¿Qué es el GDPR y cómo se aplica a la IA?

Cómo funciona

Qué es el Reglamento y qué abarca

El GDPR es el Reglamento (UE) 2016/679. Al ser un Reglamento y no una Directiva, se aplica directamente en toda la UE sin necesidad de que cada país apruebe su propia ley de transposición, aunque los estados miembros conservan cierto margen para añadir normas nacionales en ámbitos específicos. Su ámbito de aplicación material, establecido en el artículo 2, abarca el tratamiento de datos personales total o parcialmente por medios automatizados, así como el tratamiento no automatizado de datos incluidos en un fichero. No se aplica a datos verdaderamente anónimos, es decir, información que no se refiere a una persona identificable. Tampoco se aplica a actividades estrictamente personales o domésticas, ni a ámbitos ajenos al Derecho de la UE, como la seguridad nacional.

Los conceptos clave se definen en el artículo 4. Los datos personales son cualquier información relativa a una persona física identificada o identificable. El tratamiento abarca prácticamente cualquier operación realizada con esos datos, desde la recogida hasta el almacenamiento y la supresión. El responsable del tratamiento decide el fin y los medios del tratamiento. El encargado del tratamiento actúa siguiendo las instrucciones del responsable. Los datos seudonimizados siguen siendo datos personales. Solo los datos genuinamente anónimos quedan fuera del Reglamento.

Ámbito territorial según el artículo 3

El artículo 3 otorga al GDPR un amplio alcance. En virtud del criterio de establecimiento del artículo 3(1), el Reglamento se aplica al tratamiento realizado en el contexto de las actividades de un establecimiento en la UE, independientemente de dónde tenga lugar el tratamiento. En virtud del criterio de orientación del artículo 3(2), también se aplica a organizaciones fuera de la UE cuando tratan datos de personas en la UE en relación con la oferta de bienes o servicios, o con el seguimiento de su comportamiento en la UE. Por eso una empresa de IA con sede en Estados Unidos y sin oficina en la UE puede quedar sujeta al GDPR. Los casos de Clearview AI giraron precisamente en torno a este punto: la empresa argumentó que estaba fuera del GDPR por no tener establecimiento en la UE, y los reguladores europeos rechazaron ese argumento.

Los principios del artículo 5

El artículo 5 establece siete principios que rigen todo tratamiento. Los datos personales deben tratarse de manera lícita, leal y transparente. Deben recogerse con fines determinados, explícitos y legítimos, y no utilizarse de forma incompatible con ellos, regla conocida como limitación de la finalidad. Deben ser adecuados, pertinentes y limitados a lo necesario, lo que se denomina minimización de datos. Deben ser exactos y mantenerse actualizados. No deben conservarse más tiempo del necesario, principio de limitación del plazo de conservación. Deben mantenerse seguros, principio de integridad y confidencialidad. Por último, en virtud del principio de responsabilidad proactiva del artículo 5(2), el responsable debe poder demostrar el cumplimiento de todos ellos. Estos principios son la columna vertebral del Reglamento, y la mayor parte de las actuaciones sancionadoras contra la IA se remiten a uno o varios de ellos.

Bases jurídicas del artículo 6

Para tratar datos personales de forma lícita se necesita una de las seis bases jurídicas del artículo 6(1): el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una misión de interés público o el ejercicio de poderes públicos, o el interés legítimo. Ninguna base es superior a las demás, y el consentimiento no es la opción por defecto. Para el entrenamiento comercial de IA, el interés legítimo previsto en el artículo 6(1)(f) suele ser la base más relevante, pero exige una evaluación documentada en tres pasos, que se explica más adelante. El responsable debe identificar la base antes de iniciar el tratamiento e informar a las personas de cuál aplica.

