¿Podrá la IA entrenarse con datos personales sin consentimiento? Lo que realmente propone el artículo 88c

La discusión sobre el Omnibus Digital de la Unión Europea suele resumirse como un plan para que las empresas entrenen inteligencia artificial con datos personales sin pedir consentimiento. Es una simplificación excesiva.

La disposición relevante es el propuesto artículo 88c del RGPD. Su objetivo sería reconocer expresamente que el interés legítimo, previsto en el artículo 6.1.f del Reglamento General de Protección de Datos, puede ser una base jurídica posible cuando el tratamiento de datos personales sea funcionalmente necesario para diseñar, desarrollar o utilizar legalmente un sistema o modelo de IA. No elimina el RGPD, no valida automáticamente el web scraping ni vuelve irrelevante el consentimiento cuando otra norma lo exige.13

Además, hay que separar dos expedientes distintos. El artículo 88c forma parte de la propuesta de Omnibus Digital de datos, que continúa en el proceso legislativo europeo y cuyo texto final no está decidido.

Qué cambiaría el artículo 88c

Según la redacción propuesta, un responsable del tratamiento —o un tercero— podría invocar el interés legítimo para tratar datos personales durante el ciclo de vida de un sistema o modelo de IA, siempre que ese tratamiento sea funcionalmente necesario para su diseño, desarrollo o uso lícitos.3

La novedad sería hacer más explícita, en el contexto de la IA, una vía que ya puede existir bajo el RGPD. El Comité Europeo de Protección de Datos (CEPD) había concluido previamente que, en determinados casos, el interés legítimo puede ser una base jurídica adecuada para desarrollar e implantar modelos o sistemas de IA.45

Pero no basta con que una empresa afirme que tiene interés en crear un modelo. Seguiría teniendo que superar el análisis ordinario de interés legítimo:

• identificar un interés legítimo real;
• demostrar que el tratamiento es necesario para ese interés; y
• ponderarlo frente a los derechos y libertades de las personas cuyos datos se tratan.15

También seguirían aplicándose las normas europeas y nacionales que exijan consentimiento. Por tanto, el artículo 88c no sería una autorización general para recopilar datos personales públicos o privados con fines de entrenamiento.1

Salvaguardas: el elemento decisivo

El debate no gira solo en torno a si el interés legítimo puede aplicarse a la IA, sino también a qué garantías deben acompañarlo.

Entre las salvaguardas debatidas figuran la minimización de datos al elegir fuentes y entrenar modelos, medidas técnicas y organizativas de protección, transparencia efectiva y mecanismos que reconozcan oposiciones o exclusiones expresadas de forma legible por máquina. El planteamiento incluye asimismo un derecho incondicional a oponerse a este tratamiento relacionado con IA.13

Estas garantías no son accesorias. La minimización impide sostener que un desarrollador puede recogerlo todo solo porque quizá resulte útil en el futuro. La transparencia permite a las personas entender qué ocurre con sus datos. Y un derecho de oposición efectivo exige algo más que una opción escondida en una configuración.

Los datos sensibles no quedarían liberados de restricciones

Los debates del Consejo sobre una excepción relacionada con datos sensibles han delimitado un supuesto más estrecho: el tratamiento incidental y residual de categorías especiales de datos. Es decir, situaciones en las que el responsable no pretendía tratar datos sensibles, pero estos aparecen de manera inevitable dentro de la operación principal. No equivale a recopilar deliberadamente datos sensibles como material de entrenamiento.2

Las reservas del CEPD y del SEPD

El CEPD y el Supervisor Europeo de Protección de Datos (SEPD) no negaron que el interés legítimo pueda sustentar en ocasiones tratamientos relacionados con IA. Su objeción principal fue que un artículo 88c específico no era necesario: el análisis actual del RGPD ya permite llegar a esa conclusión cuando proceda.45

La preocupación es jurídica y práctica. Una disposición nueva y específica para IA podría interpretarse como algo más que una aclaración y generar incertidumbre sobre protecciones ya consolidadas del RGPD. La posición de estos organismos es consultiva, no vinculante, pero tiene peso en la negociación legislativa.5

¿Se ha «recuperado» el artículo 88c? Su situación sigue abierta

La documentación legislativa disponible muestra que el trabajo en el Consejo ha sido controvertido. Se canceló una votación prevista en el COREPER —el órgano que prepara decisiones del Consejo de la UE— sobre el mandato negociador, al no alcanzarse acuerdo sobre cuestiones pendientes. Después, los trabajos continuaron bajo la Presidencia irlandesa del Consejo.

El programa de la Presidencia irlandesa plantea como objetivo lograr un acuerdo con el Parlamento Europeo sobre el paquete Omnibus Digital antes de terminar 2026. Sin embargo, la documentación oficial aportada no acredita de manera independiente que el artículo 88c haya quedado restablecido de forma definitiva en una posición final del Consejo.

La descripción más prudente es esta: el artículo 88c sigue siendo políticamente controvertido y negociable. Todavía no puede considerarse una base jurídica vinculante que permita a las empresas dejar de cumplir los requisitos actuales del RGPD.

No confundirlo con el Omnibus Digital sobre IA ya aprobado

La confusión aumenta porque otra medida distinta, el Omnibus Digital sobre IA, ya fue adoptada como el Reglamento (UE) 2026/1744.

Esa norma modifica el calendario de aplicación de partes de la Ley de IA. En concreto, las obligaciones para los sistemas independientes de alto riesgo incluidos en el anexo III se aplicarán desde el 2 de diciembre de 2027. Los sistemas de alto riesgo integrados en productos regulados tienen un calendario posterior.1920

Cuando entren en vigor las exigencias del anexo III, incluirán evaluación y mitigación de riesgos, conjuntos de datos de alta calidad orientados a reducir resultados discriminatorios, registro de actividad y trazabilidad, documentación, información para quienes despliegan los sistemas, supervisión humana, robustez y ciberseguridad.20

Estas obligaciones de la Ley de IA son distintas de la cuestión del RGPD sobre si se pueden tratar datos personales para entrenar IA. Aplazar las obligaciones de alto riesgo no aprueba el artículo 88c.

Qué implica para empresas y personas

Para los desarrolladores, el artículo 88c podría aportar más claridad textual, pero no sería un atajo de cumplimiento. Un enfoque defendible seguiría requiriendo documentar la necesidad y la ponderación de intereses, minimizar datos, informar con transparencia y disponer de procesos operativos para atender oposiciones.

Para las personas cuyos datos puedan utilizarse, la cuestión clave es si la norma final conserva límites reales: que el uso de datos sea verdaderamente necesario, que los datos sensibles sigan sujetos a un marco estrecho y que la oposición pueda ejercerse de forma técnicamente efectiva, no solo simbólica.

La dirección general no indica que Europa haya abandonado la regulación preventiva de la IA. El Omnibus sobre IA ya aprobado aplaza algunas obligaciones para sistemas de alto riesgo, mientras que la propuesta separada sobre datos explora una vía más explícita para ciertos tratamientos vinculados a IA. El equilibrio final dependerá de las negociaciones entre el Consejo y el Parlamento Europeo, así como de la interpretación y aplicación de cualquier texto que finalmente se adopte.19