Ética de la transcripción de sesiones de terapia: consentimiento y HIPAA

Primero, las preguntas éticas

Grabar una sesión de terapia sin consentimiento informado explícito es una violación del código de ética, independientemente de lo que permita la ley de interceptaciones de tu estado. Si esa grabación además contiene información identificable del paciente, almacenarla o transcribirla a través de cualquier servicio sin un Acuerdo de Asociado Comercial (BAA) firmado constituye una violación de HIPAA en Estados Unidos. Estos dos hechos resuelven la mayoría de las preguntas que los terapeutas plantean sobre la transcripción. Todo lo que sigue explica el porqué y dónde están los límites.

Esta publicación aborda la ética y los requisitos técnicos, no la práctica terapéutica. No es asesoramiento legal ni clínico. Para orientación clínica, consulta a tu junta de licencias. Para cuestiones legales, consulta a un abogado en tu jurisdicción.

Por qué los códigos de ética van antes que la ley de datos

Los terapeutas suelen preguntar primero "¿es legal grabar en mi estado?". Ese es el punto de partida equivocado.

La Norma 4.03 del Código Ético de la APA (Grabación) exige permiso explícito de todas las personas antes de que un psicólogo grabe su voz o imagen. No hay excepciones por comodidad, toma de notas ni supervisión sin conocimiento del cliente. La Norma 4.02 (Discusión de los límites de la confidencialidad) exige que los terapeutas aborden la confidencialidad al inicio de la relación, lo que incluye cualquier práctica de grabación. La Norma 3.10 (Consentimiento informado) exige que el consentimiento se otorgue en un lenguaje comprensible.

El Código de Ética de la NASW va más allá: exige consentimiento informado por escrito cuando se utiliza tecnología en la prestación de servicios, incluida la grabación de audio. El Código de la NBCC exige que el consentimiento quede documentado en un acuerdo de servicios de consejería u otra forma escrita antes de que se produzca la grabación.

Las leyes de consentimiento de una parte y de dos partes (12 estados exigen el consentimiento de todas las partes a julio de 2026, según recordinglaw.com) son estatutos penales de interceptación de comunicaciones. Fijan un piso de responsabilidad penal, no un techo ético. Un terapeuta en un estado de consentimiento de una parte que grabe sin revelarlo sigue violando su código de ética y se arriesga a medidas contra su licencia, aunque no enfrente exposición penal.

Mi opinión: la cuestión del consentimiento y la cuestión del manejo de datos son problemas separados. Los códigos de ética rigen el primero. HIPAA rige el segundo. Ambos deben cumplirse. Ninguno satisface al otro.

Qué exige HIPAA para la grabación de sesiones de terapia

En Estados Unidos, el contenido de una sesión de terapia que involucra información identificable del paciente es Información de Salud Protegida (PHI). HIPAA exige:

• Un Acuerdo de Asociado Comercial firmado con cada servicio que cree, reciba, conserve o transmita PHI en tu nombre.
• Registros de auditoría de quién accedió a qué y cuándo.
• Cifrado en reposo y en tránsito.
• Políticas definidas de conservación y eliminación.
• Procedimientos de notificación de brechas alineados con la Regla de Seguridad de HIPAA (que recibió requisitos actualizados de gestión de riesgos en 2026).

La transcripción está plenamente dentro de este alcance. Cuando envías una grabación de sesión a un servicio de transcripción, ese servicio está recibiendo PHI. Sin un BAA, tanto la consulta como el proveedor incumplen desde el momento de la primera transmisión.

Un problema específico de 2026 que vale la pena señalar: la Regla de Seguridad de HIPAA actualizada establece expectativas explícitas de prácticas de gestión de riesgos bajo 45 CFR 164.308. Los BAAs anteriores a 2025 pueden no hacer referencia a estos requisitos. Si tu BAA tiene más de tres años, conviene confirmar su renovación con tu equipo de cumplimiento o tu abogado.

Qué proveedores ofrecen un BAA para transcripción

Así se sitúan las principales opciones de transcripción respecto a la disponibilidad de BAA, según documentación de proveedores verificada en julio de 2026:

La nota sobre Google Cloud importa: si tienes un BAA de GCP vigente y usas Cloud Speech-to-Text, no debes optar por el programa de registro de datos de Google, o tus protecciones del BAA quedan funcionalmente socavadas.

