¿Es seguro Granola? Seguridad, entrenamiento de IA y configuración para usarlo sin riesgos [Octubre 2026]

Hola, soy Hoda. En este artículo voy a analizar a fondo la seguridad de Granola.ai baseline en informes de terceros, para aclarar qué aspectos dan tranquilidad y cuáles requieren atención.

Seguro que muchos os preguntáis: “¿Es seguro utilizar Granola?”

Al ser una herramienta que pone el contenido de tus reuniones en manos de la IA, es natural sentir esa inquietud. Para ir al grano con la conclusión: Granola es una herramienta que puedes usar con total tranquilidad en tus reuniones de trabajo diarias. Sin embargo, no recomiendo utilizarla con la configuración por defecto.

Yo mismo utilizo Granola en reuniones con clientes y llamadas de ventas. Lo recomiendo porque comprendo que es seguro, pero también voy a explicar detalladamente todo aquello con lo que hay que tener cuidado, para que no lo uses sin saberlo y te encuentres con problemas más adelante.

Este artículo se basa en la página oficial de seguridad de Granola, su centro de ayuda, su política de privacidad e informes de terceros para resumir lo que ofrece garantías y lo que exige precaución.

En resumen: Granola es seguro, pero revisa tus ajustes primero

Aquí tienes la conclusión resumida de entrada.

Aunque la infraestructura de seguridad es de plena confianza, debes gestionar tú mismo la configuración por defecto y el consentimiento u aviso al resto de participantes. Ese es el mensaje principal de este artículo.

Cómo funciona Granola: por qué la ausencia de “bots” es crucial en el debate sobre seguridad

Granola no utiliza bots que se unan a tus reuniones. Capta el audio desde el propio micrófono de tu ordenador (o teléfono) junto con el sonido de la reunión que sale por tus altavoces, lo transcribe en tiempo real y hace que la IA cree las notas a partir de esa transcripción y de tus propios apuntes.

• Inicias las reuniones de forma manual (nunca se une ni graba automáticamente)
• Funciona con cualquier herramienta de reuniones, incluidas Zoom, Google Meet y Teams
• El audio se procesa temporalmente solo para la transcripción y luego se elimina
• Únicamente se guardan el texto de la transcripción y las notas

Para quien lo utiliza, no tener un bot visible resulta muy cómodo y no altera el ambiente de la reunión. Por otro lado, esto también implica que otros participantes podrían no darse cuenta de que se está transcribiendo la conversación, lo que genera los debates sobre consentimiento y demandas que veremos más adelante.

¡En el siguiente vídeo os explico cómo funciona Granola y cómo utilizarlo!

Puntos que aportan tranquilidad

Certificación SOC 2 Type 2

Granola ha obtenido la certificación SOC 2 Type 2 (julio de 2025). Mientras que la Type 1 verifica si existen controles en un momento concreto, la Type 2 implica que un auditor externo comprueba si esos controles funcionan realmente de manera continua durante un periodo de 6 a 12 meses. Es uno de los primeros requisitos que evalúa cualquier departamento de IT al revisar la seguridad de un software.

Puedes solicitar acceso al informe completo desde el Trust Center de Granola.

Cifrado y almacenamiento de datos

• Las notas y transcripciones están cifradas en reposo y en tránsito en AWS (EE. UU.)
• Copias de seguridad diarias
• La caché local en tu dispositivo (para consulta sin conexión) está cifrada desde 2026

El audio no se almacena

Granola no guarda archivos de sonido. La aplicación de escritorio (Mac/Windows) transcribe en tiempo real, mientras que la aplicación móvil almacena temporalmente el audio en caché para transcribirlo tras la reunión. En ambos casos, el audio se elimina una vez procesado. No podrás volver a escuchar la grabación después, lo cual puede ser un inconveniente práctico, pero reduce drásticamente el riesgo de filtraciones de datos de voz.

