Consejo UE: entrenar IA con datos personales sin permiso

Un documento de 179 páginas del Consejo de la UE abre la puerta a que las empresas entrenen modelos de IA con datos personales sin pedir consentimiento. Si construyes con IA en Europa —o vendes a Europa— esto redefine qué puedes hacer con los datos que ya acumulas, y sobre todo qué tendrás que poder demostrar.

¿Qué propone el Consejo de la UE para entrenar IA con datos personales?

El 21 de octubre, el comité Coreper —los embajadores de los Estados miembros ante la UE— acordó la postura con la que el Consejo negociará el Digital Omnibus, el paquete de simplificación de normas digitales. El texto toca el RGPD, la directiva ePrivacy que regula las cookies, el Reglamento de Datos y la directiva de ciberseguridad NIS2.

El punto que interesa a cualquier empresa que construya con IA: el documento permitiría desarrollar y operar modelos con datos personales invocando el interés legítimo, sin pedir consentimiento. La novedad no es que esa figura exista —ya está en el RGPD— sino que se escribiría expresamente para la IA en un nuevo artículo 88 bis.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Ojo con el titular fácil: esto no es ley. Es una posición de negociación del Consejo. El Parlamento Europeo todavía no tiene postura y falta el trílogo entre las tres instituciones.

¿Qué cambia el interés legítimo para las empresas de IA?

El RGPD contempla varias bases legales para tratar datos: consentimiento, ejecución de un contrato, obligación legal e interés legítimo. Esta última permite usar datos sin pedir permiso si la empresa demuestra un interés justificado, que el tratamiento es necesario para lograrlo y que ese interés no pesa más que los derechos de la persona. Es el llamado test de las tres fases.

Hoy ese análisis se hace caso por caso, y ahí está la fricción: para un equipo legal, cada dataset es una ponderación nueva. Lo que busca el Consejo es dar seguridad jurídica explícita al entrenamiento y funcionamiento de modelos.

Conviene precisar algo que suele confundirse: el RGPD tampoco exige consentimiento hoy cuando se usa interés legítimo. Lo que cambia es que quedaría positivado para IA y, sobre todo, que se recortan límites.

Según el análisis del abogado Gerard Espuga publicado en El Confidencial, la propuesta original de la Comisión ya recogía lo que el Comité Europeo de Protección de Datos (CEPD) venía señalando en su opinión sobre modelos de IA: si se supera el test de las tres fases, el desarrollador puede apoyarse en esa base legal.

¿Qué salvaguardas se recortan y quién lo critica?

Aquí está el núcleo del conflicto. En la página 145 del documento, el Consejo tacha salvaguardas que había añadido la Comisión: el derecho de oposición incondicional y la excepción expresa para menores y para leyes que exigen consentimiento.

También se añade una excepción para el tratamiento incidental y residual de datos sensibles que se cuelen durante el desarrollo y funcionamiento técnico del sistema, siempre que la empresa no pretendiera recogerlos. Si aparecen, tendría que evitarlos, borrarlos en cuanto los detecte y protegerlos. No cubre lo que el usuario escribe directamente en un chatbot ni el uso intencionado de voz o imagen.

Y se propone que los datos seudonimizados dejen de ser datos personales para el tercero que los recibe si no puede identificar a nadie. Si puede, siguen sujetos al RGPD.

Las críticas no se hicieron esperar. noyb, la organización de Max Schrems, habla de «expropiación digital» y sostiene que facilitaría reutilizar datos acumulados durante años por plataformas como Google, Meta, Microsoft u OpenAI, según recoge 20minutos. En España, CECU advierte, en palabras de su experta en derechos digitales Anabel Arias, que «la protección de los datos personales no puede convertirse en el precio que paguemos por el desarrollo de la inteligencia artificial».

El propio CEPD y el Supervisor Europeo de Protección de Datos cuestionan la necesidad del cambio: recuerdan que el interés legítimo ya puede usarse para desarrollar y desplegar IA. Su presidenta, Anu Talus, lo resumió así: la simplificación es necesaria para la competitividad europea, «pero no a costa de los derechos fundamentales».

¿Qué dicen las directrices del CEPD sobre scraping e IA?

Mientras el Consejo negocia, el regulador ya movió ficha. El 8 de julio de 2026 el CEPD adoptó las Directrices 03/2026 sobre web scraping en el contexto de la IA generativa, que establecen que el RGPD se aplica en pleno cuando el scraping toca datos personales de residentes en la UE, sin excepción por la finalidad de entrenamiento, según TechTimes.

La traducción práctica: quien se apoye en interés legítimo para raspar datos debe completar el test de ponderación caso por caso antes de cada despliegue, aplicar minimización de datos en la fase de recolección —no después— y documentarlo. La autoridad italiana ya sancionó a OpenAI por documentación insuficiente de su interés legítimo, y la irlandesa frenó el entrenamiento de Grok con datos europeos, según el mismo medio.

El periodo de consulta pública de esas directrices cierra el 30 de octubre de 2026. Y el 2 de agosto de 2026 entraron en vigor las obligaciones del AI Act para modelos de propósito general, con multas de hasta el 3% de la facturación global anual o 15 millones de euros, la que resulte mayor.

¿Qué significa esto para tu startup?

Cuatro movimientos concretos.

No reescribas tu política de datos todavía. Esto es una propuesta del Consejo, no una norma vigente. Si tu equipo legal está redactando un aviso de privacidad apoyado en el nuevo artículo 88 bis, está trabajando sobre arena.
Documenta el test de tres fases por dataset. El interés legítimo ya es una base legal válida hoy y el CEPD ya publicó cómo usarlo. Lo que te protege no es la reforma futura: es tener por escrito el interés, la necesidad y la ponderación de cada conjunto de datos. La sanción italiana a OpenAI no fue por usar interés legítimo, fue por no poder demostrarlo.
Clasifica tu producto ante el AI Act. Según el análisis de Orrick recogido por el Berkeley Center for Law and Technology, no hay excepciones claras para pymes en el AI Act: las obligaciones aplican sin importar el tamaño de la empresa. Si tu producto toca contratación, crédito o decisiones automatizadas, haz esa clasificación antes de escalar.
Revisa si tu modelo regurgita datos. Si puede reproducir fragmentos de datos personales de entrenamiento, la vía de la anonimización no te salva. El CEPD exige tres criterios simultáneos —sin aislamiento de registros, sin enlace entre datasets y sin inferencia— y los modelos generativos rara vez cumplen el tercero.

¿Qué viene ahora en la negociación del Digital Omnibus?

El Consejo, la Comisión y el Parlamento tendrán que negociar. El Parlamento aún no fija postura y el Consejo Europeo pidió cerrar todos los ómnibus pendientes antes de que acabe el año, así que el calendario aprieta.

Dos aclaraciones para no confundir el debate. Una: esto no es el AI Act, que va por otra vía. Dos: el Consejo acordó mantener la definición actual de dato personal del RGPD, rechazando la enmienda que la Comisión había propuesto al artículo 4(1). El Supervisor Europeo de Protección de Datos, Wojciech Wiewiórowski, advirtió que esa enmienda «reduciría significativamente el concepto de dato personal», según IAPP.

Para un founder, la lectura es simple: la ventana regulatoria europea se está moviendo a favor de entrenar con más datos, pero la carga de la prueba sigue del lado de la empresa. Quien tenga la documentación lista, gana.