Transcripción para terapeutas: notas, revisión y la barrera del BAA

Cualquier grabación o transcripción que contenga información identificable de un cliente es información de salud protegida (PHI). Eso significa que las notas de evolución generadas a partir del audio de las sesiones, las grabaciones de supervisión revisadas con un supervisor y las grabaciones de investigación con clientes reales quedan todas bajo HIPAA, y el proveedor de transcripción que uses debe firmar un Acuerdo de Asociado Comercial antes de que subas un solo archivo.

Esta publicación se centra en el lado práctico: cómo funcionan realmente los flujos de trabajo de las notas de evolución y la revisión en supervisión, dónde están situadas las barreras de cumplimiento y qué exigen los principales códigos éticos.

¿Tu caso de uso implica PHI?

La primera pregunta no es «qué herramienta debería usar», sino «qué tipo de contenido estoy transcribiendo».

Las notas de evolución a partir de grabaciones de sesiones son PHI. El audio de un cliente hablando, las transcripciones generadas con IA de ese audio y cualquier nota estructurada derivada de ellos contienen todos PHI. Que la nota final pueda estar desidentificada no cambia el estatus de la grabación original durante el procesamiento.

Las grabaciones de supervisión son PHI. Cuando un practicante en formación o un terapeuta licenciado graba una sesión para su revisión por parte del supervisor, la grabación conserva su estatus de PHI. El supervisor se convierte en una persona adicional autorizada a acceder, no en una razón para que el contenido pierda su estatus protegido.

El contenido didáctico totalmente desidentificado no es PHI. Si creas escenarios compuestos a partir de varios clientes, sin nombres, fechas, lugares ni detalles que puedan identificar a nadie, ese material queda fuera del alcance de HIPAA. Lo mismo aplica a tus propias grabaciones de formación continua, pódcasts y contenido de desarrollo profesional.

La división práctica: proveedor con BAA compatible con HIPAA para todo lo clínico; transcripción general con IA para todo lo demás.

Lo que HIPAA exige realmente a los proveedores de transcripción

Para cualquier transcripción que implique PHI, tu proveedor debe:

Firmar un Acuerdo de Asociado Comercial. Obligatorio. Sin excepciones. La OCR ha resuelto casos por sumas importantes donde la única violación era la falta de un BAA. Según la guía de HIPAA, tanto la entidad cubierta como el proveedor incurren en violación si se procesa PHI sin él, incluso si no se produce ninguna brecha de datos.

Cifrar los datos en reposo y en tránsito. El estándar actual es AES de 256 bits para el almacenamiento y TLS para la transmisión.

Mantener controles de acceso y registros de auditoría. Solo el personal autorizado debería poder acceder a las grabaciones y transcripciones.

Cubrir a los subcontratistas. Si el proveedor de transcripción utiliza almacenamiento en la nube o infraestructura de IA de un tercero, ese subcontratista también debe quedar cubierto dentro de la cadena de cumplimiento.

Apoyar tu política de retención. Las grabaciones deben eliminarse según un calendario definido. Mentalyc, por ejemplo, elimina automáticamente las grabaciones de sesiones después de tres días mientras conserva la nota generada, lo cual encaja bien con el principio de «mínimo necesario».

Consulta la publicación sobre transcripción conforme a HIPAA para ver un desglose completo de los requisitos del BAA y qué buscar en los acuerdos con proveedores.

Herramientas que funcionan para notas de evolución y supervisión

Las herramientas de notas con IA específicas para terapia han reconstruido toda la capa de cumplimiento desde cero. Las plataformas de propósito general no.

Mentalyc está diseñado específicamente para la práctica de terapia. Genera notas SOAP, DAP, BIRP y de admisión a partir del audio de las sesiones. Incluye BAA en todos los planes (desde 19,99 $/mes por 40 notas hasta 119,99 $/mes por 330 notas, verificado en la página de precios de Mentalyc en julio de 2026). Las grabaciones se eliminan automáticamente después de tres días. Certificación SOC 2 Tipo II. Adecuado para prácticas individuales y grupales.

Upheal combina un redactor de notas con IA con funciones integradas de historia clínica electrónica (EHR), incluidas la gestión de citas y la telesalud. Compatible con HIPAA con BAA en todas las cuentas de pago (según la documentación de Upheal, verificado en julio de 2026). Las notas se redactan en segundos; las grabaciones se eliminan por defecto salvo que elijas conservarlas.

