Inteligencia Artificial y Privacidad de Datos: Requisitos Legales (2026)

Los sistemas de inteligencia artificial consumen datos personales a una escala para la que los marcos de privacidad existentes no fueron diseñados. Los conjuntos de datos de entrenamiento extraídos de internet, el análisis biométrico en tiempo real, las decisiones automatizadas de contratación, la vigilancia predictiva y la calificación crediticia algorítmica plantean la misma pregunta central: ¿qué derechos tienen las personas cuando la IA procesa sus datos? Los legisladores en Estados Unidos, la Unión Europea y otros lugares se apresuran a responder esa pregunta, y el panorama regulatorio cambia más rápido de lo que la mayoría de las organizaciones puede seguir.

La Ley de IA de la UE: un marco de protección de datos para la IA

La Ley de Inteligencia Artificial de la Unión Europea, publicada en el Diario Oficial el 12 de julio de 2024, es la primera regulación integral de IA del mundo. Aunque se trata principalmente de una ley de seguridad de productos y no de una ley de protección de datos, sus disposiciones sobre gobernanza de datos afectan directamente la forma en que las organizaciones recopilan, procesan y conservan datos personales para fines de IA.

Clasificación basada en el riesgo

La Ley de IA clasifica los sistemas de IA en cuatro niveles de riesgo:

Riesgo inaceptable (prohibido). Los sistemas de IA que manipulan el comportamiento humano, explotan vulnerabilidades, califican a las personas según su comportamiento social (calificación social por parte de los gobiernos) o realizan identificación biométrica remota en tiempo real en espacios públicos (con excepciones limitadas para las fuerzas del orden) están totalmente prohibidos. Estas prohibiciones entraron en vigor el 2 de febrero de 2025.

Alto riesgo. Los sistemas de IA utilizados en áreas críticas están sujetos a requisitos amplios. Estas áreas incluyen la identificación biométrica, la gestión de infraestructuras críticas, la educación y la formación profesional, el empleo y la gestión de trabajadores, el acceso a servicios esenciales (calificación crediticia, seguros), la aplicación de la ley, la migración y el control fronterizo, y la administración de justicia. Los sistemas de alto riesgo deben cumplir con requisitos de gobernanza de datos, transparencia, supervisión humana, precisión y ciberseguridad.

Riesgo limitado. Los sistemas de IA que interactúan con personas (chatbots), generan contenido sintético (deepfakes) o realizan reconocimiento de emociones deben cumplir con obligaciones de transparencia. Los usuarios deben ser informados de que están interactuando con IA.

Riesgo mínimo. Todos los demás sistemas de IA pueden desarrollarse e implementarse sin obligaciones adicionales, aunque se fomentan los códigos de conducta voluntarios.

Requisitos de gobernanza de datos para la IA de alto riesgo

El Artículo 10 de la Ley de IA impone requisitos específicos de gobernanza de datos para los sistemas de IA de alto riesgo. Los conjuntos de datos de entrenamiento, validación y prueba deben:

• Estar sujetos a prácticas adecuadas de gobernanza y gestión de datos
• Tener en cuenta el entorno geográfico, contextual, conductual o funcional específico del sistema
• Ser pertinentes, suficientemente representativos y, en la medida de lo posible, estar libres de errores y ser completos
• Tener propiedades estadísticas adecuadas, incluso en relación con las personas o grupos en los que se pretende utilizar el sistema

Las organizaciones deben documentar las decisiones de diseño, los procesos de recopilación de datos y las operaciones de preparación de datos (anotación, etiquetado, limpieza, enriquecimiento). Para las categorías especiales de datos personales (según se definen en el RGPD), la Ley de IA permite el procesamiento estrictamente con fines de detección y corrección de sesgos, sujeto a garantías.

