Le cadre RGPD IA n’a pas encore changé. Le projet d’article 88 bis préciserait que certaines utilisations de données personnelles pour développer ou exploiter une intelligence artificielle peuvent reposer sur l’intérêt légitime, sans consentement systématique. Mais ce fondement resterait soumis à un test strict, au droit d’opposition et à toutes les autres obligations du Règlement général sur la protection des données.
¿El RGPD autoriza ya el interés legítimo para la IA?
El interés legítimo ya es una de las seis bases jurídicas previstas por el artículo 6 del RGPD para tratar datos personales. En 2026, una empresa puede utilizarlo para determinados proyectos de inteligencia artificial, siempre que demuestre un interés preciso, la necesidad del tratamiento y un equilibrio aceptable con los derechos de las personas.
Una base jurídica es la justificación legal que permite a una organización recopilar o utilizar datos personales. El consentimiento no es más que una base entre otras: el RGPD también contempla el contrato, la obligación legal, la protección de intereses vitales, la misión de interés público y el interés legítimo.
Por tanto, el interés legítimo no significa «interés comercial suficiente». Según el Dictamen 28/2024 del Comité Europeo de Protección de Datos, dedicado a los modelos de IA, el interés perseguido debe ser lícito, estar claramente formulado y ser real. A continuación, el tratamiento debe ser necesario y compararse con las libertades, las expectativas razonables y las posibles consecuencias para las personas.
Una herramienta interna que clasifica las solicitudes de los clientes no presenta los mismos riesgos que un sistema que recopila perfiles públicos para evaluar automáticamente a candidatos. En el segundo caso, la recopilación masiva, la elaboración de perfiles (análisis destinado a prever un comportamiento) y el posible efecto sobre el acceso al empleo hacen que la justificación sea mucho más difícil.
¿Qué cambiaría el artículo 88 bis para el RGPD y la IA?
El proyecto de artículo 88 bis confirmaría explícitamente que un tratamiento de datos personales destinado al desarrollo o la explotación de un sistema o modelo de inteligencia artificial puede basarse en el interés legítimo. Esta aclaración reduciría una incertidumbre jurídica, pero no crearía una nueva base legal ni una autorización general para entrenar una IA con todos los datos disponibles.
El texto figura en el mandato de negociación ST 14756/26 adoptado por los representantes de los Estados miembros el 21 de octubre de 2026, en el marco del Digital Omnibus. El considerando 33a del mandato del Consejo precisa que el mero hecho de desarrollar o explotar una inteligencia artificial no constituye, por sí mismo, un interés legítimo.
El matiz cambia muchas cosas. Una empresa no podría inscribir «desarrollo de una IA» en su registro y dar el asunto por cerrado. Tendría que explicar el objetivo concreto: detectar un fraude, mejorar una función de búsqueda, asistir a un servicio de atención al cliente o proteger un software, por ejemplo.
El proyecto tampoco eliminaría las demás bases jurídicas. La ejecución de un contrato puede ser adecuada para una función solicitada por el usuario; una obligación legal puede justificar determinados controles; el consentimiento seguiría siendo necesario cuando otro texto europeo o nacional lo imponga. Para un uso de ChatGPT integrado en el navegador en la empresa, la primera cuestión sigue siendo la naturaleza de los datos transmitidos y la finalidad perseguida.
¿El texto europeo ya es aplicable a las empresas?
El artículo 88 bis no es aplicable a 27 de octubre de 2026. El Consejo de la Unión Europea ha fijado una posición de negociación, no una ley definitiva. El Parlamento Europeo debe adoptar su propia posición y, posteriormente, ambas instituciones deben acordar un texto común antes de su adopción formal, publicación y entrada en aplicación.
El Consejo de la Unión Europea indicaba todavía el 27 de octubre de 2026 que las negociaciones estaban a la espera de la posición del Parlamento. Su resultado puede mantener, modificar o eliminar determinadas disposiciones. Además, una fecha de acuerdo político no sería necesariamente la fecha de aplicación: el texto final podría prever un plazo.
Le piège, pour un décideur non juriste, consiste à confondre un mandat du Conseil avec une réforme acquise. Une présentation commerciale affirmant que « le consentement n’est plus nécessaire pour l’IA » serait fausse en 2026. Elle resterait trop générale même si l’article 88 bis était adopté dans sa rédaction actuelle.
