznie z naszym, oceniliśmy według tych samych dziewięciu kryteriów, każde twierdzenie podlinkowaliśmy do dokumentów samego dostawcy i wypisaliśmy nasze własne braki.

Szybka odpowiedź: programy do transkrypcji zgodnej z RODO w skrócie

„Nieopublikowana” lub „brak informacji” oznacza, że nie znaleźliśmy tego na publicznych stronach dostawcy. Nie znaczy to, że dostawca tego nie ma. Zapytaj przed zakupem.

Co tak naprawdę oznacza „zgodność z RODO” w przypadku narzędzia do transkrypcji

Żadne narzędzie nie jest „zgodne z RODO” samo w sobie. Zgodność zależy od tego, jak ty z niego korzystasz. Narzędzie może to ułatwić albo utrudnić. Oto co ma znaczenie z prawnego punktu widzenia.

Ty jesteś administratorem, narzędzie jest twoim podmiotem przetwarzającym (art. 28)

Zgodnie z art. 28 RODO możesz korzystać wyłącznie z podmiotu przetwarzającego, który zapewnia „wystarczające gwarancje”, i musi istnieć umowa — umowa powierzenia przetwarzania danych (DPA) — określająca, co podmiot przetwarzający może robić z danymi, jakie stosuje środki bezpieczeństwa, z jakich podmiotów podprzetwarzających korzysta i jak usuwa dane po zakończeniu usługi. Szczegółowo wyjaśniają to wytyczne EROD 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego.

W praktyce: jeśli zawodowo transkrybujesz głosy innych osób (rozmówców, kandydatów, klientów, uczestników badań), potrzebujesz umowy powierzenia z dostawcą transkrypcji. Najłatwiej współpracuje się z dostawcami, którzy ją publikują albo pozwalają zaakceptować ją na koncie.

Czy hosting w UE jest wymagany? Nie, ale zdejmuje z ciebie całą warstwę pracy

RODO nie wymaga, by dane pozostawały w UE. Przekazywanie danych poza EOG jest dozwolone, jeśli istnieje decyzja stwierdzająca odpowiedni stopień ochrony (Wielka Brytania taką ma, odnowioną w grudniu 2025 roku do 2031 roku), certyfikacja w ramach EU–US Data Privacy Framework albo standardowe klauzule umowne (SCC) wraz z oceną ryzyka transferu.

DPF obowiązuje, ale skarga na niego jest rozpatrywana w postępowaniu odwoławczym przed Trybunałem Sprawiedliwości UE (sprawa C-703/25 P), a kilka europejskich organów nadzorczych doradziło firmom, by miały przygotowany plan wyjścia. Narzędzie hostowane w UE, korzystające wyłącznie z podmiotów podprzetwarzających z UE, w ogóle omija ten problem.

Jeszcze jeden niuans: „hostowane w UE” mówi o tym, gdzie leżą dane, a nie o tym, kogo można zmusić do ich wydania. Dostawca ze spółką matką w USA może podlegać prawu amerykańskiemu (np. CLOUD Act) także w odniesieniu do danych przechowywanych we Frankfurcie. Jeśli to dla ciebie ważne, sprawdź strukturę korporacyjną, a nie tylko centrum danych.

Czy nagranie głosu to „dane biometryczne”?

Niektóre artykuły twierdzą, że każde nagranie głosu jest danymi biometrycznymi w rozumieniu RODO. To przesada. Art. 4 pkt 14 definiuje dane biometryczne jako dane osobowe, które wynikają ze specjalnego przetwarzania technicznego i umożliwiają lub potwierdzają jednoznaczną identyfikację osoby, a art. 9 ogranicza ich przetwarzanie, gdy odbywa się ono w celu jednoznacznego zidentyfikowania osoby.

Zamiana mowy na tekst tego nie robi. Nagranie nadal jest danymi osobowymi, a jego treść może zawierać dane szczególnych kategorii (o zdrowiu, poglądach politycznych, religii). Ale zwykła transkrypcja nie czyni go danymi biometrycznymi. Inaczej jest z klonowaniem głosu: model głosu zbudowany na podstawie próbki może zidentyfikować osobę, dlatego narzędzia oferujące klonowanie powinny najpierw prosić o wyraźną zgodę.

