В феврале 2026 года многонациональная корпорация столкнулась со штрафом в размере 2,4 миллиона евро за нарушение GDPR после того, как внутреннее HR-расследование показало, что записи совещаний, расшифрованные с помощью ИИ, хранились на сторонних серверах без явного согласия сотрудников. Инцидент, впервые о котором сообщило агентство Reuters, вызвал шок в юридических отделах корпораций по всему миру.

Инструменты транскрипции на основе ИИ стали стандартом на удаленных и гибридных рабочих местах. Но многие компании не осознают, что создают огромные риски для соответствия требованиям каждый раз, когда нажимают “запись”. Согласие сотрудников, политика хранения данных, трансграничная передача данных и соглашения о сторонней обработке – все это потенциальные юридические мины.

Мы проанализировали требования Статьи 6 и Статьи 9 GDPR, рассмотрели 12 инструментов транскрипции на основе ИИ на предмет функций конфиденциальности и проконсультировались с юристами по трудовому праву в ЕС и США. Вот что компаниям необходимо знать, чтобы легально использовать ИИ-транскрипцию в 2026 году.

По теме: Лучшие инструменты ИИ-транскрипции, ИИ-помощники для совещаний для команд, ИИ-инструменты для заметок со встреч

Кризис конфиденциальности в ИИ-транскрипции

По данным Gartner, 67% компаний, использующих ИИ-помощников для совещаний, не имеют формальной политики хранения данных для транскрипций. Это катастрофа для соблюдения требований, которая ждет своего часа.

Вот что происходит: Сотрудник присоединяется к звонку Zoom. ИИ-бот присоединяется автоматически. Разговор расшифровывается, анализируется на предмет настроения и хранится на стороннем сервере бессрочно. Никто не спрашивал согласия. Никто не объяснял, куда деваются данные. Никто не устанавливал сроки удаления.

В соответствии со Статьей 6 GDPR это является неправомерной обработкой. В соответствии с CPRA Калифорнии это нарушение прав сотрудников на конфиденциальность. В соответствии с трудовым законодательством Германии, Австрии и Франции это может стать основанием для вмешательства производственного совета или даже уголовного преследования.

Конкретные риски:

• Отсутствие механизма согласия: Многие ИИ-инструменты автоматически присоединяются к совещаниям без индивидуального согласия.
• Бессрочное хранение: Транскрипции, хранящиеся вечно, создают нарушения, связанные с “накоплением данных”.
• Обработка сторонними лицами: Отправка голосовых данных сотрудников на серверы, расположенные в США, нарушает Schrems II.
• Раскрытие конфиденциальных данных: Обсуждения здоровья, аттестации и кадровые вопросы в транскрипциях = специальные категории данных по Статье 9.
• Отсутствие доступа субъекта данных: Сотрудники не могут запросить или удалить данные своей транскрипции.

ИИ-транскрипция не является незаконной. Но ее неосторожное использование абсолютно незаконно.

Требования GDPR к транскрипции на рабочем месте

Общий регламент по защите данных (GDPR) ЕС устанавливает строгие правила обработки данных сотрудников. Вот что на самом деле требуется для соблюдения:

1. Правовое основание (Статья 6)

Вам необходимо одно из шести правовых оснований для обработки голосовых записей и транскрипций сотрудников. На практике только два подходят для большинства компаний:

Законный интерес (Статья 6(1)(f)): Вы можете расшифровывать совещания, если это необходимо для деловых операций И права сотрудников на конфиденциальность не перевешивают ваш интерес. Это требует документированной оценки законного интереса (LIA).

Согласие (Статья 6(1)(a)): Свободно данное, конкретное, информированное и недвусмысленное. “Присоединяясь к этому звонку, вы соглашаетесь” НЕ является действительным согласием в соответствии с GDPR. Сотрудники должны иметь возможность отказаться без последствий.

