Se acabó la excusa de «era público»: el RGPD ya cubre formalmente los datos de entrenamiento de IA

Durante años, la industria de la IA ha operado bajo una suposición cómoda: si un dato está en la web abierta, es legítimo recopilarlo y usarlo para entrenar un modelo. Sin necesidad de consentimiento, sin aviso — es «de acceso público», así que no hay problema.

El 8 de julio de 2026, el Comité Europeo de Protección de Datos (CEPD) cerró ese vacío legal de forma definitiva. Junto con nuevas directrices sobre anonimización y blockchain, adoptó sus Directrices sobre scraping web en el contexto de la IA generativa — y el mensaje es inequívoco: el RGPD siempre se ha aplicado a los datos personales recopilados mediante scraping web y usados para entrenar IA, y los reguladores ahora están detallando exactamente qué exige el cumplimiento.

Qué ha cambiado realmente

Las directrices están en consulta pública hasta el 30 de octubre de 2026, pero la dirección ya está clara, y se espera que las autoridades de protección de datos de la UE actúen en consecuencia. Destacan tres requisitos.

El interés legítimo no puede darse por hecho — hay que evaluarlo cada vez. Los desarrolladores ya no pueden tratar «el dato era público» como una base legal por sí sola. Cada operación de scraping necesita una evaluación de interés legítimo genuina y caso por caso, que pondere el interés del desarrollador en el dato frente a los derechos y las expectativas razonables de las personas a las que describe.

La minimización de datos debe producirse antes de empezar el scraping, no después. No basta con filtrar datos irrelevantes o excesivos una vez que ya se han incorporado a un conjunto de entrenamiento. Las directrices esperan que la minimización esté integrada en el propio proceso de recopilación — hacer scraping solo de fuentes fiables e identificables, poner marca de tiempo a lo recopilado, y dejar fuera desde el principio los datos de categorías especiales (salud, opiniones políticas, orientación sexual y similares) en lugar de depurarlos después.

Los conjuntos de datos antiguos no tienen pase libre. Este es el detalle que más sorprende a la gente. Las empresas no pueden señalar datos recopilados hace años y alegar que las normas aún no existían. La prueba de ponderación debe reflejar las circunstancias del momento de la recopilación — lo que significa que los desarrolladores sin documentación sólida sobre cómo y por qué reunieron conjuntos de datos antiguos se encuentran ahora ante una brecha de cumplimiento que no pueden subsanar fácilmente con carácter retroactivo.

La trampa de la anonimización

Algunos desarrolladores han argumentado que, una vez que los datos personales quedan incorporados a un modelo entrenado, son efectivamente anónimos y el RGPD deja de aplicarse. Las directrices complementarias del CEPD sobre anonimización también cierran esa puerta, al establecer una prueba estricta de tres partes: los datos solo se consideran anónimos si no se puede individualizar a ninguna persona, si no se pueden vincular a otra información sobre ella, y si no se puede identificar a ninguna persona por inferencia.

Ese es un listón alto — posiblemente demasiado alto para cómo funcionan realmente los grandes modelos de lenguaje. Los investigadores han demostrado repetidamente que los modelos pueden «regurgitar» fragmentos literales de sus datos de entrenamiento, incluida información personal, con el tipo de instrucción adecuado. Las noticias sobre las directrices han sido directas respecto a la consecuencia: pocos sistemas de IA, si es que alguno, pueden cumplir hoy este estándar de anonimización. En la práctica, eso significa que buena parte de los datos que hay dentro de los grandes modelos actuales probablemente sigue contando como dato personal bajo el RGPD — con todas las obligaciones que eso implica.

A quién afecta

A todo el que construya o ajuste modelos con datos web públicos. Eso incluye a los laboratorios más grandes — OpenAI, Meta y Google se citan explícitamente en la cobertura de las directrices —, pero las obligaciones no se reducen para los actores más pequeños. Una startup que ajusta un modelo de código abierto con publicaciones de foros obtenidas por scraping, o un equipo de investigación que construye un modelo más pequeño y específico de un dominio, se enfrenta a los mismos requisitos de interés legítimo, minimización y documentación que un laboratorio de referencia. Si acaso, las organizaciones más pequeñas están más expuestas, porque suelen contar con menos recursos para construir los procesos de documentación y evaluación de impacto que los reguladores esperarán ver.

Por qué esto importa aunque no entrenes modelos

La mayoría de las pymes no construyen modelos fundacionales — pero muchas los ajustan, implementan herramientas de IA de terceros, o integran funciones de IA de proveedores en sus propios productos. Eso no te deja fuera del radio de impacto. Si el modelo de un proveedor se entrenó con datos recopilados de forma indebida, el riesgo de cumplimiento no se queda contenido en el proveedor. Cada vez más se espera que las empresas que implementan herramientas de IA hagan una diligencia debida básica sobre cómo se construyeron esas herramientas — qué datos las entrenaron, si existe una base legal documentada, y si el proveedor puede responder preguntas sencillas sobre la procedencia de los datos.

Esa es una pregunta muy distinta de «¿funciona bien esta herramienta de IA?», y merece la pena hacerla antes de firmar un contrato, no después de que un regulador la haga por ti.

Qué hacer en la práctica ahora

Tres cosas que merece la pena hacer ya, tanto si entrenas modelos como si compras herramientas que fueron entrenadas:

1. Pregunta directamente a los proveedores de IA qué base legal usaron para sus datos de entrenamiento y si pueden documentarla.
2. Desconfía de las afirmaciones de que los datos de entrenamiento están «anonimizados» — el listón del CEPD es alto, y una garantía vaga no sustituye a una respuesta real.
3. No trates «se entrenó antes de que existieran las directrices» como una defensa, porque los reguladores tampoco lo harán.

El Reglamento de IA recibe más atención por ser nuevo. Pero el RGPD ya estaba plenamente en vigor, y el CEPD acaba de confirmar, con detalle, que siempre cubrió cómo se construye la IA — no solo cómo se usa.

Por eso GDPRGard construyó GDPRChat de esta manera: entrenado con el contenido de tu propia empresa — tus preguntas frecuentes, políticas e información de producto — en lugar de con datos de terceros obtenidos por scraping y de origen incierto. Si estás eligiendo una herramienta de IA para tu negocio, «¿de dónde vinieron los datos de entrenamiento, y puedes demostrarlo?» es ahora una pregunta justa para cualquier proveedor.

Reserva una consulta gratuita con GDPRGard →

Fuentes

• Tech Times — El RGPD se aplica a los datos de entrenamiento de IA: la UE pone fin al pase libre del scraping web para todos los laboratorios
• CEPD — El CEPD arroja luz sobre la anonimización y el scraping web para la IA generativa

Lee también:

• Olvida el Reglamento de IA — el RGPD ya multa a empresas por errores de IA
• El Reglamento de IA ya se aplica a los sistemas de alto riesgo: ahora tienes dos reguladores
• La IA es el mayor riesgo de cumplimiento del RGPD en 2026