RGPD e IA: qué está prohibido, qué es condicional y qué controlas tú

Una lista corta de usos de IA está cerca de una prohibición real bajo el RGPD. Conocerlos primero facilita razonar sobre el resto.

• Decisiones únicamente automatizadas sobre personas. El artículo 22 restringe las decisiones con efecto jurídico o similarmente significativo que se toman sin intervención humana significativa. Las autoridades de control alemanas lo leen de forma estricta y esperan una supervisión humana efectiva en lugar de un sello de goma (Hogan Lovells).
• Datos de categorías especiales por defecto. Los datos de salud, biométricos, de creencias y similares están prohibidos para el tratamiento bajo el artículo 9 salvo que aplique una excepción específica. El Reglamento de IA de la UE añade una apertura estrecha: el artículo 10(5) permite tales datos estrictamente para detectar y corregir sesgos en sistemas de alto riesgo (IAPP).
• Modelos construidos sobre datos recopilados ilícitamente. El Dictamen 28/2024 del CEPD, publicado el 18 de diciembre de 2024, sostiene que si un modelo se desarrolló usando datos personales tratados ilícitamente, eso puede viciar la licitud de su despliegue, salvo que el modelo haya sido debidamente anonimizado (CEPD).

La mayor parte del trabajo con IA queda fuera de esta lista corta, donde la respuesta rara vez es un "no" rotundo. Es un "sí, si".

El amplio centro del trabajo con IA es lícito cuando puedes mostrar las condiciones correctas y documentarlas.

Dos condiciones hacen la mayor parte del trabajo. La primera es una base jurídica. Para entrenar y usar modelos con datos personales, el CEPD estableció una prueba de tres pasos para apoyarse en el interés legítimo, sopesando el interés en sí, si el tratamiento es necesario, y un equilibrio frente a los derechos de las personas en los datos (CEPD). El interés legítimo está disponible, pero se gana con esa prueba, no se presupone.

La segunda es la anonimidad, que no puedes declarar por tu cuenta. El mismo dictamen sostiene que un modelo entrenado con datos personales no es automáticamente anónimo. Cuenta como anónimo solo cuando es muy improbable tanto identificar a las personas cuyos datos lo entrenaron como extraer esos datos mediante consultas, evaluado caso por caso por la autoridad de control (IAPP). El dictamen se apoya tanto en "caso por caso" que los analistas jurídicos contaron la frase a lo largo del texto (Ropes & Gray). La lectura práctica: la mayor parte del tratamiento con IA está permitida, con la condición de que puedas mostrar tu base y tu documentación.

La parte alentadora es que las condiciones que debes cumplir las decide en gran medida cómo construyes el sistema, no quién eres.

• Conserva menos, por menos tiempo. La minimización de datos y la limitación de la finalidad aplican a los lugares específicos de la IA donde se esconden los datos: registros de prompts y de sistema, y los vectores dentro de un almacén RAG. La guía del CEPD apunta a minimizar lo que se registra, preferir identificadores agregados o seudónimos, y retención corta (análisis del CEPD).
• Decide dónde residen los datos, a propósito. Desde la sentencia Schrems II, enviar datos personales a un proveedor de EE. UU. no queda zanjado con firmar cláusulas contractuales tipo. Tienes que evaluar si esas cláusulas pueden realmente sostenerse dada la ley de vigilancia de EE. UU., y esa responsabilidad no se puede traspasar al proveedor (análisis).

Esta es la razón práctica por la que la residencia de datos y el despliegue on-prem son palancas de control en lugar de ideología, el mismo punto detrás de operar modelos que posees en lugar de alquilar (iiterate).

Ayuda tratar la protección de datos y la regulación de la IA como obligaciones separadas que se encuentran, en lugar de un solo reglamento.

El RGPD es un régimen de derechos fundamentales sobre datos personales; el Reglamento de IA de la UE se parece más a una ley de seguridad de productos para sistemas de IA (IAPP). Un sistema de alto riesgo puede deber obligaciones bajo ambos: una Evaluación de Impacto relativa a la Protección de Datos bajo el artículo 35 del RGPD, y una Evaluación de Impacto sobre los Derechos Fundamentales bajo el artículo 27 del Reglamento de IA, que la complementa en lugar de reemplazarla. Los dos también interactúan de formas incómodas. Los profesionales señalan, por ejemplo, que la elaboración de perfiles del RGPD puede volver a meter en el ámbito un sistema que una exención del Reglamento de IA parecía liberar (r/gdpr). La ayuda oficial está en camino: el CEPD y la Comisión Europea deben publicar una guía conjunta sobre el solapamiento a principios de 2026 (IAPP).

No necesitas una certeza que el regulador no ha proporcionado. Necesitas una postura defendible y documentada. Un orden práctico:

1. Mapea dónde entran los datos personales en el sistema: entradas, prompts, registros, datos de entrenamiento y el almacén RAG.
2. Elige y anota una base jurídica para cada uso. Si te apoyas en el interés legítimo, ejecuta la prueba de equilibrio en lugar de presuponerla.
3. Ejecuta una EIPD antes de desplegar cualquier cosa que elabore perfiles o decida sobre personas, y mantén a un humano significativamente en el bucle para los casos del artículo 22.
4. Minimiza y acota en el tiempo lo que el sistema conserva, especialmente registros de prompts y vectores.
5. Decide la residencia de datos de forma deliberada. Si los datos personales fueran a salir de la UE, haz la evaluación de la transferencia, o mantén el tratamiento en la UE u on-prem.
6. Revisa la postura cuando llegue la guía conjunta del CEPD y la Comisión en 2026.

La versión corta: muy poco sobre la IA está categóricamente prohibido bajo el RGPD, unas pocas cosas genuinamente lo están, y la mayor parte del resto es un "sí, si" documentado. Las condiciones que lo deciden son en su mayoría arquitectónicas, lo que significa que son tuyas de fijar. Las mismas preguntas de gobernanza afloran en cuanto un agente interno toca datos de clientes (iiterate). Esto sigue siendo orientación en lugar de asesoramiento jurídico, así que haz de tu delegado de protección de datos el próximo lector.