La inteligencia artificial generativa (IA), especialmente los grandes modelos de lenguaje (LLM) y las herramientas capaces de crear imágenes, audio o vídeos, está transformando la manera en que trabajamos, consumimos y nos comunicamos. Sin embargo, detrás de la fascinación tecnológica surge una pregunta cada vez más urgente: ¿qué pasa con los datos que alimentan a estos sistemas?
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) ofrecen un marco robusto para proteger la información personal de los ciudadanos en España y Europa. Pero ¿hasta qué punto están preparados para afrontar el desafío que plantea la IA generativa?
El problema de los datos de entrenamiento
Los modelos generativos no se nutren de pequeños conjuntos de datos. Se entrenan con volúmenes masivos de información extraída de internet: webs, foros, redes sociales, repositorios de código, imágenes y vídeos.
Entre esos datos inevitablemente aparecen datos personales:
- Nombres y apellidos.
- Comentarios en foros o redes.
- Fotografías identificables.
- Datos de contacto expuestos públicamente.
Aunque se argumenta que el uso es “con fines de entrenamiento” y no para identificar personas, el RGPD es claro: si los datos permiten identificar a una persona, aunque sea indirectamente, deben protegerse.
- El vacío legal de la IA generativa
El RGPD fue diseñado en 2016, cuando aún no existían sistemas como ChatGPT o Stable Diffusion. Aunque sus principios son universales (minimización, limitación de finalidad, licitud, transparencia), no previó los problemas actuales:
- ¿Puede una empresa alegar “interés legítimo” para entrenar un modelo con millones de datos personales obtenidos sin consentimiento?
- ¿Cómo ejercer el derecho de acceso, rectificación o supresión frente a un modelo que no sabe exactamente qué datos contiene?
- ¿Qué pasa cuando un modelo “alucina” y genera información falsa sobre una persona real?
Estas preguntas están en el centro del debate jurídico en la Unión Europea y España.
- AEPD y AESIA: guardianes de la nueva era
En España, dos instituciones empiezan a compartir protagonismo:
- La AEPD (Agencia Española de Protección de Datos), que sigue siendo la autoridad principal en materia de privacidad.
- La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), que desde agosto de 2025 puede sancionar el uso indebido de IA prohibida o de alto riesgo.
La coordinación entre ambas será esencial. El riesgo es que haya solapamientos o vacíos de supervisión, justo cuando más falta hacen normas claras.
- El derecho a no ser perfilado por algoritmos opacos
Uno de los grandes avances del RGPD es reconocer el derecho de cualquier ciudadano a no ser objeto de decisiones automatizadas sin intervención humana significativa. Sin embargo, con los modelos generativos surge un nuevo nivel:
- Perfiles invisibles creados a partir de huellas digitales.
- Predicciones sobre gustos, ideología, salud o comportamiento.
- Sesgos heredados de los datos de entrenamiento que reproducen estereotipos.
Aquí el reto no es solo legal, sino también ético y social.
- Hacia un RGPD 2.0 para la era de la IA
La Unión Europea ya ha aprobado el Reglamento de IA (AI Act), que complementa al RGPD. Sin embargo, lo que está en juego no es solo el cumplimiento, sino la confianza ciudadana en la tecnología.
Algunas propuestas que empiezan a sonar son:
- Obligar a documentar los conjuntos de datos de entrenamiento.
- Permitir a las personas excluirse (“opt-out”) de que sus datos sean usados.
- Crear mecanismos de auditoría independiente de modelos.
- Extender el derecho al olvido a los sistemas de IA.
- De la protección de datos a la protección de modelos
El futuro pasa por reconocer que proteger datos ya no es suficiente. Necesitamos proteger también cómo se diseñan, entrenan y despliegan los modelos de IA.
Esto implica un cambio de paradigma:
- No basta con anonimizar, hay que gobernar los modelos.
- No basta con auditar bases de datos, hay que auditar algoritmos.
- No basta con informar al usuario, hay que darle control real.
- Conclusión
La IA generativa nos ofrece un potencial extraordinario, pero también riesgos inéditos. El RGPD y la LOPDGDD fueron pioneros en su día; ahora toca actualizarlos o reinterpretarlos para un escenario donde los datos ya no están en ficheros, sino en los parámetros de un modelo que puede hablar, dibujar o inventar información.
La pregunta que abre este artículo sigue en pie: ¿quién vigila la privacidad en la era de la IA generativa?
La respuesta será colectiva: legisladores, autoridades, empresas, profesionales del derecho y, sobre todo, ciudadanos conscientes de que la protección de sus datos es también la protección de su futuro digital.