Interacción con el RGPD

La Ley de IA opera junto al RGPD, no como un reemplazo. Las organizaciones que implementan sistemas de IA de alto riesgo deben cumplir con ambos marcos simultáneamente. Las principales tensiones incluyen:

Minimización de datos frente a detección de sesgos. El principio de minimización de datos del RGPD (Artículo 5(1)(c)) entra en conflicto con el requisito de la Ley de IA de garantizar que los datos de entrenamiento sean "suficientemente representativos". Detectar y corregir sesgos en los modelos de IA a menudo requiere recopilar datos demográficos (raza, género, edad) que el RGPD clasifica como datos de categoría especial sujetos a protecciones reforzadas.

Limitación de la finalidad frente al entrenamiento de modelos. Usar datos personales recopilados para un propósito (prestar un servicio) para entrenar un modelo de IA (un propósito distinto) requiere una base jurídica separada conforme al Artículo 6 del RGPD. La base del interés legítimo está disponible, pero requiere una prueba de ponderación, y varias autoridades de protección de datos han cuestionado si el entrenamiento de modelos califica.

Derecho al olvido frente a la conservación del modelo. Cuando un titular de datos ejerce el derecho al olvido conforme al Artículo 17 del RGPD, ¿debe la organización reentrenar su modelo de IA para eliminar la influencia de esa persona? Este problema de "desaprendizaje automático" (machine unlearning) sigue sin resolverse legalmente, aunque la autoridad italiana de protección de datos (Garante) planteó el tema durante su acción de aplicación contra OpenAI en 2023.

Leyes estatales de IA y privacidad en Estados Unidos

SB 205 de Colorado (Ley de IA de Colorado)

La SB 21-169/SB 205 de Colorado, promulgada en mayo de 2024 y vigente a partir del 1 de febrero de 2026, es la primera legislación integral sobre IA promulgada por un estado de EE. UU. Se centra en los "sistemas de IA de alto riesgo" que toman o ayudan sustancialmente a tomar "decisiones trascendentales" en áreas que incluyen el empleo, la educación, los servicios financieros, la atención médica, la vivienda, los seguros y los servicios legales.

Requisitos clave para los implementadores (organizaciones que utilizan sistemas de IA):

• Proporcionar a los consumidores una notificación de que se está utilizando IA para tomar o ayudar a tomar decisiones trascendentales
• Proporcionar una descripción del sistema de IA en lenguaje sencillo, incluido el tipo de decisión que toma y cómo influye en el resultado final
• Permitir que los consumidores se excluyan (opt-out) cuando sea técnicamente viable, y proporcionar un proceso de apelación para las decisiones adversas
• Completar una evaluación de impacto antes de implementar un sistema de IA de alto riesgo, actualizada anualmente, que cubra: el propósito del sistema, los beneficios y riesgos previstos, los datos de entrada, las métricas de rendimiento, los resultados de las pruebas de sesgo y las medidas de mitigación
• Proporcionar opciones de revisión humana para las decisiones trascendentales

Requisitos clave para los desarrolladores (empresas que crean sistemas de IA):

• Proporcionar a los implementadores documentación sobre las capacidades, limitaciones, riesgos conocidos y prácticas de gobernanza de datos del sistema
• Divulgar los riesgos conocidos o previsibles de discriminación algorítmica
• Poner a disposición un resumen de los tipos de datos de entrenamiento y los resultados conocidos de las pruebas de sesgo

El Fiscal General de Colorado tiene autoridad exclusiva de aplicación. No existe un derecho de acción privado. La ley establece explícitamente una defensa afirmativa para las organizaciones que detectan y corrigen las infracciones dentro de un plazo razonable y mantienen un marco de gestión de riesgos coherente con los estándares reconocidos de gobernanza de IA (como el NIST AI RMF).

Ley de Entrevistas en Video con Inteligencia Artificial de Illinois

La Ley de Entrevistas en Video con IA de Illinois (820 ILCS 42), vigente desde el 1 de enero de 2020, fue una de las primeras leyes de EE. UU. específicas sobre IA. Exige que los empleadores que utilizan IA para analizar entrevistas en video:

• Notifiquen a los solicitantes que la IA analizará la entrevista y expliquen cómo funciona la IA y qué características evalúa
• Obtengan el consentimiento por escrito del solicitante antes de la entrevista
• Limiten el intercambio del video a las personas cuya experiencia sea necesaria para evaluar al solicitante
• Destruyan todas las grabaciones de video dentro de los 30 días posteriores a la solicitud del candidato

Esta ley fue una señal temprana de que la regulación específica sobre IA se centraría en la transparencia, el consentimiento y la minimización de datos.

