Bruselas abre la puerta a entrenar modelos de inteligencia artificial con datos personales sin consentimiento
El Comité de Representantes Permanentes de la Unión Europea, el Coreper que reúne a los embajadores de los Veintisiete, cerró el 21 de octubre la posición con la que el Consejo negociará el Digital Omnibus, el paquete de simplificación normativa digital. El documento tiene 179 páginas y retoca cuatro normas a la vez: el RGPD, la directiva ePrivacy de las cookies, el Reglamento de Datos y la directiva de ciberseguridad NIS2.
El movimiento pasó inadvertido en su momento, pero su alcance es otro. La pieza clave no es un reglamento nuevo, sino ese mandato negociador, que permitiría a las empresas entrenar modelos de inteligencia artificial con datos personales sin pedir consentimiento. Nada de esto es ley todavía: el Parlamento Europeo aún no tiene postura y el trílogo con la Eurocámara arrancará antes de fin de año.
EL EQUÍVOCO DE PARTIDA
Conviene deshacer un equívoco. El RGPD no exige consentimiento para todo; permite tratar datos personales cuando existe un interés legítimo y los derechos del afectado no pesan más. Lo que hace el Consejo es escribir ese interés legítimo expresamente para la IA mediante un nuevo artículo 88 bis. La diferencia es sutil en la forma y enorme en la práctica: lo que hasta ahora obligaba a ponderar caso por caso pasa a ser una suerte de salvoconducto sectorial. El texto consolidado del reglamento, disponible en EUR-Lex, no menciona la IA en ningún artículo.
LAS SALVAGUARDAS QUE CAEN
El detalle que más ruido va a generar está en la página 145 del documento. Allí el Consejo tacha salvaguardas que había añadido la Comisión Europea: el derecho de oposición incondicional y la excepción expresa para menores y para normas nacionales que exigen consentimiento. El freno del Ejecutivo comunitario desaparece en la versión de los Estados miembros. No es un giro de Bruselas, sino de los Gobiernos.
DATOS SENSIBLES Y LETRA PEQUEÑA
El texto añade una excepción para el tratamiento incidental y residual de datos sensibles que aparezcan durante el desarrollo técnico del sistema, siempre que la empresa no pretendiera recogerlos. La compañía quedaría obligada a evitarlos, borrarlos en cuanto los detecte y protegerlos. La excepción no cubre lo que el usuario escribe directamente en un chatbot ni el uso intencionado de voz o imagen.
También se facilita la investigación científica, incluso la de empresas privadas con fines comerciales, si es autónoma e independiente y la compañía justifica en cada caso que sus resultados son verificables y transparentes. Y se propone que los datos seudonimizados dejen de ser personales para el tercero que los recibe si no puede identificar a nadie; si puede, siguen bajo el paraguas del RGPD.
EL MAPA DE FUERZAS
La geometría de la negociación no es la habitual. Alemania y Francia llevan meses empujando una agenda de soberanía digital que pasa por aligerar la carga regulatoria sobre sus campeones industriales y sobre los modelos de IA que quieren desarrollar. Irlanda, sede europea de las grandes tecnológicas estadounidenses, tiene interés directo en que el interés legítimo sea lo más ancho posible. En el otro extremo, la comisión de Libertades Civiles de la Eurocámara, la LIBE, ha defendido históricamente el régimen estricto y todavía no ha fijado su posición formal. Los países del sur, España e Italia incluidas, se mueven entre el discurso de la protección de datos y la necesidad de no quedarse fuera de la carrera de la IA.
En España la pelota cae del lado de la Agencia Española de Protección de Datos, una de las autoridades más activas de Europa en sanciones por tratamiento indebido. Las startups de IA con sede en Madrid y Barcelona, los modelos de riesgo de la banca y los asistentes conversacionales de las telecos aparecen como los primeros interesados en que el interés legítimo se aclare, y también como los primeros expuestos si la Eurocámara recompone los límites que el Consejo ha rebajado. El país aprobó su Estrategia Nacional de Inteligencia Artificial hace años y la ha ido actualizando; como miembro del Consejo, es corresponsable del mandato que se negocia.
LO QUE FALTA Y LO QUE NO SE TOCA
Tampoco conviene confundir esta reforma con el AI Act, el reglamento de inteligencia artificial que va por otra vía y sigue plenamente vigente. El calendario no está cerrado: si la Eurocámara recompone los límites, el trílogo se alargará y el Digital Omnibus podría no cerrarse antes de que acabe el año, según el calendario que maneja Bruselas. La próxima ventana crítica es la posición formal de la Eurocámara, que llegará previsiblemente en las próximas semanas. Hasta entonces, el texto del 21 de octubre es solo un mandato.
El caso más cercano en el tiempo es la sentencia Schrems II del Tribunal de Justicia de la Unión Europea, que en 2020 tumbó el escudo de privacidad con Estados Unidos y mostró que los tribunales europeos pueden deshacer por la vía judicial lo que los Gobiernos pactan por la vía política.
En nuestra lectura, la operación deja a la vista una tensión difícil de esquivar: el mismo paquete que aligera obligaciones para la industria toca salvaguardas que hasta ahora protegían a los afectados. Para quienes siguen el estándar europeo como referencia, el expediente podría leerse en condicional como un recordatorio de que ese estándar también se negocia.
Fuente: moncloa.com
Documento original: https://www.moncloa.com/2026/10/28/rgpd-inteligencia-artificial-entrenar-ia-3457155/
Nota del Editor: Fotografía referencial generada por Inteligencia Artificial.
Acerca del Autor
