La Red Iberoamericana de Protección de Datos aprueba unos Estándares internacionales pioneros sobre inteligencia artificial y protección de datos personales
- La Red Iberoamericana de Protección de Datos (RIPD) ha aprobado por unanimidad unos Estándares que precisan cómo aplicar la protección de datos cuando empresas y administraciones utilizan inteligencia artificial (IA)
- Se trata del primer instrumento internacional que aborda de forma integral y sistemática, mediante un cuerpo articulado de disposiciones, las especialidades de la aplicación de la protección de datos personales a los tratamientos con IA
- Los Estándares especifican cómo deben protegerse los datos personales que los sistemas de IA infieren o deducen sobre las personas y establecen que el hecho de que los datos estén disponibles públicamente no autoriza, por sí solo, su utilización para entrenar sistemas de IA
- El texto recoge que las personas deben poder saber si sus datos se han usado en un sistema de IA y, en caso de decisiones automatizadas, impugnar sus conclusiones, exigir intervención humana real y ejercer los derechos correspondientes
- El documento incluye pautas específicas para la IA generativa y agéntica, la biometría, el reconocimiento de emociones y los neurodatos
(12 de noviembre de 2026). La Red Iberoamericana de Protección de Datos (RIPD), foro en el que la Agencia Española de Protección de Datos (AEPD) ostenta la secretaría permanente, ha aprobado por unanimidad los Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial. Este documento, de ámbito internacional y formato normativo, es pionero a escala global y favorece una innovación tecnológica compatible con la protección de los derechos de más de 600 millones de personas.
Los Estándares parten de que la protección de datos y la innovación tecnológica son objetivos compatibles. Por ello, evitan reproducir obligaciones generales ya existentes, distinguen los tratamientos según sus riesgos y favorecen medidas proporcionadas. A diferencia de las declaraciones generales de principios o de las guías dedicadas a cuestiones concretas, los nuevos Estándares ofrecen un marco especializado y transversal, dirigido a autoridades, legisladores, empresas y administraciones. No crean un régimen jurídico paralelo ni nuevas obligaciones generales, sino que desarrollan las particularidades que plantea la aplicación de la normativa de protección de datos a la inteligencia artificial, con un enfoque basado en el riesgo, la proporcionalidad y la neutralidad tecnológica.
La IA permite deducir rasgos de las personas, predecir su comportamiento y tomar decisiones automáticas que pueden afectar a su vida, por ejemplo, cuando solicitan un crédito, se postulan para un empleo o acceden a un servicio. Dichas capacidades no alteran la vigencia de los principios de protección de datos, pero sí exigen detallar cómo deben aplicarse.
Una de las principales cuestiones abordadas por los Estándares es la protección de los datos personales inferidos por sistemas de IA. Las inferencias, predicciones y perfiles pueden constituir datos personales cuando se refieren a personas identificadas o identificables, y su utilización debe tener en cuenta el grado de incertidumbre asociado, sin atribuirles una certeza superior a la justificada. Además, cuando un sistema deduce aspectos de salud, ideología u orientación sexual a partir de datos aparentemente neutros, se aplica la protección reforzada de los datos sensibles.
El documento también fija límites al uso de la información disponible en internet, ya que el hecho de que un dato personal sea accesible al público no basta, por sí solo, para utilizarlo en el entrenamiento de sistemas de IA. Los Estándares especifican que se requiere una base jurídica adecuada y atender a lo que las personas podían esperar razonablemente cuando publicaron dicho dato.
En materia de transparencia, la Red establece que la mera indicación de que se utiliza IA no cumple necesariamente con el deber de informar. Las organizaciones deben explicar en lenguaje comprensible para qué emplean el sistema, qué papel desempeña y qué consecuencias puede tener, sin que el secreto empresarial justifique eludir ese derecho.
El texto refuerza igualmente los derechos frente a los modelos ya entrenados. Las personas deben tener la opción de saber si sus datos se han utilizado en un sistema de IA y, en caso de decisiones automatizadas, de impugnar sus conclusiones, exigir una intervención humana real y ejercer los derechos que les correspondan. Además, si quien revisa una decisión se limita a refrendar lo que propone la IA, no existe intervención humana efectiva a estos efectos.
Adicionalmente, el documento recoge que cuando un modelo no permita suprimir plenamente los datos personales, la organización debe justificarlo, informar a la persona y adoptar medidas como excluir dichos datos de futuros entrenamientos. Además, los Estándares declaran incompatibles con la protección de datos los sistemas de IA destinados a manipular de forma engañosa, explotar la vulnerabilidad de las personas o puntuarlas socialmente de manera discriminatoria.
Por otra parte, los Estándares determinan las responsabilidades de los distintos actores que intervienen en el desarrollo y utilización de sistemas de IA. La utilización de datos personales de clientes por un proveedor para entrenar o mejorar sus propios modelos requiere una habilitación jurídica adecuada y el cumplimiento de las obligaciones correspondientes. Asimismo, quien utiliza sistemas de IA de terceros sigue siendo responsable de los tratamientos cuyos fines y medios esenciales determina, aunque no haya desarrollado ni entrenado el modelo.
El documento incluye, además, pautas específicas para la IA generativa y agéntica, la biometría, el reconocimiento de emociones y los neurodatos, y destaca la importancia de la protección de datos desde el diseño, la gobernanza, la calidad de los datos, la supervisión humana y la evaluación y gestión de los riesgos, con medidas adaptadas a las características de cada tratamiento.
Apoyo europeo
Los Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial son el resultado final de un proceso de elaboración, consulta y deliberación técnica en el que participaron las autoridades miembros de la RIPD tras una versión inicial del consultor experto y doctor, Marcos Sánchez Acevedo. El documento ha sido financiado por la Unión Europea, en colaboración con la Fundación para la Internacionalización de las Administraciones Públicas (FIAP) en el marco de la Alianza Digital UE-ALC.
Estos Estándares complementan a los Estándares de Protección de Datos para los Estados Iberoamericanos, que ya incorporaban avances sobre inteligencia artificial, decisiones automatizadas, prevención de sesgos y gobernanza algorítmica.