Consejo de la UE propone que la IA entrene con datos personales sin pedir permiso

Entrenar y operar modelos de inteligencia artificial con datos personales sin pedir permiso a cada persona. Eso es lo que permitiría una propuesta para reformar el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, según el documento del Consejo Europeo publicado tras el acuerdo del Coreper, el comité que congrega a embajadores de los Estados miembros, el pasado 21 de octubre.

Las empresas podrían invocar el interés legítimo como base legal para ese tratamiento. La propuesta todavía no es ley: es la postura con la que el Consejo negociará con el Parlamento Europeo el Digital Omnibus, un paquete de simplificación de normas digitales.

Qué contiene el documento de 179 páginas

El texto expone modificaciones sobre el RGPD, la directiva ePrivacy que regula las cookies, el Reglamento de Datos y la directiva de ciberseguridad NIS2. Uno de sus objetivos, según el documento y la lectura que de él hace IAPP, es agilizar los entrenamientos de modelos de inteligencia artificial permitiendo que las empresas usen datos personales apoyándose en un interés legítimo.

El argumento que acompaña la propuesta es que la IA se ha convertido en un asunto no solo tecnológico, sino geopolítico, en el que la UE no puede quedarse atrás. El ministro de Estado para Asuntos Europeos y Defensa de Irlanda, Thomas Byrne, lo resumió así:

"Estas medidas reducirán los costes de cumplimiento e impulsarán la competitividad y la innovación"

Qué cambia respecto a la norma actual

El RGPD no menciona expresamente la IA, pero ya ofrece bases legales para tratar datos personales sin consentimiento, entre ellas el interés legítimo. Una empresa puede usar datos si tiene un interés justificado y no pesan más los derechos de la persona, lo que obliga a ponderar caso por caso. Esa ponderación es el punto de fricción entre las empresas de IA y los defensores de la privacidad.

Conviene aclarar que hoy el RGPD tampoco exige consentimiento cuando existe interés legítimo. La novedad es que esto se escribiría expresamente para la IA mediante un nuevo artículo 88 bis y que se recortan límites. En la página 145, el Consejo tacha salvaguardas que había añadido la Comisión: el derecho de oposición incondicional y la excepción expresa para menores y para leyes que exigen consentimiento.

El texto también incorpora una nueva excepción para el tratamiento incidental y residual de datos sensibles expuestos anteriormente durante el desarrollo y el funcionamiento técnico del sistema, siempre que la empresa no pretendiera recogerlos. En ese caso tendría que evitarlos, borrarlos en cuanto los detecte y protegerlos. La excepción no cubre los datos que el usuario entrega directamente, como lo que escribe en un chatbot, ni el uso intencionado de voz o imagen.

Investigación, datos seudonimizados y derechos de los usuarios

Un dato personal es la información sobre una persona identificada o identificable. El RGPD prohíbe tratar datos sensibles —salud, origen étnico o similares— salvo excepciones. Cualquier persona puede oponerse al tratamiento basado en el interés legítimo, y la reutilización de datos para investigación científica ya se considera compatible con la finalidad original, con medidas para que esos derechos no se vulneren.

El Consejo quiere facilitar además la investigación científica, incluida la de empresas privadas con fines comerciales, siempre que sea autónoma e independiente y que la empresa justifique en cada caso que lo es y que sus resultados son verificables y transparentes. También propone que los datos seudonimizados —aquellos en los que se ha separado la identidad de la persona— dejen de ser datos personales para el tercero que los reciba si no puede identificar a nadie. Si puede, siguen sujetos al RGPD.

Qué viene ahora

Algunos mensajes en redes sociales han presentado esto como una modificación ya aprobada del RGPD o un volantazo europeo, pero se trata de una propuesta y queda negociación por delante. El Consejo, la Comisión Europea y el Parlamento Europeo —que aún no tiene postura— tendrán que definir cualquiera de estos cambios, y el tiempo no sobra: el Consejo pidió cerrar todos los ómnibus pendientes antes de que acabe este año.

La reforma planteada no debe confundirse con el AI Act, la ley europea de IA, que avanza por otras vías. Por ahora, el texto del Consejo es una posición de negociación y no una norma vigente.