Важно: Вы НЕ можете использовать “необходимость выполнения договора” (Статья 6(1)(b)) или “юридическое обязательство” (Статья 6(1)(c)) для обычной транскрипции совещаний. Европейский совет по защите данных четко заявил об этом.

2. Прозрачность (Статьи 13-14)

Перед записью сотрудники должны знать:

• Кто обрабатывает данные (название компании + любые сторонние поставщики)
• Зачем вы делаете транскрипцию (деловая цель)
• Где хранятся транскрипции (местоположение данных, серверы, облачные провайдеры)
• Как долго хранятся транскрипции (конкретный срок, а не “столько, сколько необходимо”)
• Кто может получить доступ к транскрипциям (роли, отделы, третьи стороны)
• Как запросить удаление (процесс запроса субъекта данных)

Это должно быть оформлено письменно, простым языком, до первой записи.

3. Минимизация данных (Статья 5(1)(c))

Вы можете транскрибировать только то, что вам нужно. Если вы делаете транскрипцию для отслеживания пунктов действий, вам не нужны полные дословные транскрипции. Если вам нужны резюме встреч, вам не нужно хранить необработанный звук.

Многие инструменты ИИ транскрибируют всё по умолчанию. Это нарушение GDPR, если у вас нет веской причины.

4. Ограничение хранения (Статья 5(1)(e))

Транскрипции не могут храниться неопределённо долго. Вам нужен документированный график хранения:

• Пункты действий / решения: 30-90 дней
• Документация по проекту: Срок действия проекта + 6 месяцев
• Кадровые/юридические вопросы: Как того требует трудовое законодательство (обычно 3-7 лет)
• Всё остальное: максимум 30 дней

Политики автоматического удаления крайне важны. Ручная проверка не масштабируется.

5. Специальные категории данных (Статья 9)

Информация о здоровье, членство в профсоюзах, политические взгляды и другие конфиденциальные данные требуют явного согласия или другого исключения, предусмотренного Статьей 9. Если ваши транскрипции могут содержать такие данные (кадровые совещания, аттестации), вам потребуются дополнительные меры безопасности.

Согласие сотрудника: Что действительно работает

«Подразумеваемое согласие» не существует в рамках GDPR. Вот что действует:

Согласие должно быть конкретным

Плохо: “Мы можем записывать встречи для целей качества и обучения.”

Хорошо: “Мы будем транскрибировать эту встречу с использованием Otter.ai, который обрабатывает аудио в США. Стенограммы будут храниться в течение 30 дней и будут доступны [определенным ролям]. Вы можете отказаться без штрафных санкций, уведомив [контактное лицо] до начала встречи.”

Согласие должно быть добровольным

Сотрудники должны иметь возможность отказаться без негативных последствий. Если отказ означает, что они не могут присутствовать на встрече или выполнять свою работу, это не является действительным согласием.

Решение: Предложите альтернативные методы участия (только телефонный вариант, ручные заметки, доступ к итогам встречи после ее проведения).

Согласие должно быть задокументировано

Ведите записи о том, кто дал согласие, когда и на что. Это критически важно для ответов на запросы DSAR и аудитов.

Лучшая практика: Используйте платформу для управления согласиями или интегрируйте отслеживание согласия/отказа в ваш рабочий процесс встреч.

Согласие может быть отозвано

Сотрудники могут отозвать согласие в любое время. Вы должны удалить их данные в течение 30 дней, если у вас нет другого правового основания.

Обработка на устройстве против облачной обработки

Место, где происходит транскрипция, имеет огромное значение для соблюдения норм:

Облачная обработка (большинство инструментов ИИ)

• Аудио отправляется на сторонние серверы (AWS, Google Cloud, Azure)
• Данные пересекают границы (часто в США, даже для клиентов из ЕС)
• Требует Соглашения об обработке данных (DPA) с поставщиком
• Подвержено инцидентам безопасности и утечкам данных со стороны поставщика
• Может требовать Стандартных договорных положений (SCCs) для передачи данных из ЕС в США

Влияние на соответствие: Высокий риск. Требует тщательной проверки поставщика, DPA и оценки влияния передачи данных.