Eleos Health atiende a organizaciones grandes de salud conductual más que a profesionales individuales. Certificaciones HIPAA, SOC 2 Tipo II, HITRUST e ISO 27001; BAA disponible mediante contrato empresarial. Se implementa como una superposición en el navegador sobre los EHR existentes sin reemplazarlos. La implementación lleva de dos a tres meses, lo cual refleja su mercado objetivo.

Lyssn está orientado a la formación clínica y al aseguramiento de calidad más que a la documentación de facturación. Compatible con HIPAA con BAA, alojado en infraestructura de AWS. Muy adecuado para programas de formación y prácticas grupales que ejecutan flujos de supervisión a gran escala, no para el profesional individual que genera notas de evolución cada tarde.

SimplePractice Note Taker es la función de notas con IA integrada en el EHR de SimplePractice. Compatible con HIPAA, certificado HITRUST, cubierto por el BAA de SimplePractice. A partir de junio de 2026, SimplePractice conserva las transcripciones desidentificadas para mejorar el modelo a menos que rechaces esta opción, algo que conviene revisar antes de usar la función (según la política de retención publicada por SimplePractice).

Opciones integradas en EHR (TherapyNotes, TheraNest). Si ya usas una de estas plataformas, comprueba si su función de notas con IA ya está disponible, cómo es la cobertura del BAA y si necesitas un complemento aparte.

Para la revisión de grabaciones de supervisión en un contexto formativo, Lyssn es la opción más especializada. Para las notas de evolución en práctica individual o de grupo pequeño, Mentalyc y Upheal son los más sencillos de configurar.

Lo que exigen los códigos éticos

HIPAA cubre la capa de seguridad de los datos. Los códigos éticos profesionales añaden encima una capa de consentimiento y propósito.

Norma 4.03 de APA (Grabación): Antes de grabar la voz o la imagen de las personas a las que prestan servicios, los psicólogos deben obtener el permiso de todas esas personas o de sus representantes legales. Esto es independiente del consentimiento informado general para el tratamiento; debe cubrir específicamente la grabación.

Norma 4.04 de APA (Minimizar intrusiones en la privacidad): Los psicólogos incluyen en informes escritos y orales únicamente la información pertinente al propósito para el que se realiza la comunicación. Esto aplica a lo que haces con las transcripciones una vez que las tienes, no solo a si grabas o no.

Sección B.6.c de ACA (Permiso para grabar): Los consejeros deben obtener el permiso del cliente antes de grabar las sesiones por medios electrónicos o cualquier otro medio. La Sección B.6.d añade que también se requiere permiso antes de permitir que cualquier tercero revise transcripciones o grabaciones de sesiones, lo cual cubre directamente el uso en supervisión.

Sección 1.07 de NASW (Privacidad y confidencialidad) y Sección 3.04 (Registros de clientes): La información confidencial solo puede divulgarse con un consentimiento válido. La Sección 3.04 aborda cómo deben documentarse, almacenarse y protegerse los registros de clientes, incluidas las grabaciones.

Sección 1.11 de AAMFT (Consentimiento escrito para grabar): Los terapeutas matrimoniales y familiares deben obtener consentimiento informado y autorización por escrito antes de grabar imágenes, vídeo o audio, utilizar cualquier servicio de transcripción o permitir la observación por terceros. Es el más explícito de los códigos principales respecto a los servicios de transcripción en particular.

Hilo común en los cuatro: el consentimiento debe ser específico para la grabación, debe indicar el propósito y debe señalar quién más tendrá acceso. Un formulario de consentimiento general de tratamiento que no mencione la grabación ni las herramientas de IA no satisface estos requisitos.

Si trabajas con clientes con trastornos por consumo de sustancias (SUD), la Parte 2 del 42 CFR añade una capa federal más allá de HIPAA. La regla final de 2024 (en vigor desde febrero de 2026) alineó la Parte 2 más estrechamente con HIPAA, pero los registros de SUD siguen teniendo restricciones adicionales de divulgación. Cualquier flujo de trabajo de grabación que incluya clientes con SUD necesita una revisión de cumplimiento específica de la Parte 2.

Para la publicación hermana que aborda las consideraciones éticas con más profundidad, consulta ética de la transcripción de sesiones de terapia.