Gdzie wchodzi w grę unijny AI Act

Zamiana mowy na tekst nie jest systemem wysokiego ryzyka w rozumieniu unijnego AI Act (aktu w sprawie sztucznej inteligencji). Jednak art. 5 ust. 1 lit. f od 2 lutego 2025 roku zakazuje wnioskowania o emocjach w miejscu pracy i w edukacji, z wyjątkiem względów medycznych lub bezpieczeństwa. Jeśli twoje narzędzie do spotkań lub rozmów rekrutacyjnych pokazuje wskaźniki „sentymentu” lub „emocji” kandydatów albo pracowników, wyłącz tę funkcję.

Jak oceniliśmy narzędzia: lista kontrolna z 9 punktów

Korzystaliśmy wyłącznie z tego, co publikuje każdy dostawca: polityki prywatności, strony o bezpieczeństwie, DPA, listy podmiotów podprzetwarzających i cennika. Nie pytaliśmy działów sprzedaży, bo twój inspektor ochrony danych (IOD) też zacznie od publicznych dokumentów.

1. Publiczna DPA (art. 28). Czy możesz ją pobrać albo zaakceptować na koncie, czy musisz o nią prosić?
2. Wskazany dostawca hostingu i region. „Serwery w UE” to deklaracja; „AWS eu-central-1” da się sprawdzić.
3. Opublikowana lista podmiotów podprzetwarzających. Kto jeszcze ma styczność z twoim audio lub tekstem?
4. Mechanizm transferu dla każdego podmiotu przetwarzającego spoza UE: decyzja stwierdzająca odpowiedni stopień ochrony, DPF lub SCC.
5. Czy twoje audio trafia do zewnętrznego dostawcy AI? Wiele narzędzi odsprzedaje model mowy innej firmy.
6. Brak trenowania na danych klientów, zapisany w polityce prywatności lub DPA, a nie tylko na stronie marketingowej.
7. Domyślny okres przechowywania i usuwanie, łącznie z kopiami zapasowymi.
8. Niezależna certyfikacja (ISO 27001, SOC 2) i jej zakres.
9. Podmiot prawny w UE i wiodący organ nadzorczy, żeby było wiadomo, do kogo złożyć skargę.

Podajemy też cenę, plan darmowy i liczbę języków. Dokładność sprawdź na własnych nagraniach; zobacz nasz poradnik o tym, jak mierzy się dokładność transkrypcji (WER).

8 narzędzi pod lupą

Poniższe narzędzia nie tworzą rankingu. Pogrupowaliśmy je według tego, do czego sprawdzają się najlepiej.

1. BlaBlaScribe — najlepszy do transkrypcji, napisów i tłumaczenia w jednym narzędziu hostowanym w UE

• Kto za nim stoi: Vindrose sp. z o.o., Wrocław, Polska. Podmiot z UE; wiodącym organem nadzorczym jest polski UODO. (Polityka prywatności)
• Dokąd trafia twoje audio: transkrypcja, generowanie napisów i oddzielanie mowy od muzyki działają na własnych serwerach BlaBlaScribe, hostowanych przez Hetzner Online GmbH w Niemczech. Audio nie jest wysyłane do zewnętrznych dostawców AI. Dwie opcjonalne funkcje wysyłają tekst: tłumaczenie i podsumowania AI przesyłają tekst transkrypcji do Google Gemini API, a dubbing AI wysyła skrypt lektorski do ElevenLabs (oraz próbkę głosu, ale tylko wtedy, gdy tworzysz klon głosu, i za wyraźną zgodą). (Strona o bezpieczeństwie)
• Dokumentacja RODO: publiczna umowa powierzenia przetwarzania danych obowiązuje automatycznie z chwilą akceptacji Regulaminu, bez podpisu. Lista podmiotów podprzetwarzających pokazuje, co i gdzie otrzymuje każdy dostawca; zmiany są ogłaszane na tej stronie. Transfery poza UE opierają się na SCC lub DPF. Powiadomienie o naruszeniu w ciągu 48 godzin; dane są usuwane, gdy usuwasz konto, a kopie zapasowe są nadpisywane w ciągu 30 dni.
• Szyfrowanie: podczas przesyłania (HTTPS). Pliki są przechowywane na własnych serwerach BlaBlaScribe w Niemczech; dyski magazynowe nie są szyfrowane.
• Brak trenowania: pliki „nigdy nie są używane do trenowania AI” — ani przez BlaBlaScribe, ani przez jego dostawców.
• Przechowywanie: transkrypcje, napisy i tłumaczenia zostają, dopóki ich nie usuniesz. Oryginalne pliki audio i wideo są przechowywane 30 dni w planie darmowym; w planach płatnych przez cały czas trwania subskrypcji, a po jej anulowaniu jeszcze 60 dni (Creator), 9 miesięcy (Pro) lub 12 miesięcy (Business), z przypomnieniami e-mailowymi przed usunięciem. Pliki możesz usunąć w każdej chwili.
• Certyfikaty: na razie brak.
• Cena: 30 darmowych minut jednorazowo, bez karty. Creator 14 $/mies. (600 min), Pro 43 $/mies., Business 99 $/mies.; przy rozliczeniu rocznym ok. 20% taniej. Ponad 120 języków, tłumaczenie na ponad 50, dubbing na 27. (Cennik)
• Na co uważać: na razie brak ISO 27001 i SOC 2 oraz brak szyfrowania danych w spoczynku. Jeśli korzystasz z tłumaczenia lub podsumowań AI, tekst transkrypcji trafia do podmiotu przetwarzającego z USA (Google), więc przy wrażliwych materiałach wyłącz te funkcje, jeśli dane mają zostać wyłącznie w UE. Brak publicznego API.

