LA UNIÓN EUROPEA PUBLICA SU PRIMERA NORMA ARMONIZADA PARA LA GESTIÓN DE CALIDAD DE LA IA
La Comisión Europea dio a conocer el 14 de octubre de 2026 la Decisión de Ejecución (UE) 2026/2274, que introduce la norma armonizada EN 18286:2026, dedicada a los sistemas de gestión de calidad de la inteligencia artificial con fines regulatorios. Con ese paso, los proveedores de sistemas de IA de alto riesgo cuentan con una vía formal para demostrar que cumplen los requisitos pertinentes del Reglamento (UE) 2024/1689, la Ley Europea de Inteligencia Artificial. La decisión entró en vigor el mismo día de su publicación.
QUÉ CUBRE LA NORMA Y CÓMO SE ELABORÓ
El estándar fue elaborado por el Comité Europeo de Normalización (CEN) y el Comité Europeo de Normalización Electrotécnica (Cenelec), a partir de la solicitud de normalización cursada por la Comisión el 23 de junio de 2025. Aborda los sistemas de gestión de calidad de los proveedores de sistemas de IA, incluidos los procesos de vigilancia poscomercialización. El artículo 17 de la Ley de IA exige a esos proveedores un sistema documentado que cubra el cumplimiento normativo, los procesos de diseño y desarrollo, la gestión de riesgos, las pruebas, la documentación técnica y la vigilancia posterior a la comercialización.
PRESUNCIÓN DE CONFORMIDAD CON LÍMITES
Conforme al artículo 40 del reglamento europeo, los sistemas de IA que respeten normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea gozan de una presunción de conformidad respecto de los requisitos cubiertos por esas normas. Cumplir la EN 18286:2026 no acredita por sí solo la conformidad con todas las obligaciones de la Ley de IA ni elimina las demás exigencias de evaluación de la conformidad aplicables.
EDPB: LOS ANTEOJOS INTELIGENTES EXIGEN ALGO MÁS QUE UN AVISO
El 13 de octubre de 2026 el Comité Europeo de Protección de Datos (EDPB) adoptó su Declaración sobre Anteojos Inteligentes, con orientaciones preliminares sobre la aplicación del Reglamento General de Protección de Datos (GDPR) a dispositivos portátiles con cámaras, micrófonos, inteligencia artificial y otras funciones conectadas. El documento examina los riesgos de una recolección discreta de datos personales, en especial cuando las personas son grabadas o analizadas sin saberlo, y sostiene que la responsabilidad depende de quién determina los fines y los medios del tratamiento: usuarios, fabricantes y proveedores de aplicaciones o servicios de IA pueden ser responsables independientes o conjuntos.
La exención doméstica del artículo 2(2)(c) del GDPR puede operar en usos puramente personales, como compartir fotografías en privado con la familia o usar funciones de traducción en un entorno íntimo. No cubre la publicación de grabaciones en cuentas abiertas de redes sociales ni los usos profesionales, comerciales o de otro tipo no personal. Para los transeúntes el aviso tradicional resulta insuficiente: los anteojos pueden confundirse con lentes comunes y esas personas no tienen relación directa con el fabricante ni con el proveedor. De ahí que el EDPB recomiende combinar indicadores LED visibles y difíciles de eludir, señales sonoras o activación por voz, notificaciones de proximidad en el teléfono —siempre que no permitan rastrear a los usuarios— y diseños distintivos. Esos indicadores no reemplazan la obligación de informar conforme a los artículos 12 a 14 del GDPR.
El tratamiento necesita una base jurídica válida del artículo 6. El consentimiento de los transeúntes es especialmente difícil de obtener, y uno posterior a la grabación no legitima retroactivamente la recolección inicial. El interés legítimo del artículo 6(1)(f) exige un análisis caso a caso de necesidad, expectativas razonables y derechos de los afectados, que el EDPB considera particularmente complejo cuando los datos se destinan a fines comerciales ajenos al servicio solicitado o al entrenamiento de modelos de IA. A ello se suman la limitación de finalidades de los artículos 5(1)(b) y 6(4), el derecho de oposición, las restricciones geográficas para lugares sensibles y una atención especial a niños y a entornos como hospitales, colegios, lugares de trabajo y vestuarios. El marco del ePrivacy puede aplicarse además a ciertos tratamientos.