Ley Local 144 de la Ciudad de Nueva York (Herramientas Automatizadas de Decisión de Empleo)

La Ley Local 144 de la Ciudad de Nueva York, vigente desde el 5 de julio de 2023, regula las herramientas automatizadas de decisión de empleo (AEDT, por sus siglas en inglés) utilizadas en la contratación o promoción dentro de la ciudad de Nueva York. La ley exige:

• Una auditoría de sesgo anual realizada por un auditor independiente, con los resultados publicados en el sitio web del empleador
• Notificación a los candidatos al menos 10 días hábiles antes de su uso, que incluya: que se utilizará una AEDT, las calificaciones del puesto que evalúa la AEDT, las fuentes de datos y la política de retención de datos
• Los candidatos deben tener la opción de solicitar un proceso de selección alternativo o una adaptación

La auditoría de sesgo debe evaluar el impacto dispar entre categorías de raza/etnia y sexo utilizando la tasa de selección o la tasa de puntuación de cada grupo. El resumen de la auditoría debe estar disponible públicamente durante al menos 6 meses.

Otros avances estatales

Varios estados han promulgado o propuesto legislación relacionada con la IA y la privacidad a principios de 2026:

• Utah promulgó la Ley de Política de Inteligencia Artificial (2024), que exige la divulgación al interactuar con IA generativa y regula el contenido generado por IA en ciertos contextos, pero no regula directamente la privacidad de datos de la IA.
• California consideró varios proyectos de ley sobre IA en las sesiones legislativas de 2024-2025. La AB 2013 (promulgada en 2024) exige que los desarrolladores de sistemas de IA generativa publiquen resúmenes generales de los datos de entrenamiento en sus sitios web. La SB 1047, que habría impuesto requisitos estrictos de seguridad a los grandes modelos de IA, fue vetada por el gobernador Newsom en septiembre de 2024.
• Connecticut promulgó la PA 24-40, que exige a los desarrolladores e implementadores de IA de alto riesgo realizar evaluaciones de impacto y proporcionar informes de transparencia. Entra en vigor el 1 de octubre de 2026.
• Texas aprobó la HB 1709 (2025), que exige notificación y exclusión voluntaria para la IA en decisiones trascendentales en atención médica, servicios financieros y seguros.

Derechos de toma de decisiones automatizada de la CCPA

La Ley de Derechos de Privacidad de California (CPRA) añadió disposiciones sobre toma de decisiones automatizada a la CCPA. El Código Civil de California, sección 1798.185(a)(16) ordenó a la Agencia de Protección de la Privacidad de California (CPPA) emitir regulaciones que rijan:

• El derecho a excluirse del uso de tecnología de toma de decisiones automatizada, incluida la elaboración de perfiles
• El derecho a acceder a información sobre la lógica involucrada en los procesos de toma de decisiones automatizada y el resultado probable para el consumidor
• Requisitos para que las empresas que utilizan la toma de decisiones automatizada realicen evaluaciones de ciberseguridad y de riesgo

La CPPA publicó un borrador de las regulaciones sobre toma de decisiones automatizada a finales de 2024 y las revisó en 2025. A principios de 2026, se espera que las regulaciones finales entren en vigor en la segunda mitad de 2026. El borrador de las regulaciones define la "tecnología de toma de decisiones automatizada" de manera amplia para incluir cualquier sistema que procese información personal para tomar o ayudar a tomar decisiones que reemplacen la toma de decisiones humana.

Conforme a las normas propuestas, los consumidores tendrían derecho a excluirse de las decisiones automatizadas en contextos que incluyen el empleo, la atención médica, los servicios financieros, la vivienda, la educación y los seguros. Las empresas tendrían que proporcionar avisos previos al uso, acceso a la lógica de la decisión y una opción de revisión humana para las decisiones significativas.

