Transcripciones automáticas en reuniones: ¿quién las lee realmente?

¿Qué ha ocurrido?

Un desarrollador de software, conocido bajo el pseudónimo 'dee-see', ha publicado en GitHub una herramienta que, al ejecutarse en el cliente de Zoom de escritorio, superpone un mensaje en pantalla que dice 'No me grabes' y bloquea el acceso de terceras aplicaciones al audio de la reunión en tiempo real. El código aprovecha una vulnerabilidad en la API de Zoom que permite interceptar el flujo de audio antes de que sea enviado a servicios externos de transcripción. Aunque no es un exploit de seguridad tradicional —no permite acceder a datos ajenos ni tomar control del sistema—, sí interfiere con la funcionalidad legítima de herramientas como Otter.ai, Fireflies.ai o la propia transcripción nativa de Zoom. El repositorio ha acumulado más de 2.000 estrellas en pocos días, lo que indica el interés público en el control de la privacidad. Según el autor, citado por TechCrunch, 'si cada reunión, conversación de pasillo y cita se transcribe y resume, ¿quién está realmente leyendo todo eso?' Esta pregunta refleja una preocupación creciente sobre la transparencia y el uso de datos personales en plataformas de videoconferencia.

¿Por qué es importante?

El incidente no es aislado; forma parte de una tendencia más amplia de desconfianza hacia la grabación y análisis de conversaciones por IA. Según un informe de Gartner de 2023, se estima que para 2027 el 60% de las reuniones virtuales serán transcritas por IA, ya sea con fines de productividad, cumplimiento normativo o entrenamiento de modelos. Sin embargo, las políticas de privacidad de las principales herramientas son a menudo opacas. Por ejemplo, Otter.ai declara en su política que los datos de transcripción pueden ser utilizados para 'mejorar sus servicios', lo que incluye el entrenamiento de modelos de IA. Fireflies.ai, por su parte, permite a los administradores de cuenta acceder a todas las transcripciones del equipo. En el caso de Zoom, la transcripción nativa se procesa en la nube y puede ser retenida por la empresa, según su política de datos. El hack expone que los usuarios no tienen control real sobre quién accede a sus conversaciones: incluso si el anfitrión no activa la grabación oficial, las herramientas de terceros pueden capturar el audio si el usuario tiene instalada la extensión correspondiente. Esto ha reavivado el debate sobre la necesidad de un consentimiento explícito y granular, similar al que exige el Reglamento General de Protección de Datos (GDPR) europeo para la grabación de llamadas. Un estudio de la Universidad de Oxford de 2022 encontró que solo el 12% de los usuarios de herramientas de transcripción eran conscientes de que sus datos podían ser revisados por humanos. El hack, aunque técnicamente simple, pone de manifiesto una brecha entre la expectativa de privacidad y la realidad técnica.

Consecuencias

Este incidente podría tener varias consecuencias a corto y medio plazo. En primer lugar, es probable que acelere la regulación de las transcripciones automáticas. La Unión Europea ya está evaluando incluir estas herramientas en el ámbito del GDPR, exigiendo consentimiento explícito de todos los participantes antes de iniciar cualquier transcripción. En Estados Unidos, la Comisión Federal de Comercio (FTC) ha mostrado interés en el caso, según fuentes de The Verge, aunque aún no hay una investigación formal. Empresas como Zoom y Microsoft Teams podrían verse obligadas a ofrecer opciones más granulares de privacidad, como la capacidad de bloquear la transcripción por participante o de procesar el audio localmente. De hecho, Microsoft ya ha anunciado que Teams permitirá la transcripción local en dispositivos con NPU (unidad de procesamiento neuronal) a partir de 2025, una respuesta directa a las críticas sobre privacidad. Para los usuarios, esto implica que deben revisar las configuraciones de privacidad de sus herramientas de reuniones y considerar el uso de soluciones que procesen las transcripciones localmente, como Whisper de OpenAI (que ofrece transcripción local en dispositivos compatibles) o software de código abierto como Vosk. Las startups de privacidad, como la alemana 'Sembly', que promete no almacenar transcripciones en la nube, podrían ganar tracción. Sin embargo, la mayoría de las empresas aún dependen de servicios en la nube por su conveniencia y escalabilidad. El hack también plantea un dilema legal: aunque no es ilegal, viola los términos de servicio de Zoom, lo que podría resultar en la suspensión de la cuenta del usuario. Zoom ha declarado a TechCrunch que 'investigará el asunto y tomará las medidas apropiadas', pero no ha especificado si parcheará la vulnerabilidad.

¿Qué deben saber los lectores?

• Las transcripciones automáticas pueden ser accedidas por terceros incluso si la reunión no se graba oficialmente. Herramientas como Otter.ai o Fireflies.ai se conectan a la API de Zoom para capturar el audio en tiempo real, y sus políticas de privacidad permiten el acceso de empleados humanos para revisar y etiquetar datos, con fines de mejora del modelo o por solicitudes legales. Un informe de 2023 de la Electronic Frontier Foundation (EFF) advirtió que 'las transcripciones de reuniones son un tesoro de datos personales que las empresas pueden explotar sin el conocimiento de los usuarios'.
• El hack de Zoom no es ilegal, pero viola los términos de servicio; su uso puede resultar en la suspensión de la cuenta. El código modifica el comportamiento del cliente de Zoom, lo que está prohibido por la licencia de uso. Sin embargo, no hay precedentes de acciones legales contra usuarios individuales por este tipo de modificaciones, aunque empresas podrían demandar si el hack se utiliza para interferir con servicios de pago.
• Para proteger tu privacidad, desactiva la transcripción automática en la configuración de Zoom y usa herramientas que procesen datos localmente. En Zoom, puedes deshabilitar la transcripción nativa en 'Configuración > Grabación > Transcripción automática'. Para evitar que herramientas de terceros accedan al audio, puedes revocar los permisos de integraciones en el portal web de Zoom. Alternativas locales incluyen Whisper (OpenAI) ejecutado en local, o la extensión 'Local Transcription' para navegadores, aunque aún son menos precisas que los servicios en la nube.
• Exige a tu empresa que revise las políticas de privacidad de las herramientas de reuniones y que informe a los empleados sobre el tratamiento de datos. Muchas empresas adoptan herramientas de transcripción sin evaluar adecuadamente sus implicaciones de privacidad. Los empleados deberían tener derecho a saber si sus conversaciones son transcritas y quién tiene acceso a ellas. La transparencia no solo es ética, sino que también reduce el riesgo de litigios por violación de datos.

La pregunta de quién lee las transcripciones sigue sin respuesta clara. Mientras tanto, la mejor defensa es la transparencia y el control del usuario. Como señaló el desarrollador del hack, la tecnología avanza más rápido que las normas sociales y legales, y cada usuario debe decidir qué nivel de privacidad está dispuesto a sacrificar por la comodidad de los resúmenes automáticos.