Ética de la transcripción de entrevistas: obligaciones fundamentales

Las obligaciones fundamentales

Los investigadores que graban y transcriben entrevistas conservan revelaciones privadas en forma documental. Las obligaciones éticas que recaen sobre esos documentos no se satisfacen con obtener el consentimiento para grabar. Se extienden a cómo se procesan, almacenan, comparten, anonimizan y, finalmente, destruyen las transcripciones. Los IRB, los participantes y los marcos de protección de datos plantean preguntas en este ámbito. Esta guía traza las respuestas prácticas.

Las cinco obligaciones que aparecen de forma recurrente en las directrices de los IRB, la Regla Común de Estados Unidos y el RGPD son: un consentimiento que cubra realmente la transcripción y el procesamiento por terceros; una anonimización honesta en lugar de un simple cambio cosmético de nombres; la divulgación del procesamiento en la nube en el formulario de consentimiento y en el protocolo; un calendario concreto de retención y eliminación; y una decisión sobre si se ofrece a los participantes la revisión de la transcripción.

Qué debe cubrir realmente el consentimiento

La Regla Común de Estados Unidos (45 CFR 46.116) exige que el consentimiento informado incluya «una declaración que describa en qué medida, si acaso, se mantendrá la confidencialidad de los registros que identifiquen al sujeto». Esa frase tiene más peso del que parece. Un formulario de consentimiento que diga «su entrevista será grabada» pero no diga nada sobre la transcripción, las herramientas en la nube o el tratamiento de los datos no cumple el espíritu de ese requisito.

Las oficinas de IRB de varias universidades estadounidenses ya tratan las herramientas de transcripción con IA como un elemento de divulgación independiente. La Directriz XI del IRB de Penn State exige que la documentación del consentimiento aborde cómo se «almacenarán, protegerán, utilizarán, transferirán y destruirán» las grabaciones. El IRB de la Universidad de Columbia ha declarado explícitamente que, cuando un servicio de transcripción en la nube procesa el audio de los participantes, la herramienta específica y su política de privacidad deben aparecer en el formulario de consentimiento y en el protocolo de investigación.

En la práctica, esto significa que su formulario de consentimiento necesita tres cosas además de «se le grabará»:

• Una declaración de que la grabación se transcribirá (por usted, por un transcriptor humano o por un servicio de IA).
• Si se utiliza transcripción con IA, el nombre de la categoría de servicio y una descripción en lenguaje claro de lo que el servicio hace con el audio.
• Una declaración sobre cuánto tiempo se conservará la grabación y cuándo se eliminará.

Para los participantes que no aceptaron el procesamiento de sus datos de voz por terceros, la única vía defendible es mantener la transcripción internamente. Las implementaciones locales de Whisper o las herramientas cifradas basadas en portátiles permiten transcribir sin enviar el audio a través de infraestructuras externas en la nube.

Para investigaciones que implican información de salud identificable, un acuerdo de socio comercial (Business Associate Agreement, BAA) con cualquier proveedor de procesamiento de audio es un requisito legal conforme a HIPAA antes de que el proveedor pueda transmitir o almacenar el audio.

Anonimización frente a seudonimización: la distinción que importa

El error más extendido en la transcripción para investigación es llamar anónimos a datos seudonimizados. Las directrices de 2025 del EDPB (Directrices 04/2025) formalizan lo que el Considerando 26 del RGPD siempre ha implicado: los datos verdaderamente anónimos quedan totalmente fuera del ámbito de la legislación de protección de datos. Los datos seudonimizados no.

Los datos están seudonimizados cuando los identificadores se sustituyen, pero la sustitución puede, en principio, revertirse. Una transcripción que utiliza «Participante 4» en lugar del nombre de un participante está seudonimizada, no anonimizada, porque su clave de correspondencia vincula el código con la persona. Esa transcripción sigue siendo un dato personal según el RGPD y el RGPD del Reino Unido. Sigue sujeta a los requisitos de base jurídica, derechos de acceso y obligaciones de supresión.