Aplicación de la FTC en materia de IA

La Comisión Federal de Comercio (FTC) se ha convertido en el organismo federal de aplicación más activo de Estados Unidos en materia de IA y privacidad de datos. La FTC utiliza su autoridad existente conforme a la Sección 5 de la Ley de la FTC (prácticas desleales o engañosas) para abordar los daños relacionados con la IA.

Principales acciones de aplicación de la FTC en materia de IA

Rite Aid (2023). La FTC ordenó a Rite Aid dejar de usar tecnología de reconocimiento facial después de que la empresa implementara un sistema de IA que identificaba erróneamente a clientes como ladrones, afectando de manera desproporcionada a mujeres y personas de color. La orden de consentimiento prohibió a Rite Aid usar reconocimiento facial durante cinco años y exigió la eliminación de todos los datos recopilados a través del sistema.

Weight Watchers/Kurbo (2022). La FTC exigió a WW International eliminar algoritmos y modelos de IA entrenados con datos de menores recopilados sin el consentimiento parental verificable exigido por la COPPA. Este remedio de "restitución algorítmica" (algorithmic disgorgement), que exige eliminar no solo los datos sino también los modelos de IA derivados de ellos, sentó un precedente con implicaciones importantes para las empresas de IA.

SB 1247 de California (2026). La propuesta SB 1247 de California permitiría a los menores exigir la eliminación de contenido monetizado en el que aparecen una vez que cumplan 18 años, extendiendo los derechos de eliminación a la era de las redes sociales, en la que los padres publican habitualmente imágenes y videos de sus hijos que generan ingresos.

Amazon/Alexa (2023). La FTC alegó que Amazon violó la COPPA al conservar indefinidamente las grabaciones de voz y los datos de geolocalización de menores para mejorar los modelos de IA de Alexa. Amazon pagó una multa de 25 millones de dólares y acordó eliminar los datos y los modelos derivados de ellos.

Orientación de la FTC sobre afirmaciones relacionadas con la IA

La FTC ha publicado múltiples entradas de blog y documentos de orientación advirtiendo a las empresas sobre:

• Afirmaciones exageradas sobre la IA. Afirmar capacidades de IA que no existen o exagerar la precisión de los sistemas de IA constituye publicidad engañosa.
• Resultados sesgados de la IA. Los sistemas de IA que producen resultados discriminatorios pueden constituir prácticas desleales, particularmente en crédito, vivienda y empleo.
• Patrones oscuros para el consentimiento de IA. Usar diseños manipuladores para obtener consentimiento para el procesamiento de datos de IA viola la Sección 5.

Datos de entrenamiento y consentimiento

Una de las áreas más disputadas del derecho de la IA y la privacidad involucra el uso de datos personales para entrenar modelos de IA. La pregunta legal es directa: ¿usar los datos de una persona para entrenar un modelo de IA requiere su consentimiento?

La perspectiva del RGPD

Conforme al RGPD, el entrenamiento de modelos constituye "procesamiento" de datos personales y requiere una base jurídica conforme al Artículo 6. Las bases disponibles incluyen:

• Consentimiento (Artículo 6(1)(a)). Consentimiento explícito e informado para el propósito específico del entrenamiento de IA. Esta es la opción más protectora, pero la menos escalable.
• Interés legítimo (Artículo 6(1)(f)). El responsable del tratamiento debe demostrar un interés legítimo que no sea superado por los derechos del titular de los datos. Varias autoridades de protección de datos han cuestionado si el entrenamiento comercial de IA califica.
• Ejecución de un contrato (Artículo 6(1)(b)). Si el entrenamiento de IA es necesario para prestar un servicio al que el usuario se suscribió. Esta base ha sido cuestionada por la autoridad irlandesa de protección de datos (DPC) en el contexto de empresas de redes sociales que entrenan IA con contenido de los usuarios.

El Garante italiano prohibió temporalmente ChatGPT en marzo de 2023 debido a preocupaciones sobre la base jurídica para procesar los datos de entrenamiento, la transparencia y la verificación de edad. OpenAI pudo reanudar el servicio después de implementar cambios, pero la acción de aplicación indicó que los reguladores europeos consideran que los datos de entrenamiento de IA están sujetos al cumplimiento total del RGPD.

