Inteligencia Artificial y Privacidad de Datos: Requisitos Legales (2026)

Los sistemas de inteligencia artificial consumen datos personales a una escala para la que los marcos de privacidad existentes no fueron diseñados. Los conjuntos de datos de entrenamiento extraídos de internet, el análisis biométrico en tiempo real, las decisiones automatizadas de contratación, la vigilancia predictiva y la calificación crediticia algorítmica plantean la misma pregunta central: ¿qué derechos tienen las personas cuando la IA procesa sus datos? Los legisladores en Estados Unidos, la Unión Europea y otros lugares se apresuran a responder esa pregunta, y el panorama regulatorio cambia más rápido de lo que la mayoría de las organizaciones puede seguir.

La Ley de IA de la UE: un marco de protección de datos para la IA

La Ley de Inteligencia Artificial de la Unión Europea, publicada en el Diario Oficial el 12 de julio de 2024, es la primera regulación integral de IA del mundo. Aunque se trata principalmente de una ley de seguridad de productos y no de una ley de protección de datos, sus disposiciones sobre gobernanza de datos afectan directamente la forma en que las organizaciones recopilan, procesan y conservan datos personales para fines de IA.

Clasificación basada en el riesgo

La Ley de IA clasifica los sistemas de IA en cuatro niveles de riesgo:

Riesgo inaceptable (prohibido). Los sistemas de IA que manipulan el comportamiento humano, explotan vulnerabilidades, califican a las personas según su comportamiento social (calificación social por parte de los gobiernos) o realizan identificación biométrica remota en tiempo real en espacios públicos (con excepciones limitadas para las fuerzas del orden) están totalmente prohibidos. Estas prohibiciones entraron en vigor el 2 de febrero de 2025.

Alto riesgo. Los sistemas de IA utilizados en áreas críticas están sujetos a requisitos amplios. Estas áreas incluyen la identificación biométrica, la gestión de infraestructuras críticas, la educación y la formación profesional, el empleo y la gestión de trabajadores, el acceso a servicios esenciales (calificación crediticia, seguros), la aplicación de la ley, la migración y el control fronterizo, y la administración de justicia. Los sistemas de alto riesgo deben cumplir con requisitos de gobernanza de datos, transparencia, supervisión humana, precisión y ciberseguridad.

Riesgo limitado. Los sistemas de IA que interactúan con personas (chatbots), generan contenido sintético (deepfakes) o realizan reconocimiento de emociones deben cumplir con obligaciones de transparencia. Los usuarios deben ser informados de que están interactuando con IA.

Riesgo mínimo. Todos los demás sistemas de IA pueden desarrollarse e implementarse sin obligaciones adicionales, aunque se fomentan los códigos de conducta voluntarios.

Requisitos de gobernanza de datos para la IA de alto riesgo

El Artículo 10 de la Ley de IA impone requisitos específicos de gobernanza de datos para los sistemas de IA de alto riesgo. Los conjuntos de datos de entrenamiento, validación y prueba deben:

• Estar sujetos a prácticas adecuadas de gobernanza y gestión de datos
• Tener en cuenta el entorno geográfico, contextual, conductual o funcional específico del sistema
• Ser pertinentes, suficientemente representativos y, en la medida de lo posible, estar libres de errores y ser completos
• Tener propiedades estadísticas adecuadas, incluso en relación con las personas o grupos en los que se pretende utilizar el sistema

Las organizaciones deben documentar las decisiones de diseño, los procesos de recopilación de datos y las operaciones de preparación de datos (anotación, etiquetado, limpieza, enriquecimiento). Para las categorías especiales de datos personales (según se definen en el RGPD), la Ley de IA permite el procesamiento estrictamente con fines de detección y corrección de sesgos, sujeto a garantías.

Interacción con el RGPD

La Ley de IA opera junto al RGPD, no como un reemplazo. Las organizaciones que implementan sistemas de IA de alto riesgo deben cumplir con ambos marcos simultáneamente. Las principales tensiones incluyen:

Minimización de datos frente a detección de sesgos. El principio de minimización de datos del RGPD (Artículo 5(1)(c)) entra en conflicto con el requisito de la Ley de IA de garantizar que los datos de entrenamiento sean "suficientemente representativos". Detectar y corregir sesgos en los modelos de IA a menudo requiere recopilar datos demográficos (raza, género, edad) que el RGPD clasifica como datos de categoría especial sujetos a protecciones reforzadas.