Los datos solo son auténticamente anónimos cuando se superan las tres pruebas acumulativas del EDPB:

• No se puede singularizar a una persona dentro del conjunto de datos.
• No se pueden vincular registros de la misma persona entre conjuntos de datos.
• No se pueden inferir atributos sobre una persona a partir de los valores de datos restantes.

En la investigación cualitativa, superar las tres pruebas es poco frecuente. Las citas contienen patrones de voz, vocabulario, contexto profesional y detalles situacionales que a menudo sobreviven a la eliminación del nombre. La clasificación honesta para la mayoría de las transcripciones de investigación es la de datos seudonimizados.

La consecuencia práctica: trate sus transcripciones como datos personales hasta que tenga una justificación documentada para afirmar algo más fuerte. Aplique las normas de clasificación de datos de su institución a las transcripciones seudonimizadas, no a materiales «desidentificados».

Cómo seudonimizar una transcripción correctamente

El UK Data Service recomienda planificar la seudonimización en el momento de la transcripción inicial, en lugar de tratarla como una tarea retrospectiva. Sus directrices especifican que deben abordarse tanto los identificadores directos (nombres, datos de contacto) como los indirectos (lugares concretos, fechas y combinaciones de funciones que reducen la posibilidad de identificación).

Un sistema práctico:

1. Sustituya el nombre de cada participante por un seudónimo o código alfanumérico coherente.
2. Sustituya los nombres de terceros que mencione el participante (colegas, familiares, lugares).
3. Agrupe o parafrasee los detalles contextuales identificativos: «[ciudad de la región norte]» en lugar de una localidad concreta; «[un empleador del sector público]» en lugar de un organismo específico.
4. Conserve una clave de correspondencia separada y con control de acceso que vincule los códigos con las identidades reales.
5. Registre cada sustitución en un registro de anonimización almacenado por separado del archivo de transcripción.

El UK Data Service advierte tanto contra la sobreanonimización (eliminar contexto que tiene significado analítico) como contra la subanonimización (dejar combinaciones de detalles que identifican a alguien incluso después de eliminar los nombres).

Para investigaciones publicadas en informes o artículos, utilice los mismos seudónimos de forma coherente para que un lector que siga varios extractos no acabe aprendiendo más sobre un participante por acumulación.

Procesamiento en la nube: qué divulgar y cuándo evitarlo

Todo servicio de transcripción en la nube que procese su audio es un encargado del tratamiento de datos conforme al RGPD y, si hay PHI implicada, un socio comercial conforme a HIPAA. Se trata de una relación jurídica que exige documentación, no solo un proveedor del que espera que se comporte bien.

Antes de subir audio de entrevistas a cualquier servicio en la nube, verifique tres cosas:

• ¿Cuánto tiempo conserva el servicio el audio después de devolver la transcripción?
• ¿Utiliza el servicio el audio para entrenar o mejorar sus modelos? ¿Existe una opción de exclusión voluntaria?
• ¿Ofrece el servicio un acuerdo de tratamiento de datos (Data Processing Agreement, DPA) o, para investigación en salud, un BAA firmado?

Estas preguntas deben figurar en su protocolo de investigación. Los IRB las plantean cada vez más. Varios IRB de universidades estadounidenses han empezado a tratar a los servicios de transcripción en la nube como partes implicadas en la investigación si reciben audio de los participantes, lo que puede dar lugar a una revisión de la propia herramienta por parte del IRB.

Para entrevistas sobre temas sensibles (trauma, afecciones de salud estigmatizadas, situación migratoria, denuncias internas en el lugar de trabajo), la opción conservadora por defecto es el procesamiento local. Herramientas de código abierto como Whisper de OpenAI se ejecutan en un portátil sin acceso a la red durante la transcripción.