Обработка на устройстве

• Аудио остается на компьютере пользователя или сервере компании
• Отсутствие доступа третьих сторон
• Отсутствие трансграничной передачи данных
• Полный контроль над хранением и удалением

Влияние на соответствие: Низкий риск. Легче обосновать в соответствии со статьей 6(1)(f) законного интереса.

Инструменты с возможностями обработки на устройстве: ScreenApp (опциональный режим только локальной обработки), Whisper (самостоятельное размещение), MacWhisper (локальная транскрипция для macOS).

Рекомендации по хранению данных

Бессрочное хранение является нарушением GDPR. Вот что работает:

Политики автоматического удаления

Установите правила хранения на основе типа встречи:

Тип встречи	Срок хранения	Причина
Ежедневный стендап	7 дней	Только для оперативных целей
Планирование проекта	90 дней	Продолжительность проекта
Звонки клиентам	1 год	Договорное обязательство
Аттестации сотрудников	3 года (в некоторых юрисдикциях 7)	Требование трудового законодательства
Расследования HR	7 лет	Юридическая защита

Используйте функции автоудаления. Ручное удаление не происходит последовательно.

Анонимизация против удаления

Анонимизация (удаление имен, адресов электронной почты, идентифицирующей информации) может снизить обязательства по хранению. Но это сложно сделать правильно. Если у вас нет настоящего процесса анонимизации (а не просто редактирования), рассматривайте это как хранение.

Хранение резервных копий

Резервные копии считаются хранением данных. Если вы удаляете стенограмму, но она все еще находится в ночной резервной копии в течение 90 дней, вы фактически ее не удалили.

Решение: Внедрите правила исключения из резервного копирования для папок со стенограммами или используйте системы с гранулярным контролем хранения.

Инструменты транскрипции на основе ИИ с приоритетом конфиденциальности

Мы оценили 12 инструментов транскрипции на основе ИИ по функциям конфиденциальности, рабочим процессам получения согласия и соответствию GDPR. Вот что мы обнаружили:

Подробное сравнение конфиденциальности

Rev.ai - Лучшее для соответствия HIPAA

Rev.ai — один из немногих API транскрипции, который предлагает обработку, соответствующую HIPAA, с Соглашением о деловом партнерстве (BAA).

Тип: API | Цена: $0.02/мин асинхронно / $0.065/мин потоково | Обработка: Облако (США)

Функции конфиденциальности: Доступен HIPAA BAA, SOC 2 Type II, настраиваемые политики хранения через API, опция локального развертывания (для предприятий), доступен DPA

Плюсы: Высокая точность, 36 языков, удобный для разработчиков API, потоковые и асинхронные опции, поддержка настраиваемого словаря

Минусы: Только API (требует интеграции разработчика), обработка данных в США, нет встроенного рабочего процесса согласия, нет размещения данных в ЕС на стандартных планах

Как реализовать соответствующую ИИ-транскрипцию

Вот пошаговая дорожная карта соответствия:

Шаг 1: Проведите оценку воздействия на защиту данных (ОВЗД)

Если вы обрабатываете голосовые данные сотрудников в больших масштабах, Статья 35 GDPR требует проведения ОВЗД. Задокументируйте:

• Какие данные вы собираете (голосовые записи, стенограммы, имена выступающих)
• Почему вы их собираете (обоснование для бизнеса)
• Риски для конфиденциальности сотрудников
• Меры по снижению рисков (шифрование, контроль доступа, ограничения по срокам хранения)
• Анализ необходимости (можно ли достичь цели с меньшим объемом данных?)

Проконсультируйтесь со своим сотрудником по защите данных (DPO) или юридической командой.