Los proveedores externos de IA no pueden entrenarse con tus datos

Los proveedores de IA como OpenAI y Anthropic, que se utilizan para resúmenes y otras funciones, no tienen permiso para usar tus datos en el entrenamiento de sus modelos.

Cumplimiento de GDPR y UK GDPR

Ofrecen un Acuerdo de Procesamiento de Datos (DPA) estándar que incorpora las Cláusulas Contractuales Tipo (SCC) de la UE y el Reino Unido. También permite eliminar notas individuales y admite la eliminación completa de la cuenta (los datos se borran en un plazo de 30 días).

Transparencia y corrección de vulnerabilidades pasadas

Granola ha publicado análisis detallados (“postmortems”) sobre problemas de seguridad pasados (todos en 2025), como una clave API de transcripción expuesta en la beta de iOS, un problema de gestión de sesiones de cuentas de Google y un fallo en la unión automática a espacios de trabajo. Hubo fallos, pero el hecho de que se revelaran de forma transparente y se solucionaran rápidamente es un punto muy a su favor. No se han confirmado nuevos incidentes en 2026 (a fecha de octubre de 2026).

Además, un análisis de la firma de seguridad PromptArmor (abril de 2026) confirmó que la app de escritorio incluye protecciones contra filtración de datos y phishing a través de resultados de IA (desactivación de imágenes Markdown, advertencias en enlaces externos y desactivación de HTML). Las vulnerabilidades detectadas en la app móvil se solucionaron a finales de marzo de 2026 tras ser reportadas.

Aspectos a los que prestar atención

Esta es la parte que debes conocer antes de empezar a usar la herramienta.

1. El entrenamiento de IA está activado por defecto (Free y Business)

En los planes Free y Business, la opción que permite a Granola mejorar sus propios modelos de IA con datos anonimizados viene ACTIVADA por defecto. Puedes DESACTIVARLA tú mismo en la configuración, pero debes tener en cuenta tres cosas:

• Desactivarlo (Opt-out) solo se aplica a los datos generados a partir de ese momento. No hay garantía de que los datos anteriores no se hayan utilizado
• En el plan Business, cada usuario debe desactivarlo individualmente (los administradores no pueden desactivarlo de golpe para todo el equipo)
• La app de Android aún no incluye este conmutador (cambiarlo en la versión de escritorio o iOS se aplica a toda la cuenta)

En el plan Enterprise, el entrenamiento está DESACTIVADO por defecto para toda la organización.

Qué hacer: DESACTIVA esta opción antes de tu primera reunión.

Settings → Preferences → Data & sharing → Desactiva “Use my data to improve models for everyone”

2. Obtener el consentimiento de grabación es tu responsabilidad

Este es el punto más sensible respecto al uso de Granola.

Al no unirse ningún bot visible, es posible que los demás participantes no sepan que su voz se está transcribiendo. Y la propia Granola especifica en sus términos que obtener el consentimiento de los asistentes es responsabilidad exclusiva del usuario.

Granola dispone de dos funciones de notificación:

• Mensaje automático en el chat: Publica un mensaje como “Granola is transcribing this call” en el chat de la reunión
• Marca de agua: Muestra un indicador en tu propia señal de vídeo señalando que la transcripción está activa

Sin embargo, ninguna de las dos está activa hasta que la enciendes tú mismo (en el plan Enterprise, los administradores pueden forzar su uso en toda la empresa).

Ten especial cuidado al hablar con personas en zonas que exigen el consentimiento de todas las partes (all-party consent), como el estado de California en EE. UU. Incluso donde no sea un requisito legal estricto, adquirir el hábito de avisar a la otra persona es fundamental para construir una relación de confianza.

Qué hacer: Di algo como: “Estoy tomando notas con ayuda de una IA, ¿te parece bien?”. Activa también el mensaje automático en el chat y la marca de agua.