El flujo de trabajo de las notas de evolución en la práctica

Un flujo de trabajo realista de notas de evolución con una herramienta compatible con HIPAA se ve así:

Antes de la primera sesión grabada: Actualiza tu formulario de consentimiento informado para que cubra la grabación, menciona la herramienta de IA que estás usando, describe quién tendrá acceso e indica tu política de retención. Haz que el cliente lo firme. Documenta el consentimiento firmado en el expediente.

Durante la sesión: Graba con la aplicación de la herramienta o sube el audio inmediatamente después. La mayoría de las herramientas procesan el audio y devuelven un borrador de nota en pocos minutos.

Después de la sesión: Revisa y edita el borrador de la IA antes de firmarlo. Ninguna nota generada por IA debe entrar en el expediente sin firmar ni revisar. La nota editada es el registro clínico; la grabación original es provisional.

Retención: Establece un calendario de retención para las grabaciones. En la mayoría de las prácticas, la grabación no tiene valor clínico una vez que la nota está finalizada y firmada. Eliminarla con prontitud limita la exposición.

Revisión anual: Las posturas de cumplimiento de los proveedores cambian. Revisa tu BAA y las prácticas de datos del proveedor al menos una vez al año.

El flujo de trabajo de las grabaciones de supervisión

Para practicantes en formación o terapeutas licenciados que graban sesiones para supervisión:

El consentimiento informado del cliente debe indicar específicamente que el supervisor (o el grupo de supervisión) tendrá acceso a la grabación o a la transcripción. Un consentimiento general de supervisión no es suficiente si la transcripción con IA forma parte del flujo de trabajo.

El supervisor asume las mismas obligaciones de confidencialidad que el clínico tratante. La transcripción o grabación debe compartirse únicamente con el supervisor autorizado, revisarse con el propósito de supervisión declarado y no conservarse más allá de ese uso.

Para los programas que ejecutan supervisión formalizada con varios practicantes, merece la pena evaluar las funciones de revisión de sesiones de Lyssn. Para un supervisor individual que trabaja con uno o dos supervisados, puede resultar más sencilla una cuenta compartida de Mentalyc o Upheal configurada con acceso de supervisor.

Dónde encajan las herramientas de transcripción generales

Los terapeutas producen una cantidad considerable de contenido profesional sin PHI para el que una herramienta general de transcripción con IA funciona bien y una plataforma específica para terapia resulta innecesaria.

Las presentaciones de formación continua, las grabaciones de conferencias magistrales y los episodios de pódcast sobre conceptos de terapia no contienen PHI de clientes. Lo mismo aplica a las grabaciones de desarrollo profesional, las notas de sesiones de conferencias y las conversaciones de supervisión sobre tu propio crecimiento clínico en lugar de casos concretos de clientes. Para todo este contenido, una herramienta sin BAA es apropiada.

Si produces un pódcast o contenido de audio habitual para colegas o clientes, ConvertAudioToText lo gestiona de forma limpia: sube el archivo de audio y recibe una transcripción formateada sin necesidad de cuenta para el uso básico. La herramienta de audio a texto también sirve para grabaciones de conferencias, contenido de formación continua y cualquier audio en el que no haya información de clientes.

La línea que hay que mantener clara: el contenido con PHI va al proveedor con BAA, y punto. El contenido profesional sin PHI puede ir a cualquier lugar que te funcione.

Errores comunes que crean lagunas de cumplimiento

Tres patrones que han causado problemas reales:

Usar una herramienta de IA de consumo para contenido de sesiones con clientes. Un terapeuta usa una herramienta general de transcripción o resumen para procesar una sesión grabada. La información del cliente queda ahora en un sistema sin cumplimiento de HIPAA ni BAA.

Confundir el uso profesional con el uso personal. Grabar tus propias reflexiones sobre tu trabajo clínico puede derivar en describir situaciones de clientes. Si tus grabaciones de «desarrollo profesional» incluyen detalles reconocibles de clientes, contienen PHI.

Formularios de consentimiento informado inadecuados. Grabar sesiones con un formulario de consentimiento que aborda el tratamiento general pero no dice nada sobre las herramientas de IA, la retención de grabaciones o quién accederá a las transcripciones. Los clientes no han dado su consentimiento informado sobre lo que realmente está ocurriendo.

La solución para los tres es la misma: una política clara sobre qué contenido usa cada herramienta, formularios de consentimiento que coincidan con el flujo de trabajo real y una revisión anual cuando cambien las herramientas.