Шаг 2: Выберите правовое основание

Решите, используете ли вы законный интерес (Статья 6(1)(f)) или согласие (Статья 6(1)(a)).

Законный интерес: Требует задокументированной оценки законного интереса (LIA). Проще для операционных совещаний, где участие является частью работы.

Согласие: Требует рабочих процессов с явным согласием (opt-in). Лучше для необязательных совещаний, обучающих сессий или ситуаций, когда транскрипция не является основной для бизнес-операций.

Шаг 3: Обновите политику конфиденциальности

Добавьте раздел о записи и транскрипции совещаний. Включите:

• Какие инструменты вы используете (названия поставщиков)
• Где данные обрабатываются (страна, облачный провайдер)
• Сроки хранения (конкретные временные рамки)
• Контроль доступа (кто может видеть стенограммы)
• Права сотрудников (как получить доступ, удалить или возразить)

Сделайте ее доступной для всех сотрудников до начала записи.

Шаг 4: Внедрите рабочие процессы согласия

Если вы используете согласие в качестве правового основания:

• Отправляйте уведомления перед совещанием, объясняющие, что будет записано
• Предоставьте механизм отказа
• Задокументируйте согласие (временная метка, ID сотрудника, ID совещания)
• Предложите альтернативные методы участия для сотрудников, которые отказываются

Шаг 5: Настройте политики автоматического удаления

Установите правила хранения в вашем инструменте транскрипции:

• 7 дней для ежедневных стендапов
• 30 дней для большинства операционных совещаний
• 90 дней для контента, связанного с проектами
• Пользовательские сроки хранения для вопросов HR/юридических вопросов (с обоснованием)

Проверьте автоматическое удаление, чтобы убедиться, что оно действительно работает. Многие инструменты заявляют об автоматическом удалении, но требуют ручных триггеров.

Шаг 6: Подпишите соглашения об обработке данных (DPAs)

Если вы используете облачный инструмент, вы являетесь контролером данных, а поставщик — обработчиком данных. Статья 28 GDPR требует письменного DPA.

Запросите DPAs у:

• Otter.ai, Fireflies.ai, Grain, tldv (все предоставляют их)
• Вашего поставщика видеоконференцсвязи (Zoom, Teams, Meet)
• Любого облачного хранилища, где сохраняются стенограммы (Google Drive, OneDrive, Dropbox)

Шаг 7: Обучите менеджеров и сотрудников

Большинство нарушений соответствия происходят потому, что пользователи не знают правил. Проведите обучение по:

• Когда запись разрешена, а когда нет
• Как получить согласие
• Что можно и что нельзя передавать из стенограмм
• Как обрабатывать запросы субъектов данных на доступ
• Политики хранения данных

Сделайте это регулярным обучением (минимум ежегодно).

Что делать со ScreenApp

Мы создали ScreenApp специально для решения этих проблем с соответствием. Вот как использовать его способом, соответствующим конфиденциальности:

1. Включите транскрипцию на устройстве для конфиденциальных встреч (HR, юридические вопросы, аттестация)
2. Используйте размещение данных в ЕС, если ваша компания подпадает под GDPR
3. Установите автоудаление на 30 дней для большинства встреч (или на более короткий срок, если вам не требуется долгосрочное хранение)
4. Включите режим нулевого хранения данных для максимальной конфиденциальности (стенограммы никогда не покидают ваш браузер)
5. Используйте ролевой контроль доступа, чтобы ограничить, кто может видеть стенограммы

Дополнительно: Включите доступ к API ($19/мес) для создания настраиваемых рабочих процессов хранения и интеграции с вашими системами соответствия.

