La IA es el mayor riesgo de cumplimiento del RGPD en 2026

Durante la mayor parte de la última década, cumplir el RGPD significaba tener los fundamentos en orden: una base legal documentada, un registro ordenado de actividades de tratamiento, un banner de cookies que funcionara de verdad, un procedimiento de notificación de brechas que nadie tuviera que improvisar bajo presión. Las empresas que invirtieron en esos fundamentos podían considerarse razonablemente cumplidoras. En 2026, eso ya no basta. La inteligencia artificial se ha convertido en la mayor fuente de riesgo del RGPD, y los reguladores europeos están demostrando — mediante directrices, investigaciones y medidas de aplicación — que los sistemas de IA no tienen un pase libre frente a los principios que rigen la protección de datos desde 2018. Si acaso, la IA eleva la apuesta, porque estos sistemas pueden generar nuevos resultados dañinos a partir de datos personales de formas que los redactores originales del reglamento nunca tuvieron que imaginar.

El RGPD se redactó para ser neutral desde el punto de vista tecnológico, y en principio sus obligaciones fundamentales se aplican tanto a un modelo de aprendizaje automático como a una hoja de cálculo con datos de clientes. En la práctica, la IA complica casi todas esas obligaciones. Los datos de entrenamiento suelen recopilarse a gran escala, a veces mediante scraping de fuentes públicas, y rara vez se reúnen con un propósito específico y documentado en mente — lo que encaja mal con la limitación de la finalidad y la minimización de datos. Los modelos pueden memorizar y reproducir después datos personales de formas que nadie puede predecir ni controlar por completo. Y una vez desplegado, sus resultados — recomendaciones, clasificaciones, imágenes o textos generados — pueden constituir en sí mismos un nuevo tratamiento de datos personales, con nuevos riesgos asociados. Los reguladores no tratan la IA como una cuestión aparte; la tratan como una extensión de las obligaciones del RGPD ya existentes, aplicadas con especial rigor. Tres requisitos en particular han pasado al centro de la actividad de aplicación: las evaluaciones de interés legítimo para los datos de entrenamiento, las evaluaciones de impacto obligatorias para el tratamiento biométrico, y la prueba de que los datos de entrenamiento se obtuvieron lícitamente en primer lugar.

El interés legítimo no es un pase libre

Muchas organizaciones que construyen o ajustan modelos de IA se han apoyado en el «interés legítimo» como base legal para usar datos personales en el entrenamiento, sobre todo cuando obtener el consentimiento individual de cada interesado sería impracticable. Los reguladores no han rechazado este enfoque de plano — pero han dejado claro que no es una justificación general. Requiere una evaluación documentada y defendible.

Una evaluación de interés legítimo adecuada para datos de entrenamiento de IA debe establecer tres cosas: que el interés perseguido es genuino y lícito, que el tratamiento es necesario para lograrlo (sin que exista una alternativa menos intrusiva), y que ese interés no queda desplazado por los derechos y libertades de las personas cuyos datos se utilizan. Para la IA en concreto, eso significa poder demostrar por qué un conjunto de datos concreto era necesario, por qué la anonimización o los datos sintéticos no eran sustitutos viables, y qué salvaguardas limitan el impacto sobre las personas. Las organizaciones que no pueden aportar esta documentación cuando se les pide se encuentran cada vez más en el lado equivocado de una investigación. Explicamos con detalle lo estricta que se ha vuelto esta prueba en nuestro análisis de las nuevas directrices del CEPD sobre scraping web — los conjuntos de datos antiguos no tienen pase libre solo porque las normas no existieran cuando se recopilaron.

El tratamiento biométrico y la obligación de EIPD

Los datos biométricos — reconocimiento facial, huellas de voz, análisis de la marcha y otros identificadores similares — pertenecen a una categoría especial de datos personales bajo el RGPD, y la IA ha hecho que el tratamiento biométrico sea muchísimo más habitual y más potente. Los sistemas de reconocimiento facial, las herramientas de detección de emociones y la tecnología de clonación de voz dependen todos de tratar esta categoría de datos a gran escala.