Para investigaciones cuyo tema no sea sensible y en las que los participantes hayan consentido el procesamiento en la nube con una divulgación clara, los servicios que ofrecen un DPA y una opción explícita de exclusión del entrenamiento son la vía intermedia entre el procesamiento local y el envío incontrolado a la nube.

Si solo necesita transcripciones precisas para entrevistas no sensibles en las que los participantes han consentido el procesamiento en línea, la herramienta de audio a texto de ConvertAudioToText utiliza la infraestructura de procesamiento de AssemblyAI con una política de retención documentada. Lea esa política antes de subir audio de investigación.

Retención y eliminación: defina un calendario antes de recopilar

Muchos investigadores lo hacen al revés. Recopilan, transcriben, analizan, publican y luego se preguntan qué hacer con archivos que ya llevan dos años conservando. La decisión sobre la eliminación debería tomarse antes de empezar a recopilar datos y quedar documentada en el protocolo del IRB.

Un marco práctico de retención separa el audio de las transcripciones según el nivel de riesgo.

Las grabaciones de audio presentan el mayor riesgo de reidentificación. Las voces son biométricas. Si el audio se conserva después de la transcripción, una filtración de datos posterior o una orden judicial podría exponer la identidad de un participante incluso en un estudio seudonimizado. La mayoría de las directrices de los IRB recomiendan eliminar el audio una vez que se haya verificado que la transcripción está completa y es precisa. Varios protocolos de IRB establecen un plazo concreto: entre 24 y 48 horas después de la verificación.

Las transcripciones seudonimizadas conllevan menos riesgo y mayor valor analítico. Normalmente se conservan durante la fase de análisis del estudio y, en el caso de tesis o trabajos de investigación, durante el periodo de examen. Los patrocinadores federales suelen exigir un mínimo de tres años después de la publicación. El calendario específico debe figurar en su protocolo.

La clave de correspondencia (el archivo que vincula los códigos con los nombres reales) es el elemento de mayor riesgo de su archivo. Debe guardarse en un almacenamiento institucional cifrado y con control de acceso. Al eliminarla, los datos de los participantes en la transcripción se vuelven efectivamente anónimos a efectos prácticos, aunque la propia transcripción aún pueda contener identificadores residuales.

Cree dos eventos de calendario al iniciar un estudio: uno para la eliminación del audio y otro para la eliminación de la clave de correspondencia. Vincúlelos a los hitos de cierre del estudio de su protocolo. Las revisiones anuales del IRB son un punto de control natural.

Para las obligaciones de tratamiento de datos con las que esto se relaciona, consulte costes ocultos de los servicios de transcripción y transcripción para investigación cualitativa.

Revisión de la transcripción por los participantes: qué es y cuándo ofrecerla

La verificación por los participantes (también llamada validación de los encuestados o revisión de la transcripción por los participantes) es una estrategia de credibilidad en la que el investigador devuelve datos o hallazgos a los participantes para que los revisen. Lincoln y Guba (1985) la describieron como «la técnica más crítica para establecer credibilidad» en la investigación cualitativa.

A nivel de transcripción, la forma más sencilla consiste en enviar a los participantes una copia de la transcripción de su entrevista y pedirles que la revisen para comprobar su exactitud. A nivel de hallazgos, Birt y colegas (2016) propusieron la verificación sintetizada por los participantes, en la que se comparten los hallazgos analíticos en lugar de las transcripciones brutas y se pregunta si la interpretación resulta acertada.

La revisión a nivel de transcripción y la revisión a nivel de hallazgos tienen propósitos distintos. La revisión de la transcripción aborda la exactitud factual y la comodidad del participante con el registro. La revisión de hallazgos aborda la validez interpretativa. Ninguna es obligatoria, pero ambas son éticamente transparentes, y algunos marcos de investigación (en particular los de diseño participativo) las tratan como obligaciones.

