Privacidad, consentimiento y normas de grabación para la IA de negociación en vivo

Antes de que un asistente de negociación en tiempo real escuche una llamada con un proveedor, la organización que lo implementa debe resolver cuatro preguntas: ¿Recibieron todos los participantes el aviso adecuado y dieron el consentimiento requerido? ¿Qué datos se conservarán, durante cuánto tiempo y por qué? ¿Los controles de confidencialidad y seguridad cubren el servicio? ¿Qué jurisdicciones y normas específicas del sector se aplican?

Si hay dudas sobre la ubicación, la autoridad, el consentimiento o el tratamiento de datos, mantenga el asistente desactivado o use un modo que no escuche y que se base únicamente en notas ingresadas manualmente. Una persona identificada debe autorizar la activación, mientras que los negociadores autorizados deben conservar el control de las ofertas, concesiones, aceptaciones, divulgaciones y del registro oficial de la negociación.

Respuesta breve

Aplique el estándar de consentimiento de todos los participantes antes de habilitar la captura en vivo. Documente la ubicación de los participantes, el aviso sobre la IA, el propósito del tratamiento, la base jurídica, la conservación por tipo de dato, los controles de confidencialidad, las condiciones del proveedor, los subencargados, las transferencias y los procedimientos para retirar el consentimiento. Active el sistema solo después de obtener la aprobación humana. Si un participante se niega, cambia de ubicación, retira su consentimiento o introduce información restringida, detenga el tratamiento hasta que una persona responsable autorice el siguiente paso.

La grabación, la transcripción y el análisis mediante IA son decisiones distintas

La privacidad de la IA en reuniones no se reduce a un icono de grabación. Un sistema en vivo puede realizar varias actividades de tratamiento distintas:

• Grabación: almacenamiento persistente de audio, video o contenido de comunicaciones.
• Transcripción: conversión del habla en texto, se conserve o no el audio de origen.
• Análisis en vivo: procesamiento de un flujo transitorio para generar sugerencias sin guardar un archivo de audio.
• Análisis derivado: creación de resúmenes, etiquetas de hablantes, alertas de riesgo, estimaciones de la posición negociadora, inferencias de sentimientos o concesiones sugeridas.
• Divulgación: envío de transcripciones o resultados a colegas, sistemas, proveedores o subencargados.
• Uso secundario: reutilización de datos para entrenar modelos, realizar evaluaciones comparativas, publicidad, mejorar productos o evaluar empleados.

Eliminar el audio original no hace desaparecer la transcripción, el resumen, las instrucciones, los registros ni los datos derivados. Del mismo modo, consentir a la grabación no necesariamente autoriza el análisis mediante IA, la supervisión de empleados, el entrenamiento de modelos ni la divulgación posterior.

Conforme al Reglamento General de Protección de Datos de la Unión Europea, el tratamiento requiere una base jurídica y debe respetar los principios de transparencia, limitación de la finalidad, minimización de datos y limitación del plazo de conservación. El consentimiento es una base posible, pero no siempre resulta adecuado en todas las relaciones, especialmente cuando un desequilibrio de poder afecta a la libertad con la que se otorga (RGPD). Las normas sobre grabación y confidencialidad pueden exigir autorización de forma independiente, incluso cuando otra base jurídica de privacidad permita el tratamiento.

Por tanto, el estándar operativo más seguro para el consentimiento de grabación de negociaciones en vivo va más allá de una interpretación jurídica mínima: informe a todos sobre lo que hace la IA, solicite el consentimiento afirmativo de cada participante y ofrezca una alternativa sin IA.

El marco CLEAR para la activación

Use CLEAR como una prueba de cinco etapas antes de cada sesión en vivo: Consentimiento, Ciclo de vida, Exposición, Autoridad y Región. Si una etapa no se supera o su resultado es desconocido, el asistente de negociación en tiempo real debe permanecer desactivado.

1. Consentimiento: ¿aceptaron todos los participantes con conocimiento de causa?

La persona responsable de la reunión debe identificar a los participantes, explicar la función de la IA y registrar una respuesta afirmativa antes de iniciar el tratamiento. El aviso debe indicar:

• Que la IA escuchará, transcribirá o analizará la conversación.
• El propósito empresarial del tratamiento.
• Si se conservarán el audio, el video o solo el texto.
• Los tipos de resultados que generará el sistema.
• Quiénes podrán acceder a los datos de origen y a los resultados.
• El plazo de conservación aplicable.
• Si los proveedores pueden usar los datos para entrenar modelos o mejorar productos.
• Cómo puede un participante negarse o retirar su consentimiento.
• Qué formato alternativo de reunión está disponible.