Debido al riesgo elevado, una Evaluación de Impacto relativa a la Protección de Datos (EIPD) no es opcional para estos sistemas — es obligatoria antes de que comience el tratamiento. Una EIPD debe describir las operaciones de tratamiento y sus finalidades, evaluar si el tratamiento es necesario y proporcionado, identificar los riesgos para las personas y establecer las medidas adoptadas para abordarlos. En el caso de la IA biométrica, esa evaluación debe abordar con honestidad preguntas que resulta fácil pasar por alto con las prisas por lanzar el producto: ¿Qué precisión tiene el sistema en distintos grupos demográficos? ¿Qué ocurre si identifica erróneamente a alguien? ¿Pueden las personas optar por no participar, y qué alternativa se les ofrece si lo hacen? Los reguladores solicitan cada vez más estas evaluaciones como primer paso en cualquier investigación sobre un despliegue de IA biométrica — y su ausencia se considera un fallo de cumplimiento significativo por sí sola, con independencia de lo que haga realmente el sistema subyacente.

Procedencia lícita de los datos de entrenamiento

El tercer pilar del riesgo del RGPD específico de la IA es más básico, pero posiblemente más difícil de corregir a posteriori: ¿se obtuvieron lícitamente los datos de entrenamiento en primer lugar? Los grandes modelos de lenguaje y los generadores de imágenes se entrenan con frecuencia con datos obtenidos por scraping de la web abierta, conjuntos de datos con licencia, o registros históricos de la empresa recopilados con fines completamente distintos. Cada fuente plantea sus propias cuestiones de cumplimiento. Los datos obtenidos por scraping pueden haberse recopilado sin ninguna base legal para el propio scraping, y mucho menos para su reutilización en el entrenamiento de IA. Es posible que los conjuntos de datos con licencia no se recopilaran con un consentimiento suficientemente informado como para respaldar su uso posterior en IA. Y los registros internos reunidos hace años con un fin comercial concreto pueden carecer hoy de una base válida para reutilizarse como conjunto de entrenamiento.

Este es un problema difícil de corregir de forma retroactiva — un modelo ya entrenado con datos obtenidos de forma ilícita no puede simplemente «eliminar» esos datos como se borraría un registro de una base de datos. Precisamente por eso los reguladores están presionando a las organizaciones para que documenten la procedencia de los datos antes de que empiece el entrenamiento, no después de que llegue una denuncia: un rastro documental claro que muestre de dónde procede cada conjunto de datos, qué base legal se aplicó a su recopilación, y si esa base cubre también su uso en el entrenamiento de IA.

Cuando el resultado de la IA es en sí mismo la infracción

Puede que el cambio más significativo en la aplicación del RGPD en 2026 sea el reconocimiento de que las infracciones no solo pueden surgir de cómo se recopilan o se usan los datos personales para entrenar un modelo, sino también de lo que produce un modelo ya desplegado. Esto no es hipotético. El 17 de febrero de 2026, la Comisión de Protección de Datos de Irlanda — que lidera la aplicación del RGPD frente a X dada la sede europea de la empresa en Dublín — abrió una investigación estatutaria formal sobre el chatbot Grok de la plataforma, después de que se informara de que los usuarios le pedían generar imágenes hipersexualizadas y no consentidas de personas reales, incluyendo, según algunos informes, de menores.

La investigación examina si X trató lícitamente los datos de los usuarios de la UE y el EEE al desplegar las herramientas de generación de imágenes de Grok, si existían salvaguardas adecuadas, y si los riesgos de uso indebido se evaluaron correctamente antes del lanzamiento. La teoría jurídica de fondo es relevante: usar la fotografía de una persona real como base para generar una imagen sintética sexualizada u otra imagen dañina puede constituir en sí mismo un tratamiento ilícito de los datos personales de esa persona — con independencia de cualquier infracción penal o de las normas de la plataforma que también pueda existir. En otras palabras, el daño no se produce solo aguas arriba, en cómo se recopilaron los datos de entrenamiento. También puede producirse aguas abajo, en el momento de la generación, en lo que el sistema desplegado hace con la imagen de alguien. X restringió la generación de imágenes de Grok a los suscriptores de pago después de que salieran a la luz los informes, pero la investigación — que conlleva multas potenciales de hasta el 4 % de la facturación anual mundial de X — sigue su curso de todos modos.