En el caso de AWS, tanto Amazon Transcribe Medical como el más reciente AWS HealthScribe (que genera notas clínicas estructuradas a partir del audio de conversaciones) son servicios aptos para HIPAA cubiertos por el BAA de AWS. Los clientes deben aceptar el BAA a través de la consola de su cuenta de AWS. AWS indica que estos servicios no tienen estado: no almacenan el audio entrante ni el texto de salida.

Para los terapeutas que quieran una capa más especializada sobre estas APIs, los proveedores certificados en HIPAA específicos para terapia (SimplePractice, TherapyNotes y plataformas similares que incluyen funciones de documentación) gestionan el cumplimiento del BAA como parte del producto. Vale la pena evaluarlos antes de construir un flujo de trabajo personalizado.

Fuera de Estados Unidos

Los marcos internacionales llegan a conclusiones similares mediante leyes distintas:

Unión Europea: el RGPD trata los datos de salud como datos de categoría especial que requieren consentimiento explícito y salvaguardas adicionales (artículo 9). Algunos estados miembros tienen leyes nacionales de datos de salud superpuestas.

Reino Unido: RGPD del Reino Unido más la Data Protection Act de 2018. La guía clínica del NHS aplica para trabajos vinculados al NHS.

Canadá: PIPEDA a nivel federal, con leyes provinciales de información de salud. La PHIPA de Ontario y la HIA de Alberta tienen requisitos específicos para el manejo de expedientes de salud.

Australia: Privacy Act de 1988 con los Principios de Privacidad Australianos. La información sensible (incluidos los datos de salud) tiene requisitos de manejo reforzados.

El resultado práctico es el mismo en todas las jurisdicciones: consentimiento explícito documentado, procesamiento seguro, límites de conservación definidos y derechos del paciente de acceso y eliminación. El proveedor de transcripción que elijas debe cumplir esos requisitos en la jurisdicción donde ejerces.

Cuándo grabar sesiones de terapia puede ser apropiado

Grabar sesiones de terapia no es inherentemente inapropiado. Varios marcos establecidos lo contemplan:

Supervisión de terapeutas en formación. Requerida en muchos programas de posgrado y vías de licenciamiento. Las grabaciones son revisadas por un clínico supervisor. El consentimiento estricto y los períodos cortos de conservación son lo habitual. Este es el caso de uso legítimo más claro según la guía ética de la Society for the Advancement of Psychotherapy.

Investigación en terapia aprobada por el comité de revisión institucional (IRB). Investigación que incluye explícitamente la grabación como parte de la metodología del estudio. Requiere un consentimiento específico para uso en investigación, separado del consentimiento de tratamiento.

Programas de mejora de la calidad. Algunas consultas grupales o agencias graban sesiones para revisiones estructuradas de mejora de la calidad. Se requiere el consentimiento del paciente y la conservación se limita al ciclo de revisión.

Notas del propio terapeuta, ocasionalmente. Algunos terapeutas solicitan permiso para grabar como apoyo a sus propias notas clínicas. Requiere consentimiento explícito del cliente, claridad sobre el almacenamiento y eliminación definida. Es el caso en el que la vacilación del cliente debería llevar a abandonar el plan.

En cada escenario legítimo, la grabación ocurre dentro de un marco clínico, de supervisión o de investigación establecido, con un consentimiento que cubre el uso específico.

La conversación de consentimiento informado

El consentimiento para grabar es una conversación, no un formulario. Los elementos que debe cubrir:

Propósito. ¿Por qué se hace esta grabación? ¿Supervisión, investigación, revisión de mejora de la calidad, notas del terapeuta? La razón importa porque define el almacenamiento, el acceso y la conservación.

Almacenamiento. ¿Dónde reside la grabación? ¿Qué protecciones de seguridad existen? ¿Quién es el proveedor y tiene un BAA?

Conservación. ¿Cuánto tiempo se guardará la grabación? ¿Qué desencadena la eliminación?

Acceso. ¿Quién puede escuchar la grabación o leer su transcripción? ¿Solo el supervisor? ¿Los miembros del IRB? ¿Un comité de mejora de la calidad?

Derecho a retirarse. El cliente puede revocar el consentimiento en cualquier momento. ¿Qué pasa con la grabación si lo hace?