2. Happy Scribe — najlepszy dla zespołów od napisów, które chcą też korekty przez człowieka

• Kto za nim stoi: Happy Scribe Limited, Dublin, Irlandia. (Prywatność)
• Dokąd trafia twoje audio: AWS i Heroku, z centrum danych „w Unii Europejskiej”; region nie jest podany. OpenAI i Anthropic są wymienione w polityce prywatności w związku z asystentem AI i funkcjami konektorów. Główny silnik transkrypcji nie jest wskazany. (Bezpieczeństwo, Prywatność)
• Dokumentacja RODO: polityka prywatności wspomina o DPA, ale nie mówi, jak ją uzyskać; strona o bezpieczeństwie odsyła do kontaktu z firmą. Podmioty podprzetwarzające są wymienione na portalu zaufania (trust portal), z powiadomieniami o zmianach. Transfery opierają się na SCC, DPF lub innych mechanizmach z art. 45/46.
• Trenowanie: to najważniejsze zastrzeżenie. Polityka prywatności opisuje zgodę typu opt-in przy rejestracji; jeśli ją wyrazisz, treści pozbawione cech identyfikujących mogą być licencjonowane lub udostępniane podmiotom trzecim do trenowania modeli. Na kontach służbowych upewnij się, że to pole pozostaje niezaznaczone.
• Przechowywanie: usunięte pliki można odzyskać przez 10 dni, potem są trwale usuwane. Brak informacji o kopiach zapasowych.
• Certyfikaty: SOC 2 Type 2 (zakres niepodany). ISO 27001 dotyczy dostawcy centrum danych, a nie samego Happy Scribe.
• Cena: plan darmowy z 10 jednorazowymi minutami. Basic od 17 $/mies. albo 8,50 $/mies. przy rozliczeniu rocznym. Ponad 150 języków. (Cennik)
• Na co uważać: zgoda na trenowanie (opt-in) i DPA, której nie da się uzyskać samodzielnie.

3. Amberscript — najlepszy dla uczelni i instytucji publicznych, które potrzebują certyfikatów ISO

• Kto za nim stoi: Amberscript Global B.V., Amsterdam, ze spółką GmbH w Berlinie. (Prywatność)
• Dokąd trafia twoje audio: Google Cloud Platform we Frankfurcie; strona o bezpieczeństwie mówi, że dane nigdy nie są przechowywane poza Europą. Niewymienione z nazwy „podmioty trzecie” transkrybują i przetwarzają audio. (Bezpieczeństwo danych)
• Dokumentacja RODO: DPA na żądanie, przez formularz (dostajesz wstępnie wypełniony PDF). Brak publicznej listy podmiotów podprzetwarzających. Polityka prywatności mówi, że część partnerów działa poza EOG, ale nie podaje mechanizmu transferu, co kłóci się z zapewnieniem ze strony o bezpieczeństwie, że dane „nigdy nie są przechowywane poza Europą”. Poproś o wyjaśnienie.
• Trenowanie: polityka prywatności mówi, że audio i transkrypcje nigdy nie są używane do trenowania stosowanych modeli językowych.
• Przechowywanie: domyślnie pliki są automatycznie usuwane 6 miesięcy po wgraniu (z przypomnieniami); możesz to wyłączyć. Brak informacji o kopiach zapasowych.
• Certyfikaty: ISO 27001 i ISO 9001 (zakres niepodany).
• Cena: brak wzmianki o planie darmowym. Starter 19 €/mies. (5 godzin), płatność za użycie 10 €/godz., transkrypcja przez człowieka od 1,85 €/min. Ponad 90 języków (maszynowo), ponad 18 (przez człowieka). (Cennik)
• Na co uważać: niewymienieni z nazwy partnerzy AI i niejasna sytuacja z transferami poza UE.