Derechos de los interesados, artículos 12 a 22

El Capítulo III reconoce a los individuos un conjunto de derechos exigibles. El artículo 12 exige que la información y las respuestas sean concisas, transparentes, inteligibles y de fácil acceso. Los artículos 13 y 14 obligan a los responsables a informar a las personas sobre el tratamiento, tanto si los datos proceden directamente de ellas como de otra fuente, como el raspado web. El artículo 15 regula el derecho de acceso, el más ejercido y el que más litigios genera. El artículo 16 regula la rectificación. El artículo 17 regula la supresión, el derecho al olvido, que no es absoluto y está sujeto a las excepciones del artículo 17(3). El artículo 18 regula la limitación del tratamiento. El artículo 20 regula la portabilidad de los datos. El artículo 21 regula el derecho de oposición. El artículo 22 aborda las decisiones automatizadas y se analiza más adelante. Estos derechos se aplican a la IA del mismo modo que a cualquier otro tratamiento, lo que plantea cuestiones prácticas complejas cuando los datos personales están incorporados a un modelo entrenado.

Base jurídica para los datos de entrenamiento de IA

Entrenar un modelo con datos personales constituye un tratamiento y requiere una base jurídica. En el Dictamen 28/2024, adoptado el 17 de diciembre de 2024 a petición de la Comisión de Protección de Datos de Irlanda, el Comité Europeo de Protección de Datos confirmó que el interés legítimo puede ser una base válida para desarrollar y desplegar modelos de IA, pero solo si se cumple un test de tres pasos. El responsable debe identificar un interés legítimo que sea lícito, claramente articulado y real, no meramente especulativo. Debe demostrar que el tratamiento es necesario, es decir, que no existe una forma menos intrusiva de alcanzar el objetivo, prestando atención a la minimización de datos. Y debe realizar una prueba de ponderación, sopesando el interés frente a los derechos, libertades y expectativas razonables de las personas cuyos datos se utilizan. El Dictamen subrayó que se trata de un análisis caso por caso. La multa italiana contra OpenAI se basó en parte en la constatación de que se habían utilizado datos personales para entrenar ChatGPT sin haber identificado previamente una base jurídica adecuada.

Anonimato de los modelos y datos de entrenamiento tratados ilícitamente

El Dictamen 28/2024 también abordó cuándo puede considerarse que un modelo es anónimo y, por tanto, queda fuera del GDPR. El Comité Europeo de Protección de Datos fijó un listón elevado: tanto la probabilidad de extraer datos personales del modelo como la de obtenerlos mediante consultas deben ser insignificantes, teniendo en cuenta todos los medios razonablemente susceptibles de ser utilizados. Esta evaluación debe realizarse modelo por modelo. El Dictamen advirtió además que si un modelo se desarrolla utilizando datos personales tratados ilícitamente, esto puede contaminar el despliegue posterior, a menos que el modelo haya sido debidamente anonimizado. En casos graves, las autoridades de supervisión pueden ordenar la supresión de los datos de entrenamiento o incluso del propio modelo, aunque tales medidas deben ser proporcionadas.

Transparencia para la IA

La transparencia exigida por los artículos 12 a 14 requiere que se informe a las personas, en lenguaje claro, sobre el uso de sus datos. Para la IA esto es exigente, porque los modelos son complejos y los datos de entrenamiento suelen obtenerse mediante raspado de fuentes públicas. Cuando se aplica la toma de decisiones automatizada del artículo 22, los responsables también deben facilitar información significativa sobre la lógica aplicada y la importancia y las consecuencias previstas para el individuo. El principio de transparencia del artículo 5 y las obligaciones de información de los artículos 13 y 14 fueron citados en las actuaciones sancionadoras contra OpenAI y Clearview AI.

Toma de decisiones automatizada y elaboración de perfiles, artículo 22

El artículo 22 reconoce a las personas el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o efectos igualmente significativos. Con frecuencia se interpreta como una prohibición absoluta. Es más preciso entenderlo como una prohibición de principio con excepciones: la decisión está permitida cuando sea necesaria para la ejecución de un contrato, esté autorizada por el Derecho de la UE o de un estado miembro con las debidas garantías, o se base en el consentimiento explícito. Cuando está permitida, las garantías deben incluir el derecho a la intervención humana, a expresar el punto de vista propio y a impugnar la decisión. En la sentencia del TJUE de 7 de diciembre de 2023, asunto C-634/21 (SCHUFA Holding, OQ contra Land Hessen), el Tribunal declaró que una agencia de información crediticia que genera una puntuación de probabilidad realiza por sí misma una toma de decisiones individuales automatizada en el sentido del artículo 22(1) cuando un tercero se basa de forma determinante en dicha puntuación. En el asunto Dun and Bradstreet (C-203/22, febrero de 2025), el Tribunal declaró que los responsables deben facilitar información significativa sobre los procedimientos y principios que subyacen a tales decisiones, y que el secreto comercial no puede utilizarse para negar al interesado toda explicación.

