El Consejo de la Unión Europea dio un paso hacia una reforma del Reglamento General de Protección de Datos que podría facilitar el entrenamiento y la operación de modelos de inteligencia artificial con datos personales sin pedir consentimiento individual, según una propuesta de 179 páginas.
El cambio que plantea Bruselas
La discusión llegó después de que el Coreper, el comité que reúne a los embajadores de los Estados miembros, acordara el 21 de octubre la postura con la que el Consejo negociará el llamado Digital Omnibus. Ese paquete reúne cambios sobre protección de datos, reglas de cookies, el Reglamento de Datos y la directiva de ciberseguridad NIS2.
El objetivo, según el propio documento del Consejo y el análisis citado por IAPP, es agilizar el desarrollo de sistemas de IA permitiendo que las empresas usen datos personales amparadas en el llamado interés legítimo. Esa figura ya existe en el RGPD, pero el texto la escribe de forma expresa para la IA con un nuevo artículo 88 bis.
La novedad más sensible es que el Consejo recorta salvaguardas que la Comisión había incluido en su borrador: elimina el derecho de oposición incondicional y también la excepción expresa para menores y para los casos en que otra ley exija consentimiento.
Thomas Byrne, ministro de Estado para Asuntos Europeos y Defensa de Irlanda, defendió la medida con esta frase: «Estas medidas reducirán los costes de cumplimiento e impulsarán la competitividad y la innovación».
Qué cambia y qué sigue intacto
El RGPD ya permite tratar datos sin consentimiento cuando existe un interés legítimo que no pese menos que los derechos de la persona. La diferencia, ahora, es que esa base legal quedaría redactada de forma específica para los modelos de IA. El texto también abre la puerta a que las empresas aleguen ese interés propio o el de un tercero para desarrollar y operar sistemas.
Además, el Consejo propone una excepción para el tratamiento incidental y residual de datos sensibles que aparezcan durante el desarrollo o el funcionamiento técnico del sistema, siempre que la empresa no los haya buscado de forma intencional. Si esos datos aparecen por accidente, la compañía tendría que evitarlos, borrarlos en cuanto los detecte y protegerlos. Esa excepción no cubre lo que el usuario entregue de forma directa, como texto introducido en un chatbot, ni el uso intencional de voz o imagen.
La propuesta también permite facilitar la investigación científica, incluso la que realizan empresas privadas con fines comerciales, siempre que sea autónoma e independiente y que sus resultados sean verificables y transparentes. Y plantea que los datos seudonimizados dejen de considerarse datos personales para el tercero que los reciba si no puede identificar a nadie; si puede identificar a una persona, seguirán sujetos al RGPD.
Una negociación que todavía no termina
La reforma todavía no es ley. Consejo, Comisión Europea y Parlamento Europeo deberán negociar el texto definitivo, y el Parlamento aún no fijó su postura. El Consejo, además, pidió cerrar los expedientes ómnibus pendientes antes de que termine el año, según el enlace que documenta esa solicitud.
Por ahora, la propuesta no debe confundirse con el AI Act, la ley europea de inteligencia artificial, porque se trata de una vía normativa distinta. El debate, sin embargo, ya reabre una de las tensiones centrales de la regulación digital europea: hasta dónde se puede flexibilizar la protección de datos para acelerar la carrera por la IA.