Settings → Preferences → Transparency

3. Las notas se guardan de forma indefinida

Las notas y transcripciones permanecen almacenadas indefinidamente a menos que el usuario o un administrador establezcan un periodo de retención. Cuanto más tiempo se conserven los datos, mayor es el impacto de una filtración accidental y mayor es la probabilidad de que se consulten de forma no deseada dentro de la empresa.

• La eliminación automática de transcripciones se puede configurar en todos los planes (de 1 día a 1 año). Sin embargo, solo se elimina la transcripción; las notas creadas se conservan
• Hay un periodo de espera de una semana cuando modificas la configuración personal
• En Enterprise, los administradores pueden definir una directiva de eliminación para toda la organización

Qué hacer: Si mantienes muchas reuniones confidenciales, configura la eliminación automática de transcripciones en un plazo corto y borra manualmente las notas cuando ya no las necesites.

4. Los datos se almacenan únicamente en EE. UU.

Los datos se guardan en la región de EE. UU. de AWS. No se puede elegir un centro de datos en la UE, Reino Unido u otra región. Se aplican las Cláusulas Contractuales Tipo (SCC) para transferencias internacionales de datos, pero no es adecuado para organizaciones que por normativa deban mantener la información dentro de su propio país o territorio.

5. La demanda colectiva (Chamberlain v. Granola)

El 30 de julio de 2026 se presentó una demanda colectiva contra Granola, Inc. (Chamberlain v. Granola, Inc.) ante el Tribunal de Distrito de EE. UU. para el Distrito Norte de California.

La demanda sostiene principalmente dos alegaciones:

• Que la grabación sin bot de Granola captura conversaciones sin el consentimiento explícito del resto de participantes
• Que utiliza el contenido capturado para entrenar modelos de IA por defecto

Es muy importante destacar que estas son las alegaciones de la parte demandante y no hay ninguna sentencia ni resolución firme hasta la fecha. A 10 de octubre de 2026, los registros judiciales no muestran aún una respuesta formal ni petición de desestimación por parte de Granola. La legislación federal sobre escuchas en EE. UU. suele seguir la regla de “consentimiento de una de las partes” (one-party consent), que permite grabar si uno de los interlocutores lo autoriza, por lo que los demandantes se enfrentan a un listón legal alto (aunque las leyes estatales pueden ser más estrictas).

Existen demandas similares contra otras herramientas de notas de reuniones con IA como Otter.ai y Fireflies.ai, por lo que es un reto que afecta a toda la industria y no un problema exclusivo de Granola.

Mi conclusión práctica ante esta demanda se reduce a dos acciones concretas:

• Revisa la configuración de entrenamiento de IA (y DESACTÍVALA)
• Avisa siempre a tus interlocutores de que estás registrando la reunión

Si aplicas estas dos medidas, reducirás de forma drástica tu exposición a los riesgos señalados en dicha demanda. La situación sigue evolucionando, así que consulta las novedades si te interesa seguir el caso.

6. Configuración al compartir enlaces

Las notas son privadas por defecto, e incluso los administradores no pueden ver las notas privadas de otros usuarios. No obstante, hay que prestar mucha atención a cómo se comparten los enlaces.

• La opción por defecto para compartir enlaces se puede configurar como “Anyone with the link” (Cualquiera con el enlace), “Only my company” (Solo mi empresa) o “Private” (Privado)
• La documentación oficial no detalla cuál es la opción inicial predeterminada, así que comprueba tu propia configuración y cámbiala a “Only my company” o “Private” por seguridad
• Un cambio en esta preferencia solo se aplica a las notas creadas tras realizar la modificación. Revisa individualmente los enlaces que ya hayas compartido previamente
• Quien abre un enlace en el navegador solo ve el resumen de las notas, mientras que los colaboradores que usan la app de escritorio también pueden ver la transcripción completa

Asimismo, el análisis de PromptArmor destacó que si un usuario no autenticado hace preguntas en el chat de una nota compartida, sus entradas podrían quedar fuera de las protecciones de datos del contrato de Granola. Si en tu empresa compartís notas externamente, conviene revisar los términos contractuales y limitar el alcance de la compartición.