4. Good Tape — najlepszy do najbardziej rygorystycznej konfiguracji tylko w UE

• Kto za nim stoi: Good Tape ApS, Kopenhaga, Dania. (Bezpieczeństwo)
• Dokąd trafia twoje audio: opublikowana lista podmiotów podprzetwarzających wyłącznie z UE: Google (UE) i Azure (UE, przy przeciążeniu) do transkrypcji, Scaleway do przechowywania plików, Supabase i MongoDB do danych aplikacji. (Podmioty podprzetwarzające)
• Dokumentacja RODO: standardowa DPA w planie Pro i dopasowana w planie Business, obie dostępne w ustawieniach konta; przykład jest publiczny. (DPA) Wszyscy dostawcy są w UE, więc mechanizm transferu nie jest potrzebny.
• Trenowanie: „nigdy nie trenujemy na żadnych danych naszych użytkowników” — zapisane w polityce i w DPA.
• Przechowywanie: usuwanie, łącznie z kopiami zapasowymi, w ciągu 12 godzin. Ustawienie domyślne jest opisane różnie na różnych stronach (usunięcie po przetworzeniu albo przechowywanie tak długo, jak zechcesz), więc sprawdź swoje ustawienia.
• Certyfikaty: ISO/IEC 27001:2022, wydany 30 stycznia 2026 roku, ważny do stycznia 2029 roku (zakres niepodany).
• Cena: bezpłatny okres próbny z 1 godziną transkrypcji, bez karty. Pro 16 €/mies. przy rozliczeniu rocznym (20 godzin miesięcznie); Business na zapytanie. Ponad 100 języków. (Cennik)
• Na co uważać: strona o bezpieczeństwie mówi o „własnej infrastrukturze”, ale lista podmiotów podprzetwarzających pokazuje transkrypcję w Google i Azure (regiony UE). To wyłącznie transkrypcja: bez stylizacji napisów, tłumaczenia i dubbingu.

5. Trint — najlepszy dla redakcji (siedziba w Wielkiej Brytanii, dostępna instancja w UE)

• Kto za nim stoi: Trint Limited, Londyn. Transfery z UE do Wielkiej Brytanii obejmuje odnowiona decyzja stwierdzająca odpowiedni stopień ochrony. (Prywatność)
• Dokąd trafia twoje audio: osobne instancje w UE (AWS Frankfurt/Irlandia, MongoDB Atlas w Irlandii) i w USA. Anthropic jest wymieniony jako podmiot podprzetwarzający „do użytku wewnętrznego”. Silnik transkrypcji nie jest wskazany.
• Dokumentacja RODO: podmioty podprzetwarzające są wymienione w polityce prywatności. Transfery opierają się na SCC i decyzji w sprawie Wielkiej Brytanii. Publicznie nie ma mowy o DPA dla klientów.
• Trenowanie: strona o bezpieczeństwie mówi, że nagrania nie są używane do trenowania algorytmów firmy; polityka prywatności o tym milczy.
• Przechowywanie: treści są przechowywane, dopóki ich nie usuniesz albo nie zamkniesz konta; sformułowania w polityce prywatności i na stronie o bezpieczeństwie się różnią.
• Certyfikaty: ISO 27001:2022 i Cyber Essentials.
• Cena: bezpłatny okres próbny, brak planu darmowego. Pro od 69 € za stanowisko miesięcznie. Ponad 50 języków. (Plany)
• Na co uważać: cennik wymienia „dedykowany serwer w UE” tylko w indywidualnie wycenianym planie Business, więc upewnij się, w której instancji lądują konta samoobsługowe.