Limitación de la finalidad frente al entrenamiento de modelos. Usar datos personales recopilados para un propósito (prestar un servicio) para entrenar un modelo de IA (un propósito distinto) requiere una base jurídica separada conforme al Artículo 6 del RGPD. La base del interés legítimo está disponible, pero requiere una prueba de ponderación, y varias autoridades de protección de datos han cuestionado si el entrenamiento de modelos califica.

Derecho al olvido frente a la conservación del modelo. Cuando un titular de datos ejerce el derecho al olvido conforme al Artículo 17 del RGPD, ¿debe la organización reentrenar su modelo de IA para eliminar la influencia de esa persona? Este problema de "desaprendizaje automático" (machine unlearning) sigue sin resolverse legalmente, aunque la autoridad italiana de protección de datos (Garante) planteó el tema durante su acción de aplicación contra OpenAI en 2023.

Leyes estatales de IA y privacidad en Estados Unidos

La Ley de IA de Colorado: SB 24-205, Derogada y Sustituida por la SB 26-189

La SB 24-205 de Colorado, promulgada el 17 de mayo de 2024, fue la primera legislación integral sobre IA promulgada por un estado de EE. UU. Se dirigía a los "sistemas de IA de alto riesgo" que toman o ayudan sustancialmente a tomar "decisiones trascendentales" en áreas que incluyen el empleo, la educación, los servicios financieros, la atención médica, la vivienda, los seguros y los servicios legales, pero su fecha de entrada en vigor se retrasó dos veces y fue derogada antes de llegar a aplicarse. El gobernador Polis promulgó la SB 26-189 el 14 de mayo de 2026, que la derogó y volvió a promulgar como una Ley de Tecnología de Toma de Decisiones Automatizada (ADMT) más limitada, vigente a partir del 1 de enero de 2027.

Tal como fue promulgada originalmente, la SB 24-205 habría exigido a los implementadores proporcionar notificación a los consumidores, descripciones del sistema en lenguaje sencillo, una opción de exclusión, evaluaciones de impacto anuales y revisión humana para las decisiones trascendentales, y habría exigido a los desarrolladores documentar las capacidades, limitaciones y resultados de las pruebas de sesgo del sistema. Nada de eso llegó a tener vigencia legal.

Bajo la SB 26-189, los requisitos que realmente aplican a partir del 1 de enero de 2027 son más limitados. Requisitos clave para los implementadores:

• Proporcionar a los consumidores un aviso claro y evidente cuando interactúan con un sistema de IA cubierto
• Divulgar el papel del sistema de IA dentro de los 30 días posteriores a una decisión trascendental adversa
• Otorgar a los consumidores el derecho a solicitar los datos personales usados en la decisión, corregir datos factualmente inexactos y solicitar una revisión humana significativa de un resultado adverso

Requisitos clave para los desarrolladores:

• Proporcionar a los implementadores documentación técnica que describa los usos previstos, las categorías de datos de entrenamiento, las limitaciones conocidas y las instrucciones de uso
• Notificar a los implementadores sobre actualizaciones o modificaciones importantes del sistema
• Conservar los registros de cumplimiento durante al menos tres años

El Fiscal General de Colorado también tiene autoridad exclusiva de aplicación bajo la SB 26-189; no existe un derecho de acción privado general, y los infractores reciben un aviso de subsanación de 60 días antes de que pueda proceder una acción de aplicación (hasta 2030). La ley también distribuye la responsabilidad entre desarrolladores e implementadores en las reclamaciones relacionadas con discriminación.

Ley de Entrevistas en Video con Inteligencia Artificial de Illinois

La Ley de Entrevistas en Video con IA de Illinois (820 ILCS 42), vigente desde el 1 de enero de 2020, fue una de las primeras leyes de EE. UU. específicas sobre IA. Exige que los empleadores que utilizan IA para analizar entrevistas en video:

• Notifiquen a los solicitantes que la IA analizará la entrevista y expliquen cómo funciona la IA y qué características evalúa
• Obtengan el consentimiento por escrito del solicitante antes de la entrevista
• Limiten el intercambio del video a las personas cuya experiencia sea necesaria para evaluar al solicitante
• Destruyan todas las grabaciones de video dentro de los 30 días posteriores a la solicitud del candidato

Esta ley fue una señal temprana de que la regulación específica sobre IA se centraría en la transparencia, el consentimiento y la minimización de datos.