Consideraciones prácticas antes de ofrecer la revisión de la transcripción:

• Los participantes que ven su transcripción suelen querer cambiar, añadir o retirar fragmentos. Decida de antemano cómo gestionará esas solicitudes y describa esa decisión en su protocolo.
• Enviar transcripciones crea una nueva obligación de tratamiento. El mecanismo de correo electrónico o transferencia de archivos debe ser seguro.
• A algunos participantes les resulta angustioso leer su propio discurso en forma de texto, sobre todo si la entrevista abordó un trauma. Ofrezca la opción sin dar a entender que es obligatoria.
• La revisión de la transcripción reabre la relación de entrevista. En el caso de poblaciones vulnerables, valore si esa nueva interacción es apropiada.

Mi opinión: para la mayoría de los estudios con entrevistas, ofrecer la revisión de la transcripción es una buena práctica y tiene un coste bajo. Los participantes que sienten que pueden corregir el registro son más propensos a hablar con franqueza desde el principio. La carga administrativa es manejable si crea un formulario sencillo de solicitud de correcciones y un protocolo de respuesta documentado antes de empezar.

Para saber más sobre el flujo de trabajo de la entrevista al análisis en el que esto se integra, consulte codificación de entrevistas cualitativas y análisis temático a partir de transcripciones.

Una lista de verificación ética previa al análisis

Antes de pasar una transcripción de investigación al análisis, confirme cada punto:

• El consentimiento cubría la transcripción, el método utilizado (humano/IA/nube) y la retención de datos.
• El audio se ha eliminado o hay una fecha de eliminación programada.
• La transcripción está seudonimizada y existe un registro de anonimización.
• La clave de correspondencia está en un almacenamiento cifrado con control de acceso.
• Cualquier DPA o BAA del servicio en la nube está firmado y archivado.
• Se ofreció la revisión de la transcripción a los participantes o existe una justificación documentada para no haberla ofrecido.

Seis puntos. Repasarlos lleva menos de cinco minutos y genera un rastro documental que satisface la revisión del IRB y, si trabaja en el ámbito del RGPD, respalda su obligación de responsabilidad proactiva conforme al artículo 5, apartado 2.

Preguntas frecuentes

Cómo seudonimizar una transcripción correctamente

El UK Data Service recomienda planificar la seudonimización en el momento de la transcripción inicial. Sustituya sistemáticamente los identificadores directos (nombres, datos de contacto) y los indirectos (lugares concretos, fechas, combinaciones de funciones). Utilice un seudónimo o código coherente para cada participante, conserve una clave de correspondencia separada y con control de acceso, y registre cada sustitución en un registro de anonimización guardado aparte del archivo de transcripción. Agrupe los detalles contextuales que puedan reducir la posibilidad de identificación incluso sin que aparezca un nombre.

¿Debe mi formulario de consentimiento del IRB mencionar la herramienta de IA específica que utilizo para la transcripción?

La práctica del IRB varía según la institución, pero varios IRB universitarios (incluidos Columbia y Penn State) recomiendan o exigen ahora indicar la categoría del servicio de transcripción y describir qué hace con el audio tanto en el formulario de consentimiento como en el protocolo del estudio. Consentir que los participantes acepten la «grabación de audio» sin mencionar el procesamiento de IA por terceros se considera cada vez más una divulgación insuficiente, sobre todo en temas de investigación sensibles. En caso de duda, pregunte a su coordinador del IRB antes de que empiece la recogida de datos, y no después.

¿Cuál es la diferencia entre anonimización y seudonimización en las transcripciones de investigación?

Conforme al RGPD y al RGPD del Reino Unido (y en consonancia con las Directrices 04/2025 del EDPB), los datos anonimizados quedan totalmente fuera del ámbito de la legislación de protección de datos porque no se puede identificar a ninguna persona a partir de ellos. Los datos seudonimizados sustituyen los identificadores directos por códigos, pero conservan una clave de correspondencia, lo que significa que, en principio, los datos pueden volver a vincularse a una persona. La mayoría de las transcripciones de investigación son seudonimizadas, no anónimas, y deben tratarse como datos personales con todos los derechos y obligaciones que ello implica.