7. Otros detalles menores

• Sin autenticación de doble factor (2FA) nativa: La autenticación se delega en tu proveedor de identidad. El SSO solo está disponible en el plan Enterprise para 50 o más licencias. Activa la verificación en dos pasos en la cuenta que utilices para iniciar sesión (como tu cuenta de Google).
• Modelo de chat en el plan Business: Según la documentación de Granola, el modelo de Anthropic seleccionable (Fable 5) no está cubierto por la política de retención cero de datos, y Anthropic conserva los registros durante 30 días. Para chats sobre reuniones confidenciales, es más seguro seleccionar otro modelo.
• Alcance de certificaciones y normativas: No cuenta con certificación ISO 27001 y no es compatible con FERPA (registros educativos de EE. UU.).
• Integraciones: Al enviar notas a otros servicios a través de Slack, Notion, Zapier, MCP, etc., entran en juego las políticas de seguridad de esas herramientas receptoras. Limita las integraciones solo a las estrictamente necesarias.

Diferencias de seguridad según el plan

Para usuarios individuales y equipos pequeños cuyos encuentros no contengan información altamente confidencial, los planes Basic o Business con una revisión de ajustes son suficientes. Si gestionas información médica o necesitas aplicar directivas globales en toda la empresa, valora la opción Enterprise.

Cuándo usar Granola y cuándo actuar con precaución

5 pasos para usar Granola de forma segura

Revisa los siguientes puntos antes de tu primera reunión. Te llevará menos de 10 minutos.

1. DESACTIVA el entrenamiento de IA: Settings → Preferences → Data & sharing → Desactiva “Use my data to improve models for everyone” (en Business cada usuario debe hacerlo individualmente; en Android cámbialo desde la versión de escritorio o iOS)
2. Configura la eliminación automática de transcripciones: Elige el periodo más corto que te resulte práctico (de 1 día a 1 año). Recuerda que las notas redactadas no se borran automáticamente
3. Activa el mensaje de chat y la marca de agua: Settings → Preferences → Transparency. Indispensable para reuniones con personas ajenas a tu organización
4. Revisa la configuración por defecto para compartir enlaces: Settings → Preferences → Data & sharing → Establece “Default link sharing” en “Only my company” o “Private”. Revisa también los enlaces compartidos anteriormente
5. Activa la verificación en dos pasos en tu cuenta de acceso: Granola no ofrece MFA nativo, así que asegúrate de tenerlo activado en tu cuenta de Google o Microsoft. En el plan Business, presta atención al modelo de chat seleccionado en reuniones sensibles

Además, adquiere la costumbre de avisar verbalmente al comenzar la reunión:

“Estoy usando Granola para transcribir y tomar las notas de la reunión. ¿Os parece bien a todos?”

Por qué recomiendo Granola

Preguntas frecuentes (FAQ)

¿Es seguro Granola?

Para reuniones de trabajo habituales, sí, es una herramienta segura. Cuenta con garantías sólidas como la certificación SOC 2 Type 2, cifrado en reposo y tránsito, eliminación del audio y la prohibición de entrenamiento a proveedores externos de IA. Sin embargo, dado que el entrenamiento de su propia IA viene activo por defecto en los planes Free y Business, es imprescindible revisar los ajustes.

¿Utiliza Granola mis datos para entrenar modelos de IA?

Los proveedores externos como OpenAI y Anthropic no tienen permitido usar tus datos para entrenamiento. Por su parte, Granola sí utiliza datos anonimizados para mejorar sus propios modelos en los planes Free y Business (ACTIVADO por defecto). Puedes DESACTIVARLO en la configuración, aunque no hay garantías sobre los datos procesados antes de dicha desactivación. En Enterprise viene DESACTIVADO por defecto.