Derecho de acceso. ¿Puede el cliente solicitar una copia de la grabación o de la transcripción?

Procedimientos ante brechas. ¿Qué pasa si el sistema de almacenamiento se ve comprometido?

Finalización. ¿Qué pasa con la grabación cuando termina la relación terapéutica?

Si alguna parte de esta conversación genera vacilación visible en el cliente, esa vacilación es dato clínico. Probablemente la grabación no deba continuar. La comodidad del terapeuta no pesa más que la tranquilidad del cliente en ese espacio.

Trabajo afín a la terapia donde encajan herramientas sin HIPAA

Existe una categoría de trabajo cercana a la terapia pero que no contiene PHI de pacientes, y ahí una herramienta de transcripción estándar es apropiada.

Contenido educativo producido por terapeutas. Un terapeuta con licencia que graba un pódcast sobre manejo de la ansiedad, una clase para un curso de formación continua o una serie de YouTube sobre temas de salud mental ha creado contenido, no registros clínicos. Sin datos de clientes, sin obligación de HIPAA.

Coaching ejecutivo y de bienestar. Los coaches que no son terapeutas con licencia y cuyos clientes no son pacientes quedan completamente fuera de HIPAA. El flujo de trabajo de transcripción de sesiones de coaching aplica, y una herramienta sin registro suele ser una opción práctica.

Notas personales de formación continua. Transcribir charlas de congresos grabadas, videos de capacitación o sesiones de supervisión de la supervisión para el aprendizaje propio del terapeuta. No hay datos de clientes presentes.

Datos de investigación totalmente desidentificados. Cuando las personas no pueden ser reidentificadas y todos los vínculos con el PHI original han sido destruidos, termina el alcance de HIPAA. Algunas investigaciones usan este patrón para análisis agregados.

Para cualquiera de estos casos, ConvertAudioToText es apropiado: sube el audio y obtén una transcripción limpia sin crear una cuenta, sin necesidad de BAA porque no se requiere ninguno.

El flujo de trabajo técnico para grabaciones aptas para HIPAA

Si estás en un caso de uso legítimo y usas un proveedor cubierto por BAA, la secuencia:

1. Obtén el consentimiento informado documentado antes de comenzar cualquier grabación.
2. Graba la sesión con software de grabación compatible con HIPAA (no una app de consumo sin BAA).
3. Transfiere la grabación a un almacenamiento compatible con HIPAA de inmediato. No la dejes en un dispositivo personal ni en una carpeta de la nube sin BAA.
4. Envíala a tu servicio de transcripción cubierto por BAA.
5. Revisa la transcripción en un dispositivo y entorno que cumplan tus requisitos de seguridad.
6. Conserva solo lo que exija el propósito clínico o de investigación.
7. Elimina según la política de conservación definida en el consentimiento.

Los pasos de transferencia son donde ocurren realmente la mayoría de las brechas. Una grabación que está en el lugar correcto en reposo aún puede enviarse a un lugar equivocado en tránsito.

También relevante: transcripción compatible con HIPAA explica cómo evaluar si el BAA de un proveedor concreto realmente se sostiene y qué preguntas hacer sobre los BAAs de subcontratistas (una laguna común donde el BAA del proveedor es sólido pero envían tus datos a un subprocesador sin uno).

Lo que esto significa según el rol

Terapeuta con licencia: en la mayoría de los entornos clínicos, grabar el contenido de las sesiones no es práctica estándar ni necesario para la documentación. Si grabas para supervisión o investigación, se requiere un proveedor cubierto por BAA. Si creas contenido educativo, una herramienta estándar funciona perfectamente.

Terapeuta en formación en práctica supervisada: sigue los requisitos de manejo de datos de tu programa de formación. Su proveedor aprobado apto para HIPAA es el correcto, no una cuenta personal en cualquier herramienta.

Investigador en salud mental: trabaja dentro de tus protocolos de manejo de datos aprobados por el IRB. La selección del proveedor forma parte de esos protocolos y debe especificarse en tu solicitud al IRB.

Coach de bienestar o ejecutivo (no terapeuta con licencia): las grabaciones de clientes están fuera de HIPAA. Usa prácticas sólidas de consentimiento de todos modos, porque protegen tanto a ti como a tus clientes. Consulta transcripción de sesiones de coaching para un flujo de trabajo práctico.