Ley Local 144 de la Ciudad de Nueva York (Herramientas Automatizadas de Decisión de Empleo)

La Ley Local 144 de la Ciudad de Nueva York, vigente desde el 5 de julio de 2023, regula las herramientas automatizadas de decisión de empleo (AEDT, por sus siglas en inglés) utilizadas en la contratación o promoción dentro de la ciudad de Nueva York. La ley exige:

• Una auditoría de sesgo anual realizada por un auditor independiente, con los resultados publicados en el sitio web del empleador
• Notificación a los candidatos al menos 10 días hábiles antes de su uso, que incluya: que se utilizará una AEDT, las calificaciones del puesto que evalúa la AEDT, las fuentes de datos y la política de retención de datos
• Los candidatos deben tener la opción de solicitar un proceso de selección alternativo o una adaptación

La auditoría de sesgo debe evaluar el impacto dispar entre categorías de raza/etnia y sexo utilizando la tasa de selección o la tasa de puntuación de cada grupo. El resumen de la auditoría debe estar disponible públicamente durante al menos 6 meses.

Otros avances estatales

Varios estados han promulgado o propuesto legislación relacionada con la IA y la privacidad a principios de 2026:

• Utah promulgó la Ley de Política de Inteligencia Artificial (2024), que exige la divulgación al interactuar con IA generativa y regula el contenido generado por IA en ciertos contextos, pero no regula directamente la privacidad de datos de la IA.
• California consideró varios proyectos de ley sobre IA en las sesiones legislativas de 2024-2025. La AB 2013 (promulgada en 2024) exige que los desarrolladores de sistemas de IA generativa publiquen resúmenes generales de los datos de entrenamiento en sus sitios web. La SB 1047, que habría impuesto requisitos estrictos de seguridad a los grandes modelos de IA, fue vetada por el gobernador Newsom en septiembre de 2024.
• Connecticut promulgó la Ley de Responsabilidad y Transparencia en Inteligencia Artificial (Sustitutivo SB 5, Ley Pública 26-15), firmada por el gobernador Lamont el 27 de mayo de 2026. Los requisitos de notificación relacionados con la IA bajo la Ley WARN entran en vigor el 1 de octubre de 2026; las divulgaciones sobre tecnología de toma de decisiones automatizada en el empleo entran en vigor el 1 de octubre de 2027; y las reglas sobre chatbots de compañía de IA entran en vigor el 1 de enero de 2027.
• Texas promulgó la Ley de Gobernanza Responsable de la Inteligencia Artificial de Texas (HB 149, «TRAIGA»), firmada por el gobernador Abbott el 22 de junio de 2025 y vigente desde el 1 de enero de 2026. El proyecto original y más amplio, HB 1709, que habría exigido notificación y exclusión voluntaria del consumidor para decisiones trascendentales de IA en atención médica, servicios financieros y seguros, no fue aprobado. La TRAIGA, en cambio, prohíbe usos específicos de la IA, como la calificación social gubernamental y la discriminación ilegal, y es aplicada exclusivamente por el Fiscal General de Texas con un período de subsanación de 60 días.

Derechos de toma de decisiones automatizada de la CCPA

La Ley de Derechos de Privacidad de California (CPRA) añadió disposiciones sobre toma de decisiones automatizada a la CCPA. El Código Civil de California, sección 1798.185(a)(15) ordenó a la Agencia de Protección de la Privacidad de California (CPPA) emitir regulaciones que rijan:

• El derecho a excluirse del uso de tecnología de toma de decisiones automatizada, incluida la elaboración de perfiles
• El derecho a acceder a información sobre la lógica involucrada en los procesos de toma de decisiones automatizada y el resultado probable para el consumidor
• Requisitos para que las empresas que utilizan la toma de decisiones automatizada realicen evaluaciones de ciberseguridad y de riesgo

La Junta de la CPPA adoptó las regulaciones finales sobre toma de decisiones automatizada, evaluación de riesgos y auditoría de ciberseguridad el 24 de julio de 2025, y la Oficina de Derecho Administrativo (Office of Administrative Law) las aprobó el 22 de septiembre de 2025. Las regulaciones entraron en vigor el 1 de enero de 2026, y el cumplimiento específico de ADMT para las empresas es obligatorio a partir del 1 de enero de 2027. Las regulaciones definen la "tecnología de toma de decisiones automatizada" de manera amplia para incluir cualquier sistema que procese información personal para tomar o ayudar a tomar decisiones que reemplacen la toma de decisiones humana.

Conforme a las regulaciones, los consumidores tienen derecho a excluirse de las decisiones automatizadas en contextos que incluyen el empleo, la atención médica, los servicios financieros, la vivienda, la educación y los seguros. Las empresas deben proporcionar avisos previos al uso, acceso a la lógica de la decisión y una opción de revisión humana para las decisiones significativas.