En general, la legislación federal de EE. UU. permite la interceptación cuando una persona que participa en una comunicación privada es parte de ella o una de las partes ha dado su consentimiento previo, con sujeción a las excepciones previstas. Pueden aplicarse normas estatales más estrictas (18 U.S.C. §2511). Por ejemplo, California prohíbe grabar intencionalmente una comunicación confidencial sin el consentimiento de todas las partes en determinadas circunstancias (California Penal Code §632).

Esta variación jurídica hace que el consentimiento de todos los participantes sea un estándar empresarial práctico; no significa que todas las jurisdicciones exijan siempre el mismo enfoque. No debe considerarse que un aviso en el calendario, un icono de la plataforma o la permanencia en la reunión constituyen consentimiento afirmativo sin una revisión cualificada.

2. Ciclo de vida: ¿qué se conserva, dónde y hasta cuándo?

No asigne un único plazo general de conservación a los «datos de la reunión». Defina por separado un propósito y un calendario documentados para:

• Audio y video originales.
• Transcripciones.
• Instrucciones y documentos contextuales.
• Recomendaciones en vivo.
• Resúmenes y listas de tareas.
• Metadatos de hablantes o participantes.
• Registros de acceso y seguridad.
• Vectores de representación u otras representaciones derivadas.
• Copias de seguridad y recuperación ante desastres.

El RGPD exige que los datos personales identificables no se conserven más tiempo del necesario para su finalidad (RGPD, artículo 5). El marco vigente de la CCPA de California también aborda si la recopilación, el uso, la conservación y el intercambio son razonablemente necesarios y proporcionales a las finalidades comunicadas (estatuto y reglamentos de la CCPA vigentes desde el 1 de enero de 2026).

No existe un plazo legal de conservación universal para una grabación ordinaria de una negociación de adquisiciones. Las retenciones legales, las normas sectoriales, los contratos, los requisitos de auditoría y la finalidad declarada pueden cambiar la respuesta. Los responsables de registros y los revisores jurídicos deben aprobar el calendario y cualquier excepción.

3. Exposición: ¿están protegidas la confidencialidad y la seguridad?

Los datos de una negociación empresarial pueden revelar precios, límites de reserva, restricciones de suministro, diseños técnicos, planes de adquisición, datos personales y estrategias jurídicas. Antes de activar el sistema, verifique que los controles existentes también cubran el flujo de trabajo de IA.

Como mínimo, revise:

• Acuerdos de confidencialidad y restricciones de salas de datos.
• Acuerdos de tratamiento de datos e instrucciones documentadas para el tratamiento.
• Compromisos de no usar los datos para entrenamiento ni publicidad.
• Cifrado en tránsito y en reposo.
• Acceso con privilegios mínimos, autenticación y registros de acceso.
• Identidad de los subencargados y condiciones de notificación de cambios.
• Ubicaciones de almacenamiento, soporte y acceso remoto.
• Obligaciones de eliminación, incluido el vencimiento de las copias de seguridad.
• Plazos de notificación y respuesta ante incidentes.
• Controles de exportación y restricciones sobre datos regulados.
• Implicaciones para el secreto profesional y la doctrina del producto del trabajo.

La protección de secretos comerciales en EE. UU. depende, en parte, de que se adopten medidas razonables para mantener la información en secreto (18 U.S.C. §1839). Enviar información sensible de negociación a un servicio no controlado puede debilitar los argumentos fácticos de que se adoptaron esas medidas. La Regla Federal de Evidencia 502 ofrece protección limitada para ciertas divulgaciones involuntarias cuando existen medidas preventivas y correctivas razonables, pero no sustituye la revisión del secreto profesional antes de usar una IA de terceros (Federal Rule of Evidence 502).

