La inteligencia artificial (IA) transforma de forma continua la manera en que las organizaciones recopilan y utilizan datos personales, lo que plantea nuevos retos para la protección de la información y para la aplicación de las normas que buscan garantizar los derechos de sus titulares.
Frente a este escenario, en septiembre de 2026, la Red Iberoamericana de Protección de Datos (RIPD) aprobó los Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial, un documento que propone criterios para orientar la aplicación de las normas de protección de datos cuando se utilizan estas tecnologías.
Aunque estos estándares no son obligatorios por el solo hecho de haber sido aprobados por la RIPD, conocerlos permite identificar retos para las organizaciones que utilizan o desarrollan sistemas de IA y anticiparse a las discusiones regulatorias sobre esta materia.
La protección de datos durante todo el ciclo de vida de la IA
Los estándares plantean que la protección de datos personales debe considerarse durante las diferentes etapas del desarrollo y funcionamiento de un sistema de IA; lo que implica revisar el tratamiento de los datos desde su recopilación y utilización para entrenar modelos, hasta su ajuste, evaluación, mejora y despliegue, considerando en cada fase aspectos como la licitud del tratamiento, la minimización y la calidad de los datos.
En la práctica, esto invita a las organizaciones a preguntarse no solo qué datos utiliza una herramienta de IA, sino también de dónde provienen, para qué se utilizan y si su tratamiento resulta necesario en cada etapa.
¿Los datos públicos pueden utilizarse libremente para entrenar modelos?
Que un dato se encuentre disponible públicamente no significa que pueda recopilarse y utilizarse sin restricciones para entrenar sistemas de IA, por lo cual los estándares señalan que la utilización de estos datos debe contar con una base jurídica adecuada y respetar las finalidades del tratamiento; cuando se pretende utilizarlos para un propósito diferente al inicialmente autorizado, es necesario analizar la compatibilidad de ese uso y los derechos e intereses de las personas involucradas, aspecto especialmente relevante frente a prácticas como la recopilación masiva de información disponible en internet (scraping), pues la accesibilidad de los datos no elimina la necesidad de evaluar si su utilización es legítima.
También se aborda el uso de información entregada a proveedores de IA para prestar un servicio; al respecto, según los estándares, cuando estos actúan como encargados del tratamiento, no pueden utilizar los datos personales de sus clientes para entrenar o mejorar sus propios modelos, salvo que exista una habilitación legal y una base jurídica independiente que lo permita.
Por eso, antes de incorporar una herramienta de IA a los procesos de una organización, se debe revisar las condiciones bajo las cuales el proveedor utiliza los datos y si contempla usos adicionales a los necesarios para prestar el servicio contratado.
Transparencia y decisiones automatizadas
Otro aspecto relevante es la información que debe proporcionarse a las personas sobre el funcionamiento de los sistemas de IA; indicar únicamente que una decisión fue tomada mediante un algoritmo puede resultar insuficiente para que el titular comprenda cómo se utilizaron sus datos.
Los estándares plantean que la información debe permitir entender, según corresponda, la lógica del sistema, los datos utilizados, los factores que influyen en sus resultados, sus limitaciones conocidas y las medidas adoptadas frente a posibles sesgos; además, cuando se requiere intervención humana en una decisión automatizada, esta no debería limitarse a una revisión formal; debe ser real y efectiva, realizada por una persona capacitada que tenga la posibilidad de confirmar, modificar o anular el resultado del sistema; lo que invita a las organizaciones a revisar si sus procesos de decisión permiten una intervención humana significativa, especialmente cuando los resultados pueden afectar los derechos o intereses de las personas.
Inferencias sensibles y protección de personas vulnerables
Los sistemas de IA pueden inferir información sensible a partir de datos que, considerados individualmente, no tienen esa naturaleza; por ejemplo, determinadas variables podrían utilizarse para inferir aspectos relacionados con la salud física o mental, la ideología o la orientación sexual de una persona; en consecuencia, se destacan los riesgos asociados al tratamiento de neurodatos y a las inferencias sobre estados cognitivos o emocionales, por lo cual resulta necesario evaluar la proporcionalidad de estos usos.
De esta manera, los estándares enfatizan en estos tratamientos y en la necesidad de aplicar las garantías correspondientes cuando las inferencias permiten generar datos sensibles; a su vez, plantean medidas reforzadas para la protección de niños, niñas, adolescentes y otras personas en situación de vulnerabilidad, junto con restricciones frente a sistemas de puntuación social discriminatoria.
¿Qué ocurre con los derechos de los titulares?
Los estándares también abordan el ejercicio de los derechos de acceso, rectificación, supresión y oposición frente a datos personales utilizados o generados por sistemas de IA, incluidas las inferencias derivadas del tratamiento.
Uno de los retos se presenta cuando una persona solicita corregir o suprimir información incorporada a un modelo previamente entrenado; si la modificación directa no resulta técnicamente viable, los estándares plantean que el responsable documente esa imposibilidad, informe al titular y adopte medidas de mitigación, como excluir los datos de futuros conjuntos de entrenamiento o de otros componentes donde se almacenen.
Esto pone de presente de que atender los derechos de los titulares en entornos de IA puede requerir procedimientos que consideren las características técnicas de los sistemas, sin que esto implique dejar de atender las solicitudes recibidas.
Privacidad desde el diseño y gestión de riesgos
Finalmente, los estándares destacan la importancia de incorporar la protección de datos desde las primeras etapas del desarrollo y configuración de los sistemas, junto con mecanismos de gobernanza y gestión de riesgos, encontrándose entre las medidas planteadas las evaluaciones de impacto en la protección de datos para tratamientos de alto riesgo y la adopción de controles de ciberseguridad que tengan en cuenta amenazas propias de la IA, como la manipulación de datos de entrenamiento, la extracción de información y las fugas de datos a través de determinados componentes del sistema.
Dichas propuestas refuerzan la importancia de evaluar los riesgos antes de poner en funcionamiento una herramienta, en lugar de limitar la revisión a los incidentes que puedan presentarse después de su implementación.
Un documento que vale la pena tener en el radar
El documento de «Estándares iberoamericanos sobre el so de datos personales en sistemas de inteligencia artificial» no sustituye las normas nacionales ni crea nuevas obligaciones para todas las organizaciones; sin embargo, si ofrece criterios que pueden servir de referencia para analizar los retos que plantea el tratamiento de datos personales mediante estas tecnologías.
En un contexto de creciente discusión sobre la necesidad de regulación de la IA, familiarizarse con estos supuestos permite identificar aspectos que las organizaciones deberían empezar a considerar, desde el origen y la utilización de los datos hasta la transparencia, el ejercicio de derechos y la gestión de riesgos; no necesariamente asumiendo que estos estándares anticipan el contenido de futuras regulaciones,sino para conocerlos como una referencia que permita comprender hacia dónde se dirigen algunas de las discusiones sobre protección de datos e inteligencia artificial en Iberoamérica.
Evalúe el nivel de preparación de su organización frente a las mejores prácticas internacionales en materia de privacidad, gestión de riesgos y gobernanza de IA con el acompañamiento de nuestros especialistas en Data Protected.
Descubre más desde Blog de Cumplimiento, Privacidad y Seguridad
Suscríbete y recibe las últimas entradas en tu correo electrónico.