Preguntas frecuentes

¿Puede un terapeuta usar una herramienta general de transcripción con IA para las notas de sesión?

No, no para sesiones con clientes identificables. El audio de las sesiones y las transcripciones que contienen información del cliente son información de salud protegida (PHI). Procesar PHI con una herramienta general de transcripción con IA que no firma un Acuerdo de Asociado Comercial constituye una violación de HIPAA, independientemente de cómo se promocione la herramienta. Usa una plataforma específica para terapia que firme explícitamente un BAA para toda la documentación clínica.

¿Qué es un Acuerdo de Asociado Comercial y por qué importa para la transcripción?

Un BAA es un contrato exigido por HIPAA entre una entidad cubierta (el terapeuta o la consulta) y cualquier proveedor que procese PHI en su nombre. Sin un BAA firmado, usar un proveedor para procesar audio de clientes es una violación de HIPAA aunque no se produzca ninguna brecha de datos. En cuanto a la transcripción, el BAA debe cubrir al proveedor de transcripción y a cualquier subcontratista que utilice, como los proveedores de almacenamiento en la nube.

¿Los códigos éticos exigen consentimiento informado antes de grabar sesiones de terapia?

Sí, en todos los códigos principales. La Norma 4.03 de APA exige que los psicólogos obtengan permiso de los clientes o de sus representantes legales antes de grabar. La Sección B.6.c de ACA exige que los consejeros obtengan el permiso del cliente antes de grabar por cualquier medio. La Sección 1.11 de AAMFT exige consentimiento informado y autorización por escrito antes de grabar o utilizar cualquier servicio de transcripción. El consentimiento debe cubrir el propósito específico, quién tendrá acceso y cuánto tiempo se conservará la grabación.

¿Las grabaciones de supervisión están sujetas a las mismas reglas de HIPAA y éticas que las grabaciones de sesiones?

Sí. Las grabaciones de supervisión de sesiones con clientes siguen siendo PHI. El cliente debe consentir específicamente que el supervisor tenga acceso, y la herramienta de transcripción utilizada debe cumplir con HIPAA mediante un BAA. El supervisor tiene las mismas obligaciones de confidencialidad que el terapeuta tratante. El formulario de consentimiento utilizado con los clientes debe indicar explícitamente que la revisión en supervisión es uno de los fines para los que pueden utilizarse las grabaciones.

¿Qué contenido de terapia se puede transcribir con seguridad con una herramienta general de transcripción con IA?

El contenido profesional sin PHI es apropiado para herramientas generales de transcripción con IA. Esto incluye presentaciones de formación continua, grabaciones de conferencias, pódcasts sobre conceptos de salud mental sin información de clientes, escenarios didácticos totalmente desidentificados (sin nombres, sin datos identificativos, composiciones elaboradas a partir de varios clientes) y tus propias grabaciones de reflexión profesional o planificación de carrera. Si existe alguna duda sobre si el contenido podría identificar a un cliente, trátalo como PHI.

Fuentes

• Principios éticos de los psicólogos y código de conducta de la APA (Normas 4.03 y 4.04, verificado en julio de 2026)
• Código de Ética de la ACA 2014, Sección B.6 (B.6.c Permiso para grabar, B.6.d Permiso para observar, verificado en julio de 2026)
• Código de Ética de la AAMFT (Sección 1.11 Consentimiento escrito para grabar, verificado en julio de 2026)
• Código de Ética de la NASW (Secciones 1.07, 3.04, verificado en julio de 2026)
• Regla final de la Parte 2 del 42 CFR, HHS.gov (regla de 2024, aplicación iniciada en febrero de 2026)
• Página de precios de Mentalyc (niveles de plan e inclusión del BAA, verificado en julio de 2026)
• Seguridad y BAA de Mentalyc (BAA incluido en todos los planes, verificado en julio de 2026)
• Notas clínicas con IA de Upheal (cumplimiento de HIPAA y BAA, verificado en julio de 2026)
• Eleos Health (certificaciones HIPAA, SOC 2, HITRUST, verificado en julio de 2026)
• Lyssn (BAA de HIPAA, plataforma centrada en supervisión, según la documentación del proveedor)
• Preguntas frecuentes de SimplePractice Note Taker (cobertura del BAA y política de retención de datos, verificado en julio de 2026)