4. Autoridad: ¿quién puede activar la IA y actuar según sus resultados?

La IA con intervención humana requiere algo más que una persona mirando la pantalla. Asigne personas responsables a decisiones concretas:

• Responsable de la reunión: confirma la asistencia, la ubicación y el consentimiento antes de la activación.
• Revisor de privacidad o jurídico: determina las normas aplicables, la base jurídica, la suficiencia del aviso y las evaluaciones necesarias.
• Responsable de la información: aprueba el uso de contenido confidencial, privilegiado, sujeto a controles de exportación o regulado.
• Revisores de seguridad y adquisiciones: aprueban los controles del proveedor y la documentación contractual.
• Negociador autorizado: decide si utiliza una recomendación y se mantiene dentro del mandato aprobado.
• Responsable de registros: aprueba los procedimientos de conservación y eliminación.
• Responsable de incidentes o asesor jurídico: decide sobre notificación, preservación, contención y escalamiento tras un incidente.

Un Live Negotiation Coach puede recomendar preguntas o señalar incoherencias. No debe revelar de forma autónoma un precio de reserva, modificar la autoridad, hacer una oferta, aceptar condiciones ni afirmar que existe la aprobación de las partes interesadas. El Marco de Gestión de Riesgos de IA del NIST destaca la importancia de definir responsabilidades para las configuraciones de interacción entre personas e IA y su supervisión (NIST AI RMF Core).

Los equipos que evalúen cómo integrar la asistencia en vivo en un flujo de trabajo controlado pueden consultar el Live Negotiation Coach de Negotiations.AI. El patrón de adquisiciones pertinente es acotado: la preparación define la autoridad y los límites de los datos sensibles; la herramienta en vivo presta asistencia; una persona decide qué decir y qué se incorpora al registro. Estos límites también deben documentarse durante la planificación de la negociación.

5. Región: ¿qué leyes y normas de transferencia se aplican?

Verifique más que la ubicación de la oficina de quien organiza la reunión. Registre:

• La ubicación física de cada participante durante la reunión.
• Los establecimientos o domicilios pertinentes de las partes.
• Las cláusulas sobre ley aplicable y jurisdicción.
• Las ubicaciones de servidores, copias de seguridad, soporte y administradores.
• Los mecanismos de transferencia internacional.
• Los requisitos laborales y de supervisión en el lugar de trabajo.
• Las normas sectoriales sobre salud, finanzas, gobierno o secreto regulado.
• Si pueden intervenir menores, análisis biométricos o material protegido por el secreto profesional.

Cuando se aplique el RGPD, los contratos con encargados del tratamiento deben abordar las instrucciones, la confidencialidad, la seguridad, los subencargados, la asistencia para atender los derechos y la eliminación o devolución de los datos. Las transferencias fuera del EEE deben cumplir los requisitos del capítulo V (RGPD). Puede ser necesario realizar una evaluación de impacto relativa a la protección de datos antes de un tratamiento de alto riesgo que implique nuevas tecnologías, supervisión sistemática, elaboración de perfiles a gran escala o datos sensibles.

A partir del 2 de agosto de 2026, se aplican las obligaciones de transparencia pertinentes del artículo 50 de la Ley de IA de la UE a los sistemas diseñados para interactuar directamente con personas: por regla general, se debe informar a las personas de que interactúan con una IA, salvo que resulte evidente. Esa divulgación, por sí sola, no demuestra que la grabación u otro tratamiento sea lícito (EU AI Act).

Lista de verificación de preparación en materia de privacidad: evidencia antes de la activación

Esta lista reutilizable está diseñada para una negociación de adquisiciones u otra negociación empresarial. Marque un elemento como Listo solo cuando exista la evidencia indicada, no cuando alguien crea que probablemente existe.

Condiciones para detener el sistema

Pause el asistente de inmediato cuando:

• Se incorpore un nuevo participante que no haya dado su consentimiento.
• Un participante cambie de ubicación y el análisis jurisdiccional deje de ser fiable.
• Alguien se niegue o retire su consentimiento.
• Se introduzca en la conversación información restringida, privilegiada o inesperadamente sensible.
• La conectividad del proveedor dirija los datos a un servicio o región no aprobados.
• El sistema empiece a realizar una función prohibida, como inferencias emocionales no aprobadas.
• No se pueda presentar el registro del consentimiento o del tratamiento.

Reanude el sistema solo después de que la persona responsable vuelva a verificar la etapa que falló. Si un participante se niega, continúe con una llamada sin IA, toma manual de notas o un modo que procese únicamente información ingresada manualmente.