Datos de categorías especiales, artículo 9

El artículo 9 prohíbe por defecto el tratamiento de datos de categorías especiales. Estas categorías incluyen datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos utilizados para la identificación unívoca, los datos relativos a la salud y los datos sobre la vida sexual u orientación sexual de una persona. El tratamiento solo está permitido cuando se aplica alguna de las excepciones del artículo 9(2), como el consentimiento explícito o el interés público sustancial. Se trata de una segunda capa que se superpone a la base jurídica del artículo 6, por lo que ambas deben cumplirse. Para la IA esto es relevante en dos sentidos. En primer lugar, la IA biométrica, como el reconocimiento facial, trata directamente datos de categorías especiales, razón por la cual se consideró que Clearview AI infringía el artículo 9. En segundo lugar, los modelos pueden inferir datos de categorías especiales, por ejemplo sobre salud u opiniones políticas, y los datos sensibles inferidos pueden quedar comprendidos en el artículo 9 dependiendo de lo deliberada y certera que sea la inferencia.

Evaluaciones de impacto relativas a la protección de datos, artículo 35

El artículo 35 exige una evaluación de impacto relativa a la protección de datos, o DPIA, cuando un tipo de tratamiento sea probable que entrañe un alto riesgo para los derechos y libertades de las personas, en particular cuando se utilicen nuevas tecnologías. El artículo 35(3) enumera tres supuestos que siempre la requieren: la evaluación sistemática y exhaustiva de aspectos personales mediante tratamiento automatizado con efectos significativos, el tratamiento a gran escala de datos de categorías especiales, y la observación sistemática a gran escala de zonas de acceso público. Gran parte de la IA entra en estas categorías. La lista del ICO de operaciones de tratamiento que probablemente entrañen un alto riesgo menciona expresamente la IA, el aprendizaje automático, la elaboración de perfiles a gran escala y la toma de decisiones automatizada que resulte en la denegación de un servicio, producto o prestación como supuestos que requieren una DPIA. Si un alto riesgo no puede mitigarse, el responsable debe consultar a la autoridad de supervisión antes de proceder.

Aplicación y multas

El GDPR es aplicado por las autoridades de supervisión nacionales, denominadas habitualmente autoridades de protección de datos, coordinadas a través del Comité Europeo de Protección de Datos. El artículo 83 establece dos niveles de multas. El nivel inferior alcanza los 10 millones de euros o el 2 por ciento del volumen de negocio anual mundial. El nivel superior alcanza los 20 millones de euros o el 4 por ciento del volumen de negocio anual mundial, por infracciones de los principios fundamentales, la base jurídica, los derechos de los interesados y las normas sobre transferencias. Las multas se calculan atendiendo a varios factores y deben ser efectivas, proporcionadas y disuasorias.

Cómo interactúa el GDPR con el EU AI Act

El GDPR y el EU AI Act son leyes distintas que se aplican simultáneamente. El AI Act regula el propio sistema de IA: cómo se diseña, prueba, documenta y gobierna, siguiendo una lógica de seguridad de productos basada en riesgos. El GDPR regula lo que ocurre con los datos personales. El AI Act no sustituye al GDPR ni crea una nueva base jurídica para el tratamiento de datos personales, por lo que sigue siendo necesaria una base válida conforme al artículo 6 para cualquier dato personal utilizado en IA. Cuando ambos se aplican, las obligaciones se acumulan: una evaluación de impacto sobre derechos fundamentales en virtud del AI Act está concebida para complementar, no sustituir, una DPIA en virtud del GDPR. Las obligaciones de alto riesgo del AI Act se están introduciendo de forma gradual, con fechas clave en torno al 2 de agosto de 2026 y posteriores, sujetas a modificaciones en curso. El detalle del AI Act se trata en su propia página.