6. Gladia — najlepsza dla programistów, którzy potrzebują API do zamiany mowy na tekst w UE

• Kto za nią stoi: Gladia SAS, Roubaix, Francja. Spółka powiązana w USA (Gladia Inc.) jest podmiotem podprzetwarzającym. (DPA)
• Dokąd trafia twoje audio: domyślnie OVHcloud we Francji; niektóre usługi AWS w UE i USA. DPA podaje lokalizację danych jako „Europa, USA”. Przetwarzanie w jednym regionie wymaga pisemnego porozumienia. Dodatki korzystają z OpenAI Ireland, Google Cloud, DeepL i innych.
• Dokumentacja RODO: DPA to publiczna strona internetowa, z podmiotami podprzetwarzającymi w załączniku. Transfery opierają się na SCC lub DPF.
• Trenowanie: w planie Self-serve (tym z 50 € darmowych kredytów) twoje audio może być domyślnie używane do trenowania; rezygnacja jest bezpłatna. Plan Enterprise jest z trenowania wyłączony. (Cennik)
• Przechowywanie: cennik nie podaje tego dla Self-serve; dla Enterprise wymieniono zerowe przechowywanie danych (zero data retention).
• Certyfikaty: SOC 2 Type 1 i Type 2. ISO 27001 jest na stronie o bezpieczeństwie oznaczony jako „w toku”, choć strona główna się nim chwali.
• Cena: 50 € darmowych kredytów; 0,16 € za godzinę audio, przy większym wolumenie nawet 0,12 €. Ponad 100 języków w modelu Solaria-1.
• Na co uważać: zrezygnuj z trenowania, zanim wyślesz prawdziwe dane, i samodzielnie ustaw okres przechowywania.

7. Sonix — solidna dokumentacja, ale firma z USA

• Kto za nim stoi: Sonix, Inc., San Francisco. (Prywatność)
• Dokąd trafia twoje audio: AWS w USA. Klienci Enterprise mogą ustalić z zespołem Sonix rezydencję danych. Zewnętrzni dostawcy AI nie są ujawnieni. (Bezpieczeństwo)
• Dokumentacja RODO: DPA dostępna na koncie na żądanie; transfery na podstawie SCC; brak publicznej listy podmiotów podprzetwarzających; nie znaleźliśmy firmy na liście DPF.
• Trenowanie: treści klientów nigdy nie są używane do trenowania modeli firmy.
• Przechowywanie: do czasu, aż je usuniesz; kopie zapasowe mogą istnieć do 90 dni.
• Certyfikaty: SOC 2 Type 2; HIPAA na podstawie umowy BAA.
• Cena: 30-minutowy bezpłatny okres próbny; 10 $/godz. w modelu płatności za użycie lub 25 $/mies. Ponad 54 języki. (Cennik)
• Na co uważać: dane spoza planu Enterprise są przetwarzane w USA, więc potrzebujesz SCC i oceny transferu.

8. Whisper hostowany samodzielnie — najlepszy do pełnej kontroli (jeśli masz inżynierów)

• Co to jest: model mowy OpenAI udostępniony jako open source na licencji MIT. Uruchom go na własnych serwerach albo w chmurze w UE, a żaden podmiot trzeci nie dotknie twojego audio.
• Dokumentacja RODO: jesteś administratorem i właścicielem infrastruktury. Bezpieczeństwo, kontrola dostępu, usuwanie danych i dokumentacja — wszystko to spoczywa na tobie.
• Jeśli zamiast tego korzystasz z hostowanego API OpenAI: dane z API domyślnie nie są używane do trenowania, endpoint transkrypcji kwalifikuje się do zerowego przechowywania danych (zero data retention), a rezydencja danych w UE jest dostępna dla kwalifikujących się projektów. OpenAI to firma z USA i w chwili naszej weryfikacji nie było jej na liście DPF. (OpenAI: twoje dane)
• Na co uważać: brak gotowego edytora, etykiet mówców i eksportu napisów, a dokładność zależy od języka i rozmiaru modelu. Porównaj nakład pracy w artykule Whisper a płatne narzędzia do transkrypcji.

A co z Otter.ai, Fireflies i Rev?

