Por Karine Boucher · Especialista en Riesgos Humanos de la IA · Creadora del Método SENSE
“Los datos estaban en internet”. “El modelo ya es anónimo”. “Tenemos un interés legítimo”. Si un proveedor te responde así, te recomiendo pedirle que explique qué quiere decir en tu caso y qué puede demostrar.
El Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, del Comité Europeo de Protección de Datos, ayuda a entender por qué esas afirmaciones necesitan una revisión. Fue adoptado el 17 de diciembre de 2024 y se refiere a modelos de IA y protección de datos en el marco del GDPR europeo.
Qué cuestiones aborda el dictamen
El EDPB examina la evaluación del anonimato de modelos, el posible uso del interés legítimo y las consecuencias de un tratamiento ilícito de datos durante el desarrollo para usos posteriores. No ofrece una autorización general para entrenar o desplegar modelos. El anonimato se evalúa caso por caso, y el interés legítimo exige analizar interés, necesidad y ponderación. Las consecuencias de un tratamiento previo ilícito dependen del escenario. Puedes revisar esas distinciones en el dictamen oficial.
Para mí, lo útil es que te obliga a salir de las respuestas genéricas. No necesitas convertirte en especialista para reconocer que “lo hace todo el mundo” no explica una decisión ni demuestra cómo se protege a las personas.
Ejemplo ficticio: un asistente con conversaciones anteriores
Imagina que quieres incorporar un asistente que responda preguntas de clientes usando conversaciones históricas. El proveedor dice que puede aprovecharlas para mejorar el sistema y que después “ya no serán datos personales”.
Antes de aceptar esa explicación, yo preguntaría qué transformación hará, qué información conservará y cómo ha evaluado la posibilidad de recuperar o relacionar datos con personas. No daría por hecho que cambiar el formato de la información elimina sus riesgos.
También revisaría qué esperan razonablemente quienes enviaron esas conversaciones. Pedir ayuda sobre un pedido no es lo mismo que conocer y comprender todos los posibles usos posteriores de ese intercambio. La decisión jurídica requiere una revisión específica; mi recomendación es no saltártela por una frase tranquilizadora.
Qué pediría por escrito
- Una descripción del uso: qué se hará con la información y para qué resultado concreto.
- Una explicación de las afirmaciones: qué significa “anónimo” o “necesario” en ese proceso, y qué evaluación las sostiene.
- Los límites: qué no se utilizará, qué acceso tendrá cada parte y qué preguntas siguen abiertas.
- Una persona responsable: quién puede responder con conocimiento del sistema, no solo repetir el material comercial.
Estas preguntas son mi propuesta para preparar una conversación con tu equipo de privacidad. No equivalen a aplicar todos los criterios del dictamen. Te conviene guardar las respuestas junto con la decisión que tomes, para poder revisarla si cambia el uso de la herramienta.
También te sugiero distinguir una prueba con información ficticia de una puesta en marcha con datos reales. Que la demostración funcione bien no resuelve cómo se tratarán las conversaciones de tus clientes. Si las respuestas del proveedor son incompletas, deja esa parte pendiente en lugar de rellenarla con suposiciones.
Las familias que relaciono con este documento
Seguridad, privacidad y dignidad: qué puede pasar con la información de una persona, aunque ya no aparezca como una fila reconocible. Decisiones, organizaciones y sociedad: quién justifica y revisa los usos de esa información. Esta clasificación pertenece a mi Taxonomía IAConSentido; no es la estructura oficial del EDPB.
Su alcance: una referencia europea, no una respuesta universal
Este dictamen es de 2024 y se sitúa en el GDPR. Para una decisión actual, comprueba criterios posteriores, legislación aplicable y las características de tu proyecto con una persona especializada. No lo presento como asesoría jurídica para cualquier país.
¿Que un dato sea público permite usarlo para cualquier modelo?
No conviene dar ese salto. La disponibilidad pública no resuelve por sí sola las condiciones del tratamiento.
¿El dictamen declara anónimos todos los modelos?
No. Insiste en una valoración caso por caso. Te recomiendo pedir la evaluación concreta en lugar de aceptar la etiqueta.
Te invito a seguir explorando recursos para comprender los riesgos humanos de la IA y decidir qué conviene revisar en tu situación.
Explorar la Biblioteca de Riesgos Humanos de la IA →Fuente consultada el 13 de noviembre de 2026. La inclusión del recurso no implica un aval de la entidad editora a IAConSentido.