¿Cuánto tiempo debo conservar las grabaciones de audio y las transcripciones después de cerrar un estudio?

Las grabaciones de audio generalmente deben eliminarse una vez que se haya verificado que la transcripción está completa y es precisa. Muchos protocolos del IRB especifican un plazo de 24 a 48 horas tras la verificación. Las transcripciones seudonimizadas normalmente deben conservarse durante la fase de análisis y publicación; los patrocinadores federales suelen exigir un mínimo de tres años después de la publicación. El calendario específico debe figurar en el protocolo del IRB antes de que empiece la recogida de datos. La clave de correspondencia debe eliminarse en cuanto deje de servir a su finalidad de investigación.

¿Necesito un Business Associate Agreement con un servicio de transcripción si mi investigación incluye entrevistas relacionadas con la salud?

Si su investigación implica Información de Salud Protegida (PHI) según la definición de HIPAA, cualquier proveedor que procese, almacene o transmita ese audio es un socio comercial y debe firmar un BAA antes de que se transmita cualquier audio. Esto se aplica a los servicios de transcripción con IA que procesan el audio de los participantes en la nube. Subir PHI a un proveedor sin un BAA es una violación de HIPAA con independencia del contexto de la investigación. Para investigaciones que no impliquen PHI pero sí temas de salud sensibles, la obligación de BAA puede no aplicarse legalmente, pero el argumento ético para establecer protecciones contractuales equivalentes es sólido.

¿Es obligatorio ofrecer a los participantes la revisión de la transcripción?

No existe ningún requisito normativo universal que obligue a la revisión de la transcripción en la investigación cualitativa. Lo que varía es la expectativa ética dentro de marcos metodológicos concretos. La investigación-acción participativa trata la aportación del participante al registro como un principio fundamental. El análisis temático (Braun y Clarke) y los enfoques de teoría fundamentada consideran que las estrategias de credibilidad como la verificación de los participantes son opcionales pero valiosas. La decisión debe quedar documentada en el protocolo de cualquier manera: ofrecerla con un proceso para gestionar los cambios solicitados, o documentar por qué no era apropiada para el diseño del estudio.

Fuentes

• Regla Común de EE. UU., 45 CFR 46.116 (actualizada a junio de 2026): https://www.law.cornell.edu/cfr/text/45/46.116
• Directriz XI del IRB de Penn State: https://researchsupport.psu.edu/orp/irb/irb-resources-training-and-events/irb-guidelines/irb-guideline-xi-research-involving-audio-video-or-digital-recordings-of-research-participants/
• Blog del IRB de la Universidad de Columbia, Grabación de audio y vídeo en la investigación remota (2022): https://www.tc.columbia.edu/institutional-review-board/irb-blog/2022/audio-and-video-recording-in-remote-research/
• Directrices 04/2025 del EDPB sobre anonimización (a través de Innovires Legal): https://www.innovires.com/en/blog/edpb-anonimizacia-psevdonimizacia.html
• UK Data Service, Anonimización de datos cualitativos: https://ukdataservice.ac.uk/learning-hub/research-data-management/anonymisation/anonymising-qualitative-data/
• ICO, Introducción a la anonimización: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/introduction-to-anonymisation/
• ICO, Seudonimización: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/pseudonymisation/
• Lincoln, Y. S., y Guba, E. G. (1985). Naturalistic Inquiry. Sage.
• Birt, L., Scott, S., Cavers, D., Campbell, C., y Walter, F. (2016). Member Checking: A Tool to Enhance Trustworthiness or Merely a Nod to Validation? Qualitative Health Research, 26(13).
• Guía de HHS sobre BAA en HIPAA: https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/hipaa-audio-telehealth/index.html