To popularne usługi z USA. Każdej z nich można używać zgodnie z RODO, ale wymaga to więcej formalności i daje mniej kontroli:

• Czy Otter.ai jest zgodny z RODO? Otter.ai, Inc. ma certyfikację w ramach EU–US DPF i publikuje DPA (w swoim regulaminie) oraz listę podmiotów podprzetwarzających. Jego polityka prywatności mówi, że firma trenuje własną AI na audio i transkrypcjach pozbawionych cech identyfikujących, a hosting to AWS bez podanej rezydencji danych w UE. Obsługuje 6 języków. (Prywatność, Podmioty podprzetwarzające)
• Fireflies.ai ma certyfikację DPF, opublikowaną DPA i listę podmiotów podprzetwarzających, ale przetwarzanie odbywa się w USA, a transkrypcję wykonuje podmiot trzeci (AssemblyAI). (DPA)
• Rev publikuje DPA, która obowiązuje bez podpisu, z SCC; przetwarzanie odbywa się w USA, a transkrypcja przez ludzi częściowo w Indiach. Firma deklaruje, że nie trenuje zewnętrznych modeli na twoich treściach, ale jej centrum pomocy opisuje rezygnację z trenowania własnych modeli mowy Reva, więc poproś wsparcie, żeby cię z niego wyłączyło. (DPA, Centrum pomocy)

Przy nagraniach spotkań sprawdź też zasady dotyczące zgody: zobacz, czy nagrywanie spotkania jest legalne w UE i USA.

Jakie narzędzie wybrać, żeby transkrypcja była zgodna z RODO?

• Wywiady naukowe z zatwierdzeniem komisji etycznej: Amberscript lub Good Tape, jeśli komisja etyczna wymaga ISO 27001; BlaBlaScribe, jeśli liczy się budżet, a przy danych wrażliwych nie korzystasz z tłumaczenia. Zobacz transkrypcja dla naukowców.
• Dziennikarstwo i ochrona źródeł: Good Tape (tylko UE, szybkie usuwanie) albo Whisper hostowany samodzielnie przy najbardziej wrażliwych źródłach. Zobacz transkrypcja dla dziennikarzy.
• Rozmowy HR i rekrutacja: dowolne narzędzie hostowane w UE z DPA; wyłącz funkcje analizy sentymentu i emocji (AI Act) i uprzedź kandydatów z wyprzedzeniem.
• Rozmowy z klientami w agencji lub firmie doradczej: Good Tape lub BlaBlaScribe, jeśli chcesz przetwarzania w UE; Trint, jeśli twój zespół pracuje w Wielkiej Brytanii.
• Napisy i tłumaczenie do wideo w UE: BlaBlaScribe (transkrypcja w Niemczech; tłumaczenie wysyła tylko tekst) lub Happy Scribe (nie włączaj zgody na trenowanie).
• Programiści budujący produkt: Gladia (zrezygnuj z trenowania, ustaw okres przechowywania) albo API OpenAI z rezydencją danych w UE.
• Zero trust lub środowisko odizolowane (air-gapped): Whisper hostowany samodzielnie.

Lista kontrolna RODO przed wgraniem pierwszego nagrania

1. Podpisz lub zaakceptuj DPA i zachowaj datowaną kopię listy podmiotów podprzetwarzających.
2. Dodaj to przetwarzanie do rejestru czynności przetwarzania (art. 30).
3. Zdecyduj, czy potrzebujesz oceny skutków (DPIA) (art. 35): prawdopodobnie tak, jeśli nagrania obejmują dane o zdrowiu, dzieci, osoby szczególnie wrażliwe lub monitorowanie na dużą skalę.
4. Poinformuj uczestników lub uzyskaj ich zgodę, zanim zaczniesz nagrywać, i powiedz im, która usługa zrobi transkrypcję. Zobacz, jak zrobić transkrypcję wywiadu.
5. Wyłącz opcjonalne funkcje AI, które wysyłają dane do dodatkowych podmiotów przetwarzających, jeśli ich nie potrzebujesz, i rezygnuj z trenowania wszędzie, gdzie jest taki przełącznik.
6. Pseudonimizuj: zastąp imiona i nazwiska w transkrypcji, a po sprawdzeniu usuń oryginalne audio.
7. Ustal okres przechowywania i usuwaj oryginały zgodnie z harmonogramem.
8. Porozmawiaj z radą pracowników lub związkami zawodowymi (Niemcy, Holandia, Francja i inne kraje), zanim zaczniesz nagrywać pracowników.
9. Co roku weryfikuj dostawcę: podmioty podprzetwarzające i mechanizmy transferu się zmieniają.

Najczęściej zadawane pytania

Czy transkrypcja AI jest zgodna z RODO?