Aplicación de la FTC en materia de IA

La Comisión Federal de Comercio (FTC) se ha convertido en el organismo federal de aplicación más activo de Estados Unidos en materia de IA y privacidad de datos. La FTC utiliza su autoridad existente conforme a la Sección 5 de la Ley de la FTC (prácticas desleales o engañosas) para abordar los daños relacionados con la IA.

Principales acciones de aplicación de la FTC en materia de IA

Rite Aid (2023). La FTC ordenó a Rite Aid dejar de usar tecnología de reconocimiento facial después de que la empresa implementara un sistema de IA que identificaba erróneamente a clientes como ladrones, afectando de manera desproporcionada a mujeres y personas de color. La orden de consentimiento prohibió a Rite Aid usar reconocimiento facial durante cinco años y exigió la eliminación de todos los datos recopilados a través del sistema.

Weight Watchers/Kurbo (2022). La FTC exigió a WW International eliminar algoritmos y modelos de IA entrenados con datos de menores recopilados sin el consentimiento parental verificable exigido por la COPPA. Este remedio de "restitución algorítmica" (algorithmic disgorgement), que exige eliminar no solo los datos sino también los modelos de IA derivados de ellos, sentó un precedente con implicaciones importantes para las empresas de IA.

SB 1247 de California (2026). La propuesta SB 1247 de California permitiría a los menores exigir la eliminación de contenido monetizado en el que aparecen una vez que cumplan 18 años, extendiendo los derechos de eliminación a la era de las redes sociales, en la que los padres publican habitualmente imágenes y videos de sus hijos que generan ingresos.

Amazon/Alexa (2023). La FTC alegó que Amazon violó la COPPA al conservar indefinidamente las grabaciones de voz y los datos de geolocalización de menores para mejorar los modelos de IA de Alexa. Amazon pagó una multa de 25 millones de dólares y acordó eliminar los datos y los modelos derivados de ellos.

Orientación de la FTC sobre afirmaciones relacionadas con la IA

La FTC ha publicado múltiples entradas de blog y documentos de orientación advirtiendo a las empresas sobre:

• Afirmaciones exageradas sobre la IA. Afirmar capacidades de IA que no existen o exagerar la precisión de los sistemas de IA constituye publicidad engañosa.
• Resultados sesgados de la IA. Los sistemas de IA que producen resultados discriminatorios pueden constituir prácticas desleales, particularmente en crédito, vivienda y empleo.
• Patrones oscuros para el consentimiento de IA. Usar diseños manipuladores para obtener consentimiento para el procesamiento de datos de IA viola la Sección 5.

Datos de entrenamiento y consentimiento

Una de las áreas más disputadas del derecho de la IA y la privacidad involucra el uso de datos personales para entrenar modelos de IA. La pregunta legal es directa: ¿usar los datos de una persona para entrenar un modelo de IA requiere su consentimiento?

La perspectiva del RGPD

Conforme al RGPD, el entrenamiento de modelos constituye "procesamiento" de datos personales y requiere una base jurídica conforme al Artículo 6. Las bases disponibles incluyen:

• Consentimiento (Artículo 6(1)(a)). Consentimiento explícito e informado para el propósito específico del entrenamiento de IA. Esta es la opción más protectora, pero la menos escalable.
• Interés legítimo (Artículo 6(1)(f)). El responsable del tratamiento debe demostrar un interés legítimo que no sea superado por los derechos del titular de los datos. Varias autoridades de protección de datos han cuestionado si el entrenamiento comercial de IA califica.
• Ejecución de un contrato (Artículo 6(1)(b)). Si el entrenamiento de IA es necesario para prestar un servicio al que el usuario se suscribió. Esta base ha sido cuestionada por la autoridad irlandesa de protección de datos (DPC) en el contexto de empresas de redes sociales que entrenan IA con contenido de los usuarios.

El Garante italiano prohibió temporalmente ChatGPT en marzo de 2023 debido a preocupaciones sobre la base jurídica para procesar los datos de entrenamiento, la transparencia y la verificación de edad. OpenAI pudo reanudar el servicio después de implementar cambios, pero la acción de aplicación indicó que los reguladores europeos consideran que los datos de entrenamiento de IA están sujetos al cumplimiento total del RGPD.