После внедрения

Как только ваша система транскрипции, соответствующая требованиям, будет внедрена:

• ИИ-помощник для заметок со встреч: Создавайте структурированные заметки из соответствующих требованиям стенограмм
• Сумматор видео: Превращайте часовые встречи в 2-минутные резюме
• Видео в документ: Экспортируйте стенограммы с временными метками для хранения записей

Часто задаваемые вопросы

Могу ли я расшифровывать встречи без согласия сотрудников?

Согласно GDPR, вам требуется либо законное основание (Статья 6), ЛИБО согласие. Законный интерес (Статья 6(1)(f)) может быть достаточным для операционных встреч, где транскрипция служит задокументированной деловой необходимости. Но вы все равно должны уведомить сотрудников и позволить им возражать. В Германии, Франции и Австрии производственные советы часто требуют явного согласия независимо от правового основания.

В чем разница между транскрипцией на устройстве и облачной транскрипцией для обеспечения конфиденциальности?

Транскрипция на устройстве обрабатывает аудио локально на вашем компьютере. Аудио никогда не покидает вашу машину, поэтому нет доступа третьих лиц, трансграничной передачи данных и рисков безопасности со стороны поставщика. Облачная транскрипция отправляет аудио на сторонние серверы (обычно AWS или Google Cloud), что требует Соглашений об обработке данных, создает обязательства по передаче данных в соответствии с GDPR и зависит от практик безопасности поставщика.

Как долго я могу хранить стенограммы встреч в соответствии с GDPR?

Статья 5(1)(e) GDPR требует ограничения хранения: вы можете хранить данные только до тех пор, пока это необходимо для цели, для которой вы их собрали. Для отслеживания пунктов действий 30 дней — разумный срок. Для проектной документации — 90 дней. Для кадровых или юридических вопросов трудовое законодательство может требовать 3-7 лет. Вы должны обосновать срок хранения и внедрить политики автоматического удаления.

Нужно ли мне Соглашение об обработке данных с моим поставщиком услуг транскрипции?

Да, если поставщик обрабатывает данные сотрудников от вашего имени (Статья 28 GDPR). Облачные инструменты, такие как Otter.ai, Fireflies.ai, Rev.ai и Grain, требуют DPA. Поставщик должен предоставить стандартный шаблон DPA. Проверьте его, чтобы убедиться, что он охватывает местоположение данных, субпроцессоров, меры безопасности, уведомление о нарушениях и обязательства по удалению данных.

Что произойдет, если сотрудник запросит удаление своих данных транскрипции?

В соответствии со статьей 17 GDPR сотрудники имеют право на удаление данных. Вы должны удалить их данные в течение 30 дней, если у вас нет юридического обязательства хранить их (например, трудовое законодательство, текущее судебное разбирательство). Это включает удаление стенограмм, аудиофайлов и любых резервных копий. Задокументируйте запрос на удаление и подтвердите его выполнение в письменной форме сотруднику.

Является ли запись звонка Zoom без согласия незаконной?

Это зависит от юрисдикции. В ЕС согласно GDPR вам нужна правовая основа (согласие или законный интерес), и вы должны уведомить участников. В США федеральный закон разрешает запись, если одна сторона дает согласие (записывающий), но 11 штатов требуют согласия всех сторон (Калифорния, Коннектикут, Флорида, Иллинойс, Мэриленд, Массачусетс, Мичиган, Монтана, Нью-Гэмпшир, Пенсильвания, Вашингтон). Проверьте местные законы перед записью.

Могу ли я использовать ChatGPT или Claude для анализа стенограмм встреч?

Возможно, но будьте осторожны. Отправка стенограмм в OpenAI или Anthropic означает, что данные голоса сотрудников обрабатываются сторонней компанией из США. Согласно GDPR, это трансграничная передача данных, требующая Стандартных договорных положений и оценки влияния передачи. Оба поставщика предлагают DPA, но вы по-прежнему несете ответственность за соблюдение требований. Рассмотрите возможность использования локальных ИИ-моделей или альтернатив, размещенных в ЕС, для обработки конфиденциальных данных.