Może być. Transkrypcja AI jest zgodna z prawem w świetle RODO, jeśli masz podstawę prawną do nagrywania, umowę powierzenia przetwarzania danych z dostawcą, a dostawca chroni dane i przekazuje je zgodnie z prawem. Samo narzędzie nie zapewnia ci zgodności; zapewnia ją twoja konfiguracja.

Czy potrzebuję DPA z dostawcą transkrypcji?

Tak, jeśli transkrybujesz dane osobowe innych osób w imieniu swojej organizacji. Art. 28 RODO wymaga pisemnej umowy między administratorem a podmiotem przetwarzającym. Wybieraj dostawców, którzy publikują swoją DPA albo pozwalają zaakceptować ją na koncie.

Czy RODO wymaga przechowywania danych z transkrypcji w UE?

Nie. Przekazywanie danych poza EOG jest dozwolone na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, certyfikacji w ramach EU–US Data Privacy Framework lub standardowych klauzul umownych. Hosting w UE z podmiotami podprzetwarzającymi wyłącznie z UE po prostu pozwala uniknąć dodatkowej oceny transferu i niepewności prawnej wokół DPF.

Czy Otter.ai jest zgodny z RODO?

Otter.ai można używać zgodnie z RODO: ma certyfikację w ramach EU–US Data Privacy Framework i oferuje DPA. Przetwarza jednak dane w USA, a jego polityka prywatności mówi, że firma trenuje własną AI na nagraniach i transkrypcjach pozbawionych cech identyfikujących. Dlatego wiele organizacji z UE woli alternatywę hostowaną w UE.

Czy OpenAI Whisper jest zgodny z RODO?

Whisper hostowany samodzielnie jest tak zgodny, jak twoja własna infrastruktura, bo żaden podmiot trzeci nie otrzymuje audio. Hostowane API OpenAI domyślnie nie trenuje na danych z API, oferuje zerowe przechowywanie danych przy transkrypcji i rezydencję danych w UE dla kwalifikujących się projektów, ale OpenAI pozostaje podmiotem przetwarzającym z USA.

Czy potrzebuję zgody, żeby zrobić transkrypcję wywiadu?

Nie zawsze. Zgoda to jedna z podstaw prawnych; zamiast niej może mieć zastosowanie prawnie uzasadniony interes, umowa albo badania prowadzone w interesie publicznym. Zawsze musisz poinformować ludzi, że są nagrywani i że nagranie zostanie przetranskrybowane, a wiele komisji etycznych i tak wymaga pisemnej zgody.

Czy nagranie głosu to dane biometryczne w rozumieniu RODO?

Zwykle nie. Głos staje się danymi biometrycznymi dopiero wtedy, gdy jest przetwarzany za pomocą specjalnej technologii w celu jednoznacznej identyfikacji osoby. Zwykła transkrypcja tego nie robi. Klonowanie głosu lub identyfikacja mówcy już mogą, dlatego te funkcje wymagają szczególnej ostrożności i wyraźnej zgody.

Czy usługa transkrypcji może używać moich plików do trenowania swojej AI?

Tylko jeśli pozwala na to jej regulamin. Niektórzy dostawcy nigdy nie trenują na danych klientów (Good Tape, Sonix, BlaBlaScribe), niektórzy robią to na danych pozbawionych cech identyfikujących (Otter.ai), a niektórzy oferują przełączniki opt-in lub opt-out (Happy Scribe, Gladia, Rev). Sprawdź politykę prywatności, a nie tylko stronę marketingową.

Podsumowanie

Trzy wnioski:

1. Sprawdzaj dokumenty, nie odznakę. Publiczna DPA, wskazany dostawca hostingu i lista podmiotów podprzetwarzających mówią więcej niż napis „zgodne z RODO” na stronie głównej.
2. Hosting w UE ułatwia życie, ale nie zastępuje DPA. A spółka matka w USA może mieć znaczenie nawet wtedy, gdy serwery stoją we Frankfurcie.
3. Wiedz, dokąd trafia twoje audio i twój tekst. Wiele narzędzi trzyma audio w UE, ale wysyła transkrypcje do amerykańskiego modelu AI, żeby zrobić podsumowanie lub tłumaczenie.

Jeśli chcesz mieć transkrypcję, napisy i tłumaczenie hostowane w UE w jednym miejscu, wypróbuj BlaBlaScribe za darmo: 30 minut, bez karty, transkrypcja na naszych własnych serwerach w Niemczech. Zanim cokolwiek wgrasz, przeczytaj dokładnie, jak obchodzimy się z twoimi nagraniami.