Desde la perspectiva de una agencia, lo adecuado es encuadrar un proyecto conforme al Derecho aplicable el día de su lanzamiento y prever después un seguimiento normativo y una cláusula de revisión. Esperar una simplificación hipotética puede bloquear un producto durante meses; anticiparse como si ya estuviera aprobada expone al riesgo contrario.
¿Cómo justificar el interés legítimo de un proyecto de IA?
Justificar el interés legítimo de un proyecto de inteligencia artificial exige un análisis escrito en tres fases: definir el interés perseguido, demostrar que el tratamiento es necesario y ponderar este interés con los derechos de las personas. El proyecto de artículo 88 bis mantendría este método, así como la minimización, la transparencia, la seguridad y la responsabilidad del responsable del tratamiento.
La necesidad exige buscar una opción menos intrusiva. Si un modelo puede funcionar con datos anonimizados, sintéticos o limitados a unos pocos campos, resultará difícil defender la recopilación del historial completo de los usuarios. La anonimización debe impedir realmente la reidentificación; ocultar un nombre o sustituir un identificador suele constituir una simple seudonimización.
Un procedimiento utilizable por la dirección, el delegado de protección de datos y el equipo técnico suele seguir estos pasos:
- describir una finalidad precisa y el interés lícito de la empresa o de un tercero;
- inventariar los datos, sus fuentes, los destinatarios y su plazo de conservación;
- comprobar si otra base jurídica o un método menos intrusivo resulta más adecuado;
- evaluar los efectos sobre las personas, sus expectativas razonables y las poblaciones vulnerables;
- prever garantías técnicas y organizativas, información comprensible y un mecanismo de oposición efectivo;
- conservar la decisión y revisarla cuando cambien el modelo, los datos o la finalidad.
En los proyectos que llevamos a cabo, a menudo observamos el mismo punto ciego: el equipo documenta la herramienta adquirida, pero no los datos que realmente introducen los empleados. Un asistente autorizado para textos genéricos puede volverse arriesgado en cuanto se copia en él un contrato, un expediente médico o un extracto del archivo de clientes. Una VPN utilizada con ChatGPT cifra una parte del tráfico, pero no resuelve ni la base jurídica ni la reutilización de los datos por parte del proveedor.
¿Qué proyectos de IA presentan más riesgos para el RGPD?
Los proyectos de IA más difíciles de fundamentar en el interés legítimo utilizan datos sensibles, información relativa a menores, recopilación masiva en la web o elaboración de perfiles que produce efectos importantes. El riesgo también aumenta cuando la reutilización sorprende a las personas, carece de transparencia o no permite una oposición efectiva.
| Uso de la IA | Factor determinante | Valoración del interés legítimo | Medida prioritaria |
|---|---|---|---|
| Búsqueda en una base de datos documental interna | Documentos profesionales limitados y acceso controlado | Posible según la finalidad y los datos | Filtrar los documentos y registrar los accesos |
| Asistente de atención al cliente | Conversaciones que contienen datos personales | Posible tras analizar la necesidad y la ponderación | Reducir los datos enviados al modelo |
| Prospección B2B automatizada | Elaboración de perfiles, fuentes de terceros y expectativas de los contactos | Justificación más exigente | Informar claramente y permitir la oposición |
| Contratación o evaluación de candidatos | Efecto importante sobre las personas | Riesgo elevado, es necesario un análisis exhaustivo | Control humano y evaluación de impacto |
| Entrenamiento mediante la recopilación masiva de la web | Volumen, procedencia y reutilización inesperada | Difícil de defender sin garantías sólidas | Trazar las fuentes y excluir los datos injustificados |
| Tratamiento de datos de salud | Categoría especial en virtud del artículo 9 | El artículo 6 no basta por sí solo | Identificar también una excepción válida del artículo 9 |
El Digital Omnibus aborda por separado los denominados datos especiales, como los datos de salud, las opiniones políticas o los datos biométricos. El mandato del Consejo de 2026 contempla una excepción estrictamente delimitada cuando dichos datos aparezcan de forma incidental y residual durante el entrenamiento, las pruebas, la validación o la explotación técnica.