Guion de consentimiento que los equipos pueden adaptar

Use un lenguaje sencillo y solicite una respuesta explícita de cada persona:

«Un asistente de IA transcribirá y analizará esta negociación para ofrecer sugerencias en vivo y preparar un borrador de resumen. El audio [se conservará/no se conservará]. La transcripción y los resultados estarán disponibles para [destinatarios] y se conservarán durante [plazo]. No se utilizarán para [entrenamiento de modelos generales u otros usos prohibidos]. ¿Da su consentimiento afirmativo? Puede negarse o retirarlo; en ese caso, desactivaremos el asistente».

Los revisores jurídicos o de privacidad deben adaptar este guion a la implementación, la jurisdicción, el sector y el diseño del tratamiento. La invitación puede proporcionar aviso previo, pero la persona anfitriona debe volver a confirmarlo durante la reunión, ya que pueden cambiar los asistentes y sus ubicaciones.

Ejemplo hipotético: renovación de un proveedor transfronterizo

Hipotético; no constituye evidencia ni asesoramiento jurídico: Un comprador planea una llamada para renovar un contrato de software con un proveedor. El comprador está en Alemania, la persona responsable del proveedor se conecta desde California y otro representante del proveedor se une inesperadamente desde otra ubicación. El comprador quiere usar un asistente de negociación en tiempo real para transcribir la conversación, sugerir preguntas y redactar un resumen interno.

Aplicación de CLEAR:

1. Consentimiento: El aviso del calendario mencionaba la IA, pero la persona anfitriona lee igualmente la declaración aprobada y registra la respuesta afirmativa de cada persona.
2. Ciclo de vida: El flujo de trabajo aprobado no incluye audio original. La transcripción y el resumen tienen reglas de conservación distintas y vinculadas a sus respectivas finalidades.
3. Exposición: El área de adquisiciones verifica el acuerdo de tratamiento de datos, los subencargados aprobados, las ubicaciones de soporte, los controles de acceso, la restricción de uso para entrenamiento y las condiciones de eliminación. El resumen es interno hasta que se revise.
4. Autoridad: El comprador puede considerar las preguntas sugeridas, pero debe aprobar personalmente cada declaración. El sistema no puede aceptar la renovación ni revelar el límite máximo aprobado.
5. Región: Se desconoce la ubicación de la persona que se incorporó inesperadamente. El asistente permanece desactivado hasta que la persona anfitriona determine la ubicación y un revisor cualificado confirme que el análisis existente sigue siendo aplicable.

La lección clave es operativa: la aprobación previa no elimina la necesidad de decidir si se activa el sistema en cada reunión.

Hechos verificados, supuestos, estimaciones y recomendaciones

Las etiquetas claras evitan presentar preferencias de gobernanza como si fueran normas jurídicas universales.

Hechos verificados

• La legislación federal de EE. UU. sobre interceptación contempla una base de consentimiento de una de las partes o de consentimiento previo, con sujeción a excepciones; pueden aplicarse normas estatales más estrictas.
• El artículo 632 del Código Penal de California aborda el consentimiento de todas las partes para determinadas comunicaciones confidenciales.
• Cuando se aplica, el RGPD impone requisitos de base jurídica, transparencia, limitación de la finalidad, minimización, limitación del plazo de conservación, seguridad, contratos con encargados del tratamiento y transferencias internacionales.
• La FTC ha cuestionado prácticas relacionadas con datos de voz que implicaban conservación permanente, eliminación inadecuada, acceso innecesario de empleados y usos no divulgados para entrenar algoritmos (lecciones de las medidas de cumplimiento de la FTC).
• En contextos sujetos a HIPAA, un proveedor que gestione información médica protegida en nombre de una entidad cubierta puede ser un asociado comercial y requerir un acuerdo escrito conforme a la normativa (orientación del HHS).

Supuestos de implementación que deben sustituirse por hechos

Este marco supone que el asistente recibe audio en vivo o una transcripción, que la negociación es privada, que un proveedor de servicios en la nube puede tratar los datos y que los asistentes pueden conectarse desde varias jurisdicciones. Sustituya cada supuesto por hechos documentados antes de aprobar el sistema.