Creador de contenido de salud mental: el contenido educativo no contiene PHI de pacientes. Las herramientas de transcripción estándar, incluida esta, son apropiadas. Mantén el contenido educativo, no clínico, y asegúrate de que los ejemplos de casos sean compuestos, ficticios o totalmente consentidos.

Preguntas frecuentes

¿Necesitan los terapeutas consentimiento por escrito antes de grabar una sesión?

Según el Código de Ética de la NASW, sí: el consentimiento para grabar debe ser por escrito. El Código Ético de la APA (Norma 4.03) exige permiso de todas las personas antes de grabar su voz o imagen, y ese consentimiento debe quedar documentado. Una casilla enterrada en la documentación de admisión no es suficiente. El consentimiento debe ser una conversación aparte y específica que cubra el propósito, el lugar de almacenamiento, el período de conservación, quién puede acceder a la grabación y el derecho del cliente a retirarse en cualquier momento.

¿Ejercer en un estado de consentimiento de una sola parte significa que un terapeuta puede grabar sin decírselo al cliente?

No. Las leyes de consentimiento de una parte y de dos partes son estatutos penales de interceptación de comunicaciones. Fijan un mínimo de legalidad, no un techo ético. Los códigos de ética profesional (APA, NASW, NBCC) exigen consentimiento informado explícito para grabar, independientemente de lo que permita la ley estatal. Grabar a un cliente sin su conocimiento constituiría una violación del código de ética incluso donde sea técnicamente legal según la ley estatal.

¿Es obligatorio cumplir HIPAA para la transcripción de terapia y qué proveedores ofrecen un BAA?

En Estados Unidos, el contenido de una sesión de terapia que contiene información identificable del paciente es Información de Salud Protegida (PHI) bajo HIPAA. Cualquier servicio de transcripción que procese PHI debe firmar un Acuerdo de Asociado Comercial (BAA) con tu consulta. Entre los proveedores que ofrecen BAAs para trabajos de transcripción están AWS (que cubre Amazon Transcribe Medical y AWS HealthScribe), Google Cloud (Speech-to-Text cubierto por el BAA de GCP) y AssemblyAI (BAA disponible, con un compromiso explícito de no entrenar modelos). Según la documentación respectiva de cada proveedor, verificada en julio de 2026. ConvertAudioToText no ofrece un BAA y no es apropiado para PHI.

¿Qué trabajo relacionado con la terapia puede usar una herramienta de transcripción sin HIPAA?

Cualquier contenido que no contenga PHI de pacientes queda fuera del alcance de HIPAA. Ejemplos: un terapeuta grabando su propio pódcast educativo, transcribiendo charlas de congresos o clases de formación continua para notas personales, o produciendo contenido de salud mental para un público general. Los coaches sin licencia clínica (coaches ejecutivos, de bienestar o de vida) que trabajan fuera de la práctica clínica también quedan fuera de HIPAA. Los datos de investigación totalmente desidentificados, donde la reidentificación es imposible, son otro caso válido. Para todo esto, una herramienta de transcripción estándar es apropiada.

Fuentes

• Código de Ética de la APA: Normas 3.10, 4.02, 4.03, 10.01: https://www.apa.org/ethics/code
• Society for the Advancement of Psychotherapy, «El papel de la grabación en psicoterapia»: https://societyforpsychotherapy.org/ask-the-ethicist-the-role-of-recording-in-psychotherapy/
• HIPAA Journal, guía del Acuerdo de Asociado Comercial: https://www.hipaajournal.com/hipaa-business-associate-agreement/
• Página del producto de AWS Transcribe Medical: https://aws.amazon.com/transcribe/medical/
• Documentación de AWS HealthScribe: https://docs.aws.amazon.com/transcribe/latest/dg/health-scribe.html
• Documentación de cumplimiento de HIPAA de Google Cloud: https://cloud.google.com/security/compliance/hipaa
• Transcripción médica de AssemblyAI: https://www.assemblyai.com/use-cases/medical-transcription
• Recording Law, estados de consentimiento de dos partes 2026: https://www.recordinglaw.com/party-two-party-consent-states/
• Código de Ética de la NASW sobre consentimiento informado y uso de tecnología: https://aspirace.com/nasw-code-of-ethics/