Esta excepción no cubriría los datos sensibles deliberadamente necesarios para el objetivo del sistema. Una IA médica entrenada deliberadamente con historiales médicos seguiría estando sujeta a una excepción distinta del artículo 9 del RGPD. Sinceramente, intentar encajar una necesidad empresarial central en la categoría «incidental» sería una estrategia jurídica frágil.
La seguridad sigue siendo independiente de la elección de la base jurídica. El mandato del Consejo exige medidas técnicas y organizativas adecuadas, con independencia del fundamento elegido. Por tanto, la gestión de accesos, el cifrado, la conservación limitada y la supervisión de los proveedores deben estar regulados, como en la protección de los datos confiados a un encargado del tratamiento o el protección de las claves API de inteligencia artificial.
¿Qué consecuencias tiene para el presupuesto, los plazos y los contratos?
El interés legítimo no elimina el coste de conformidad de un proyecto de inteligencia artificial. Sobre todo, desplaza el esfuerzo hacia la documentación, la arquitectura de datos, la información a las personas y la gestión de las oposiciones. El presupuesto y el calendario también dependen del volumen de datos, de su sensibilidad, de los proveedores implicados y del impacto de las decisiones automatizadas.
Un prototipo sin datos personales y una puesta en producción conectada al CRM no son el mismo proyecto. El segundo exige, como mínimo, un mapa de los flujos, la verificación del contrato de encargo del tratamiento, los plazos de conservación, las transferencias fuera del Espacio Económico Europeo y los parámetros del proveedor. También puede ser necesaria una evaluación de impacto relativa a la protección de datos cuando el tratamiento presente un riesgo elevado.
También hay que prever el derecho de oposición del artículo 21 del RGPD. El mandato del Consejo de 2026 mantendría este régimen ordinario en lugar del derecho de oposición específico e incondicional contemplado en una versión anterior. No obstante, la empresa debe recibir la solicitud, detener el tratamiento cuando las condiciones lo exijan y ser capaz de localizar los datos afectados.
La decisión adecuada rara vez consiste en elegir una base jurídica para acelerar el lanzamiento. Con un presupuesto limitado, es preferible reducir las fuentes de datos y limitar la primera versión del producto antes que financiar posteriormente una remodelación del almacenamiento, la información y los contratos. La elección de una infraestructura, incluido un servidor GPU destinado a la IA, debe seguir a este mapa y no precederlo.
Delimitar el tratamiento, las responsabilidades y los flujos de datos antes del desarrollo evita la mayoría de las sorpresas desagradables. Una perspectiva externa puede ayudar sobre todo a relacionar las exigencias jurídicas con las decisiones funcionales, técnicas y contractuales sin convertir la conformidad en un freno permanente.
Preguntas frecuentes sobre el RGPD, la IA y el interés legítimo
¿Es necesario solicitar consentimiento para entrenar una inteligencia artificial?
El consentimiento no es siempre obligatorio para entrenar una inteligencia artificial. En 2026, el responsable del tratamiento debe elegir una base jurídica adecuada para la finalidad y respetar, cuando proceda, las normas adicionales aplicables a los datos sensibles.
¿Puede una empresa utilizar los datos de sus clientes en ChatGPT?
El uso de datos de clientes en ChatGPT depende de la finalidad, la base jurídica, el contrato con el proveedor, las transferencias de datos y los ajustes de conservación. Una empresa no debería autorizar esta práctica sin cartografiar las informaciones enviadas y limitar los datos a lo estrictamente necesario.
¿Suprime el artículo 88 bis el derecho de oposición?
El proyecto del artículo 88 bis no suprime el derecho de oposición. El mandato del Consejo de 2026 mantiene el régimen del artículo 21 del RGPD, que exige analizar la solicitud y puede obligar al responsable a cesar el tratamiento.
¿Puede una IA utilizar libremente un dato público de internet?
Un dato personal accesible públicamente sigue estando protegido por el RGPD. Su recopilación para una inteligencia artificial exige una base jurídica, una finalidad determinada, una información adecuada y un examen de las expectativas razonables de la persona.
¿Es la Ley Ómnibus Digital una ley europea definitiva?
El Digital Omnibus no es una ley definitiva a 27 de octubre de 2026. El mandato adoptado por el Consejo aún debe negociarse con el Parlamento Europeo antes de que pueda elaborarse un texto común, aprobarse formalmente y publicarse.