La perspectiva de Estados Unidos

Estados Unidos no tiene una ley federal que aborde específicamente el consentimiento para los datos de entrenamiento de IA. Sin embargo:

• La CCPA otorga a los consumidores el derecho a saber cómo se usan sus datos, lo cual incluye el entrenamiento de IA, y las regulaciones ADMT de la CPPA, vigentes desde el 1 de enero de 2026, añaden requisitos de transparencia adicionales.
• La ley de derechos de autor (actualmente en litigio en múltiples tribunales federales) puede limitar el uso de contenido protegido por derechos de autor para el entrenamiento, aunque se trata de un tema distinto de la privacidad. A principios de 2026, cientos de autores devolvieron los anticipos de sus libros para protestar por el uso no consentido de sus obras en el entrenamiento de IA, una campaña de presión pública que se desarrolla en paralelo con el litigio federal en curso.
• El precedente de restitución algorítmica de la FTC implica que los modelos de IA entrenados con datos recopilados ilegalmente pueden tener que eliminarse por completo.

Extracción de datos (scraping) y datos públicos

Muchos conjuntos de datos de entrenamiento de IA se construyen a partir de datos disponibles públicamente en internet. Si la extracción de datos públicos para el entrenamiento de IA viola la ley de privacidad depende de la jurisdicción:

• Conforme al RGPD, que los datos estén disponibles públicamente no elimina la necesidad de una base jurídica. Los titulares de los datos conservan sus derechos independientemente de si sus datos son de acceso público.
• En Estados Unidos, el Noveno Circuito resolvió en hiQ Labs v. LinkedIn (2022) que la extracción de datos disponibles públicamente no viola la Ley de Fraude y Abuso Informático (Computer Fraud and Abuse Act), pero esto no aborda los reclamos bajo las leyes estatales de privacidad.
• Varias demandas colectivas presentadas entre 2023 y 2025 alegan que empresas de IA violaron leyes estatales de privacidad al extraer datos personales para el entrenamiento de modelos sin previo aviso ni consentimiento.

Legislación federal emergente

A principios de 2026, no se ha promulgado ninguna ley federal integral sobre privacidad e IA, pero varias propuestas están avanzando:

La Ley de Derechos de Privacidad de Estados Unidos (APRA). Presentado en abril de 2024, este proyecto de ley de la Cámara de Representantes habría establecido estándares federales de privacidad de datos, incluidas disposiciones sobre la toma de decisiones algorítmica, un derecho a excluirse de la elaboración de perfiles basada en IA y de la publicidad dirigida, y requisitos de evaluación de impacto en derechos civiles. El Comité de Energía y Comercio de la Cámara canceló su revisión programada el 27 de junio de 2024 debido a la oposición de defensores de la privacidad y de republicanos del comité, y el proyecto nunca recibió una votación en el pleno de ninguna de las cámaras. La APRA expiró con el fin del 118.º Congreso en enero de 2025 y no ha sido reintroducida hasta mediados de 2026.

La Ley de Responsabilidad de la IA (AI Accountability Act). Propuesta en 2024, esta ley exigiría evaluaciones de impacto para los sistemas de IA utilizados en decisiones críticas y obligaría a la transparencia sobre las capacidades, limitaciones y fuentes de datos de los sistemas de IA.

Orden Ejecutiva 14110 (octubre de 2023, revocada en enero de 2025). La Orden Ejecutiva sobre IA Segura, Confiable y Digna de Confianza del presidente Biden ordenó a las agencias federales desarrollar estándares de seguridad de IA, exigió a los desarrolladores de sistemas de IA potentes compartir los resultados de las pruebas de seguridad con el gobierno, y ordenó al NIST desarrollar estándares de gestión de riesgos de IA. El presidente Trump revocó la Orden Ejecutiva 14110 el 20 de enero de 2025 y, el 23 de enero de 2025, firmó la orden Eliminación de Barreras al Liderazgo Estadounidense en Inteligencia Artificial, que ordena a las agencias suspender, revisar o revocar cualquier acción derivada de la Orden Ejecutiva 14110 que sea incompatible con un enfoque desregulatorio de la IA. A mediados de 2026, ninguna directiva federal vinculante comparable en materia de privacidad de IA la ha reemplazado, y el Congreso no ha promulgado legislación federal de privacidad de IA.

Fuentes y referencias

Este artículo proporciona información legal general sobre la intersección entre la inteligencia artificial y la ley de privacidad de datos. Se trata de un área que evoluciona rápidamente, con nueva legislación, regulaciones y acciones de aplicación que surgen con frecuencia. Consulte a un abogado para obtener asesoría específica sobre su situación.

Noticias relacionadas

• La Corte Suprema confirma las multas de la FCC por datos de ubicación de operadoras (2026)