El Consejo de la Unión Europea propone permitir que las empresas desarrollen y operen sistemas de inteligencia artificial con datos personales amparándose en el «interés legítimo», sin pedir permiso a cada persona. La propuesta todavía no es ley: el 21 de octubre, los embajadores de los Estados miembros acordaron la posición del Consejo para negociar el paquete Digital Omnibus con el Parlamento Europeo.
La reforma añadiría al Reglamento General de Protección de Datos (RGPD) un artículo específico para la IA, el 88 bis. El RGPD ya permite tratar datos sin consentimiento cuando existe un interés legítimo, pero exige valorar si los derechos de las personas pesan más. La novedad sería hacer explícito que esa base legal puede usarse para entrenar y operar modelos de IA, y reducir algunas salvaguardas previstas por la Comisión Europea.
Qué cambiaría para las personas
El texto del Consejo elimina la garantía de que las personas puedan oponerse incondicionalmente a ese tratamiento y también una excepción expresa para menores y para los casos en que otras leyes exijan consentimiento. Eso no significa que desaparezca todo derecho a oponerse: el RGPD actual permite hacerlo cuando se usa el interés legítimo. El alcance concreto dependerá del texto que acuerden las instituciones.
La propuesta también contempla que, si durante el desarrollo o funcionamiento técnico de un sistema aparecen de forma incidental datos sensibles —como información sobre salud u origen étnico—, la empresa pueda tratarlos si no pretendía recogerlos. Tendría que impedir que se recopilen, borrarlos al detectarlos y protegerlos. La excepción no cubriría, por ejemplo, información que una persona introduce directamente en un chatbot ni el uso deliberado de su voz o imagen.
La propuesta aún debe negociarse
El Consejo plantea además facilitar ciertos proyectos de investigación científica de empresas privadas, incluso con fines comerciales, si son independientes y autónomos, y sus resultados pueden verificarse y son transparentes. También propone que los datos seudonimizados dejen de considerarse personales para un tercero que no pueda identificar a las personas; si puede hacerlo, seguirían sujetos al RGPD.
La Comisión, el Consejo y el Parlamento Europeo tendrán que negociar los cambios, y el Parlamento aún no ha fijado su posición. El paquete abarca otras normas digitales, como las reglas sobre cookies y ciberseguridad. Esta propuesta no es parte del AI Act, la ley europea sobre inteligencia artificial, que sigue otro proceso.
Por qué importa
Para quienes usan servicios digitales, la propuesta podría permitir que algunas empresas utilicen datos personales para entrenar IA sin solicitar permiso individual, aunque seguirían aplicándose límites del RGPD y obligaciones de protección. Falta saber qué texto aprobarán finalmente el Parlamento, la Comisión y el Consejo, así que todavía no cambia las reglas vigentes.