Estimaciones e incertidumbres

Un plazo predeterminado de conservación breve suele reducir la exposición, pero no existe una cifra única que sea correcta en todos los casos. La necesidad de una evaluación de impacto relativa a la protección de datos, una evaluación de transferencias, una consulta laboral, una evaluación de riesgos de la CCPA, un acuerdo de asociado comercial u otra revisión depende de los hechos y de las normas aplicables.

Recomendaciones

Use como estándar empresarial predeterminado el consentimiento afirmativo de todos los participantes. Prohíba los usos secundarios salvo que se autoricen por separado. Separe las notas internas de las actas compartidas. Exija aprobación humana para la activación y las acciones sustantivas de negociación. Son recomendaciones de gestión de riesgos, no afirmaciones de que todas las leyes exijan controles idénticos.

Para un diseño más amplio de mandatos y aprobaciones, consulte Diseñar la aprobación humana en una plataforma de negociación con IA. Para estructurar la preparación previa a la reunión, consulte Un proceso de planificación de negociación en ocho pasos.

Límites de este marco

CLEAR es una base de gobernanza, no sustituye el análisis específico de cada jurisdicción. Las normas de grabación varían entre países y estados de EE. UU., y las llamadas interestatales o transfronterizas pueden plantear cuestiones que dependen de los hechos. Un acuerdo de confidencialidad no sustituye el cumplimiento de las normas de privacidad, la revisión de seguridad, el análisis del secreto profesional ni un acuerdo con el encargado del tratamiento. El consentimiento también puede ser inválido o inadecuado en una relación laboral u otro contexto con un desequilibrio de poder.

Este enfoque no autoriza la identificación biométrica, el reconocimiento de emociones, la puntuación de empleados, el tratamiento de datos de salud, el tratamiento de información protegida por el secreto profesional ni el entrenamiento de modelos generales. Cada una de estas actividades puede requerir una revisión independiente o estar prohibida. Tampoco determina si una transcripción concreta debe conservarse por motivos de litigio, regulación o auditoría.

Preguntas frecuentes

¿Se requiere consentimiento si el asistente no guarda el audio?

Es posible. Un flujo transitorio aún puede implicar interceptación y tratamiento de datos personales, mientras que la transcripción y el análisis derivado generan registros adicionales. La necesidad legal de consentimiento depende de las normas aplicables sobre grabación, privacidad, empleo y sectores específicos. Desde el punto de vista operativo, informe sobre la IA y obtenga el consentimiento afirmativo de todos los participantes antes de empezar a escuchar.

¿El icono de grabación de una plataforma de reuniones demuestra que existe un consentimiento válido?

No dé por sentado que sí. Es posible que el icono no explique el análisis mediante IA, los destinatarios, la conservación, el entrenamiento de modelos ni la retirada del consentimiento. Use un aviso aprobado y registre la respuesta afirmativa de cada participante, salvo que un asesor jurídico cualificado apruebe otro proceso.

¿Durante cuánto tiempo deben conservarse las grabaciones y transcripciones de negociaciones?

No existe un plazo universal. Defina por separado la conservación del audio, las transcripciones, los resultados, los registros y las copias de seguridad según la finalidad, la legislación, el contrato, las obligaciones sectoriales y las retenciones legales. No conserve los datos más tiempo del justificado y guarde evidencia de que se eliminaron.

¿Puede una IA con intervención humana hacer ofertas durante una negociación en vivo?

Una recomendación puede ayudar al negociador autorizado, pero la persona debe decidir si comunica, modifica, acepta o rechaza una oferta. El sistema no debe exceder la autoridad aprobada, revelar límites de reserva ni dar a entender que existe la aprobación de las partes interesadas.

¿Qué ocurre si un participante no da su consentimiento para grabar la negociación en vivo?

No active la función de escucha o transcripción. Ofrezca una reunión sin IA, toma manual de notas o un flujo de trabajo que no escuche y utilice notas ingresadas manualmente. No convierta una negativa en consentimiento por el mero hecho de que la persona permanezca en la llamada.

Lecturas adicionales

• Reglamento General de Protección de Datos de la Unión Europea
• 18 U.S.C. §2511: interceptación y consentimiento
• California Penal Code §632
• NIST AI Risk Management Framework Core
• Orientación de la FTC sobre datos de voz, conservación, acceso y entrenamiento

Aviso legal: Este artículo ofrece información general sobre gobernanza; no constituye asesoramiento jurídico, financiero ni específico de una jurisdicción.