CNIL: CUÁNDO PROCEDE RECONSTRUIR UN CORREO PROFESIONAL
La autoridad francesa de protección de datos (CNIL) publicó el 16 de octubre de 2026 una guía sobre la reconstrucción de direcciones de correo profesional a partir de información disponible públicamente, práctica habitual en el marketing entre empresas. Reconstruir un correo constituye tratamiento de datos personales y la accesibilidad pública de la información de origen no exime de las obligaciones. El interés legítimo del artículo 6(1)(f) puede servir de base si existe un fin genuino y lícito y la injerencia no es desproporcionada, pero no de forma automática: hay que evaluar si la persona podía razonablemente anticipar la reconstrucción, limitar la conservación y facilitar la oposición, excluyendo de inmediato a quien objete sin exigirle justificación. Si no se cumplen esas condiciones, solo cabe reconstruir con consentimiento válido; las autoridades públicas pueden invocar el artículo 6(1)(e).
FSB: DOCE PRÁCTICAS PARA LA IA EN LOS SERVICIOS FINANCIEROS
El 15 de octubre de 2026 el Consejo de Estabilidad Financiera (FSB) publicó su informe final con doce prácticas para una adopción responsable de la IA. Son no vinculantes y no constituyen un estándar internacional: se plantean como una caja de herramientas proporcional al tamaño y complejidad de cada institución. Cuatro prácticas abordan el gobierno corporativo y ocho el ciclo de vida, desde la evaluación de materialidad y riesgo hasta la gobernanza de datos, la explicabilidad, la supervisión humana, el riesgo cibernético y el riesgo de terceros. El informe pone el foco en la IA agéntica —acciones erróneas, acceso a información sensible, manipulación de la memoria del agente— y propone controles deterministas, permisos restringidos, interruptores de corte probados y el concepto de «least agency», esto es, dar al agente solo las autorizaciones necesarias para su tarea.
OCDE: LOS NEURODATOS NECESITAN REGLAS MÁS CLARAS
La OCDE publicó Neurodata Governance: Evidence from Innovators for Public Policy (Science, Technology and Industry Policy Papers, No. 195, 2026), basado en entrevistas y mapeo de flujos de datos de 16 empresas de neurotecnología en siete países. El diagnóstico: las leyes vigentes —el GDPR europeo y británico, la normativa de dispositivos médicos, la protección al consumidor y la regulación de IA— no definen los neurodatos de forma explícita, y subsiste la duda de si ciertas señales neuronales y la información derivada son datos personales, biométricos o de salud. La OCDE advierte contra tratar todos los neurodatos como igualmente sensibles y propone cinco prioridades, entre ellas aclarar su clasificación y las responsabilidades de responsable y encargado, coordinar a los reguladores y abrir vías proporcionadas para la investigación.
OTROS FRENTES
Canadá y el Reino Unido renovaron el 13 de octubre de 2026 su alianza bilateral en seguridad de la IA, tras la visita a Londres del ministro canadiense de IA e Innovación Digital, Evan Solomon. El mismo día entraron en vigor en Estados Unidos nuevas reglas de la FCC sobre autorización de equipos, que cierran lo que la propia agencia llama el «component part loophole» y obligan a los mercados en línea a exhibir identificaciones FCC desde marzo y junio de 2027. Además, el Frontier Red Team de Anthropic publicó el 12 de octubre un informe sobre replicación autónoma de modelos: uno de 26.000 millones de parámetros operó distribuido en quince decodificadores Android de bajo costo.
Fuente: keplernewsletter.substack.com
Documento original: https://keplernewsletter.substack.com/p/privacy-and-cybersecurity-91
Nota del Editor: Fotografía referencial generada por Inteligencia Artificial.
Acerca del Autor