¿Se conservan las grabaciones de voz?

No. El audio no se almacena y se elimina inmediatamente después de completar la transcripción. Lo único que se conserva es el texto transcrito y las notas creadas, que se guardan indefinidamente por defecto.

¿Puede grabar sin que la otra persona se dé cuenta?

Sí. Con la configuración por defecto, el interlocutor no recibe ninguna señal visual de que Granola está funcionando. Por eso recomiendo activar el mensaje en el chat, la marca de agua y avisar siempre de viva voz. La responsabilidad legal de obtener el consentimiento recae en el usuario.

¿Se puede usar en reuniones fuera de EE. UU.?

Utilizarlo en reuniones ordinarias informando previamente a los asistentes es una práctica de bajo riesgo. No obstante, si tu interlocutor se encuentra en una jurisdicción que exige el consentimiento explícito de todas las partes, debes obtener la autorización de todos. Las leyes varían según el país, por lo que conviene consultar con asesores legales para casos específicos.

¿Es compatible con HIPAA?

Únicamente el plan Enterprise permite firmar un acuerdo BAA (Business Associate Agreement). Dicho acuerdo cubre exclusivamente la aplicación de escritorio, no la app móvil. No utilices los planes Free o Business para tratar información médica sensible.

¿Dónde se almacenan mis datos?

En servidores de AWS ubicados en Estados Unidos. No es posible elegir servidores en la UE, Latinoamérica u otras regiones.

¿Es conveniente seguir usando una herramienta con demandas pendientes?

La demanda colectiva se encuentra en fase inicial de alegaciones por parte de los demandantes y no existe ninguna sentencia. Se han presentado demandas similares contra otras plataformas de notas con IA. Como usuario, la postura más sensata es aplicar las buenas prácticas: desactivar el entrenamiento y avisar a los participantes. Es recomendable hacer un seguimiento de las novedades legales.

¿Puedo exportar mis datos si decido dejar de usar Granola?

Sí, puedes exportar tanto las notas como las transcripciones (la exportación masiva en CSV está limitada a una vez cada 24 horas). Si eliminas tu cuenta, todos los datos se borran definitivamente en un plazo máximo de 30 días.

Conclusión: Ajusta tu configuración, avisa a los asistentes y úsalo con total tranquilidad

• La seguridad técnica de Granola (SOC 2 Type 2, cifrado, borrado de audio) es impecable
• Los puntos críticos a vigilar son la configuración por defecto y la gestión del consentimiento
• Antes de empezar, revisa estas cuatro opciones: entrenamiento DESACTIVADO, avisos ACTIVADOS, borrado automático y privacidad de enlaces
• Al inicio de cada reunión, recuerda avisar: “Voy a transcribir la reunión”
• Si manejas información médica sensible o necesitas almacenar datos en la UE, Granola no es la opción adecuada
• La demanda colectiva está en trámite y sin resolución; conviene estar atento a su evolución

Siguiendo estas pautas, Granola se convierte en un aliado extraordinario para la productividad en tus reuniones diarias.

Este artículo se ha elaborado a partir de la documentación oficial y análisis de terceros disponibles a fecha de 31 de octubre de 2026. Las características del servicio y el estado de los procesos judiciales pueden variar, por lo que recomendamos consultar el sitio web oficial para obtener la información más reciente. Si requieres asesoramiento legal, acude a un profesional especializado.

Referencias:

• Página de Seguridad y FAQ de Seguridad/Privacidad de Granola (oficial)
• Centro de Ayuda de Granola (oficial)
• Blog oficial de Granola (lista de verificación de seguridad en reuniones, guía para evaluaciones de IT)
• PromptArmor, “Granola AI Security Risks and Remediations” (abril de 2026)
• Voibe, “Is Granola Safe?” (octubre de 2026) y otros artículos sobre Chamberlain v. Granola