El Consejo Europeo propone permitir el entrenamiento de IA con datos personales sin consentimiento individual

El Consejo Europeo ha presentado una propuesta que podría permitir a las empresas de inteligencia artificial (IA) entrenar y operar modelos con datos personales sin solicitar el consentimiento de cada usuario. Esta iniciativa, que se inscribe dentro del paquete Digital Omnibus, busca simplificar la normativa europea sobre protección de datos y facilitar el desarrollo de la IA en la UE.

El origen de la propuesta

El 21 de octubre, el comité Coreper, que reúne a embajadores de los Estados miembros, acordó la posición que el Consejo Europeo negociará con el Parlamento Europeo. En la propuesta, de 179 páginas, se incluyen modificaciones al Reglamento General de Protección de Datos (RGPD), a la directiva ePrivacy, al Reglamento de Datos y a la directiva NIS2 de ciberseguridad.

El “interés legítimo” como nuevo fundamento legal

El RGPD ya contempla el “interés legítimo” como base legal para tratar datos personales sin consentimiento, siempre que el interés de la empresa no pese más que los derechos del individuo. La propuesta del Consejo pretende codificar expresamente esta figura para la IA mediante un nuevo artículo 88 bis, reduciendo los límites existentes y eliminando salvaguardas como el derecho de oposición incondicional y la excepción para menores.

Con esta reforma, una compañía podría usar datos personales para entrenar modelos de IA basándose en su propio interés legítimo o el de un tercero, sin necesidad de obtener permiso individual. La novedad radica en la aplicación explícita a la IA y en la ampliación de los casos en los que se permite el tratamiento incidental de datos sensibles que se descubran durante el desarrollo del sistema.

Excepciones y salvaguardas reducidas

La propuesta elimina la obligación de borrar datos sensibles que la empresa no pretendía recoger, siempre que los detecte y los elimine en cuanto los identifique. No obstante, los datos que el usuario aporta directamente, como mensajes en un chatbot, o el uso intencionado de voz o imagen, seguirán estando protegidos.

Además, se propone que los datos seudonimizados se consideren no personales para el tercero que los reciba si no puede identificar a nadie. Si la identidad se puede determinar, permanecerán sujetos al RGPD.

Facilitación de la investigación científica

El Consejo también busca impulsar la investigación científica, incluso en empresas privadas con fines comerciales, siempre que la investigación sea autónoma e independiente. La empresa deberá justificar que la investigación es verificable y transparente en cada caso.

Estado actual y próximos pasos

La propuesta aún no es ley. El Consejo, la Comisión Europea y el Parlamento Europeo deben negociar los cambios antes de que finalice el año, según el calendario del Consejo. El Parlamento aún no ha adoptado una postura, y el proceso de negociación puede tardar.

Es importante distinguir esta reforma del AI Act, que regula la IA desde otra perspectiva. Mientras la propuesta se centra en el tratamiento de datos personales, el AI Act aborda los riesgos y requisitos de los sistemas de IA.

En resumen, la iniciativa del Consejo Europeo pretende agilizar el desarrollo de la IA en la UE al permitir el uso de datos personales bajo el “interés legítimo”, pero su adopción dependerá de la negociación con el Parlamento y la Comisión. La reforma, si se aprueba, marcaría un cambio significativo en la forma en que las empresas pueden entrenar modelos de IA en el continente.