Para cualquier organización que construya o despliegue IA generativa, esta es una distinción crucial. Las salvaguardas no pueden detenerse en la fase de entrenamiento; también deben abarcar lo que el modelo es capaz de producir en el momento de la inferencia, y lo que ocurre cuando alguien intenta usarlo indebidamente de forma deliberada.

Seis buenas prácticas para adelantarse al riesgo

Entre las directrices regulatorias, las medidas de aplicación y los análisis del sector, seis prácticas separan de forma constante a las organizaciones que gestionan bien el riesgo del RGPD relacionado con la IA de las que quedan expuestas.

1. Incorporar la privacidad desde el principio, no a posteriori. La privacidad desde el diseño es una obligación del RGPD, no una sugerencia — en el caso de la IA, eso significa revisiones de privacidad en la fase de selección del conjunto de datos y de la arquitectura del modelo, no solo antes del lanzamiento.
2. Mapear cómo fluyen realmente los datos personales por el sistema. Desde la ingesta, pasando por el entrenamiento o el ajuste fino, hasta la inferencia y el resultado. Sin este mapa, la mayoría de las organizaciones no puede responder a la pregunta básica de un regulador: ¿dónde han estado los datos de esta persona, y qué se ha hecho con ellos?
3. Documentar un propósito específico para cada actividad de tratamiento. «Mejorar nuestros modelos de IA» no es suficientemente específico. Los reguladores esperan un propósito declarado para un conjunto de datos dado, con su uso limitado a ese propósito.
4. Tratar las EIPD como un filtro, no como un trámite. Especialmente en sistemas biométricos, perfilado a gran escala y decisiones automatizadas con efectos jurídicos o de importancia similar — completar la evaluación antes de que se cierren las decisiones de despliegue, no después.
5. Poder explicar la decisión, no solo que se tomó una. El RGPD otorga a las personas derechos reales frente a la toma de decisiones automatizadas. Las organizaciones necesitan cada vez más poder explicar, en un lenguaje sencillo, cómo llegó un sistema a una decisión que afecta a alguien.
6. Vigilar de forma continua, no anual. Los sistemas de IA se desvían, se usan indebidamente de formas que sus diseñadores no anticiparon, o producen resultados dañinos que solo se hacen visibles una vez desplegados a gran escala — como ilustra la investigación sobre Grok. Una revisión de cumplimiento anual llega con demasiada poca frecuencia para detectar eso antes de que se convierta en un incidente regulatorio.

La IA no va a volverse menos central en cómo las organizaciones tratan los datos personales, y los reguladores no van a prestar menos atención a cómo se usa. Las organizaciones que navegan bien este panorama son las que tratan el cumplimiento del RGPD como una disciplina técnica y de gobernanza continua, integrada en los sistemas de IA desde el principio — no como una lista de comprobación legal aplicada después de los hechos. Los reguladores ya han demostrado que actuarán no solo contra cómo se recopilan los datos para el entrenamiento, sino también contra lo que los sistemas desplegados realmente generan. Ese cambio de mentalidad ya no es opcional.

Reserva una consulta gratuita con GDPRGard →

Fuentes

• The Irish Times — La DPC investiga a X por posibles infracciones relacionadas con la «desnudificación» de imágenes vía Grok
• JURIST — Irlanda abre una investigación sobre las imágenes de Grok en X

Lee también:

• Se acabó la excusa de «era público»: el RGPD ya cubre formalmente los datos de entrenamiento de IA
• Olvida el Reglamento de IA — el RGPD ya multa a empresas por errores de IA
• Por qué toda empresa SaaS necesita una EIPD antes de lanzar funciones de IA