La perspectiva de Estados Unidos

Estados Unidos no tiene una ley federal que aborde específicamente el consentimiento para los datos de entrenamiento de IA. Sin embargo:

• La CCPA otorga a los consumidores el derecho a saber cómo se usan sus datos, lo cual incluiría el entrenamiento de IA. Las regulaciones propuestas sobre toma de decisiones automatizada añadirían requisitos de transparencia adicionales.
• La ley de derechos de autor (actualmente en litigio en múltiples tribunales federales) puede limitar el uso de contenido protegido por derechos de autor para el entrenamiento, aunque se trata de un tema distinto de la privacidad. A principios de 2026, cientos de autores devolvieron los anticipos de sus libros para protestar por el uso no consentido de sus obras en el entrenamiento de IA, una campaña de presión pública que se desarrolla en paralelo con el litigio federal en curso.
• El precedente de restitución algorítmica de la FTC implica que los modelos de IA entrenados con datos recopilados ilegalmente pueden tener que eliminarse por completo.

Extracción de datos (scraping) y datos públicos

Muchos conjuntos de datos de entrenamiento de IA se construyen a partir de datos disponibles públicamente en internet. Si la extracción de datos públicos para el entrenamiento de IA viola la ley de privacidad depende de la jurisdicción:

• Conforme al RGPD, que los datos estén disponibles públicamente no elimina la necesidad de una base jurídica. Los titulares de los datos conservan sus derechos independientemente de si sus datos son de acceso público.
• En Estados Unidos, el Noveno Circuito resolvió en hiQ Labs v. LinkedIn (2022) que la extracción de datos disponibles públicamente no viola la Ley de Fraude y Abuso Informático (Computer Fraud and Abuse Act), pero esto no aborda los reclamos bajo las leyes estatales de privacidad.
• Varias demandas colectivas presentadas entre 2023 y 2025 alegan que empresas de IA violaron leyes estatales de privacidad al extraer datos personales para el entrenamiento de modelos sin previo aviso ni consentimiento.

Legislación federal emergente

A principios de 2026, no se ha promulgado ninguna ley federal integral sobre privacidad e IA, pero varias propuestas están avanzando:

La Ley de Derechos de Privacidad de Estados Unidos (APRA). Presentado en abril de 2024, este proyecto de ley bipartidista establecería estándares federales de privacidad de datos, incluidas disposiciones sobre la toma de decisiones algorítmica. El proyecto incluye un derecho a excluirse de la elaboración de perfiles basada en IA y de la publicidad dirigida, requisitos de evaluación de impacto en derechos civiles y un derecho de acción privado. Fue aprobado en la revisión de comité, pero se estancó en el pleno del Senado.

La Ley de Responsabilidad de la IA (AI Accountability Act). Propuesta en 2024, esta ley exigiría evaluaciones de impacto para los sistemas de IA utilizados en decisiones críticas y obligaría a la transparencia sobre las capacidades, limitaciones y fuentes de datos de los sistemas de IA.

Orden Ejecutiva 14110 (octubre de 2023). La Orden Ejecutiva sobre IA Segura, Confiable y Digna de Confianza del presidente Biden ordenó a las agencias federales desarrollar estándares de seguridad de IA, exigió a los desarrolladores de sistemas de IA potentes compartir los resultados de las pruebas de seguridad con el gobierno, y ordenó al NIST desarrollar estándares de gestión de riesgos de IA. Aunque no es legislación de privacidad en sí misma, varias disposiciones abordan la privacidad de datos en contextos de IA.

Fuentes y referencias

Este artículo proporciona información legal general sobre la intersección entre la inteligencia artificial y la ley de privacidad de datos. Se trata de un área que evoluciona rápidamente, con nueva legislación, regulaciones y acciones de aplicación que surgen con frecuencia. Consulte a un abogado para obtener asesoría específica sobre su situación.

Noticias relacionadas

• La Corte Suprema confirma las multas de la FCC por datos de ubicación de operadoras (2026)