En resumen
- El 12 de noviembre de 2026 la Red Iberoamericana de Protección de Datos (RIPD) aprobó por unanimidad unos estándares sobre el uso de datos personales en sistemas de IA.
- Cubren datos inferidos, entrenamiento con datos públicos, transparencia, decisiones automatizadas, IA generativa y agéntica, biometría y neurodatos.
- Son un instrumento de referencia que no crea nuevas obligaciones generales y que puede servir de puente entre el RGPD y los marcos latinoamericanos.
La Red Iberoamericana de Protección de Datos (RIPD) ha aprobado por unanimidad, según informó el 12 de noviembre de 2026 la Agencia Española de Protección de Datos (AEPD), unos estándares sobre el uso de datos personales en sistemas de inteligencia artificial. Importa porque ofrece a autoridades, legisladores y empresas de toda Iberoamérica un lenguaje común para aplicar la protección de datos a la IA.
Qué se ha aprobado
La AEPD, que ostenta la secretaría permanente de la RIPD, explica en su nota de prensa que los Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial tienen formato normativo y alcance internacional. No crean un régimen paralelo ni nuevas obligaciones generales: detallan cómo se aplican las reglas vigentes a la IA, con un enfoque basado en el riesgo, la proporcionalidad y la neutralidad tecnológica.
El documento es resultado de un proceso de elaboración y consulta entre las autoridades miembros, a partir de un borrador del consultor Marcos Sánchez Acevedo. Ha sido financiado por la Unión Europea, con la Fundación para la Internacionalización de las Administraciones Públicas (FIAP), en el marco de la Alianza Digital UE-ALC. Complementa los Estándares de Protección de Datos para los Estados Iberoamericanos.
Las claves de contenido
- Datos inferidos: inferencias, predicciones y perfiles pueden ser datos personales si se refieren a personas identificables, y deben tratarse sin atribuirles más certeza de la justificada. Si el sistema deduce salud, ideología u orientación sexual, rige la protección reforzada de los datos sensibles.
- Datos públicos: que un dato sea accesible en internet no basta para entrenar sistemas de IA. Hace falta base jurídica adecuada y tener en cuenta las expectativas razonables de quien lo publicó.
- Transparencia y derechos: avisar de que se usa IA no siempre cumple el deber de informar, y el secreto empresarial no lo excusa. Las personas deben poder saber si sus datos se usaron, impugnar decisiones automatizadas y obtener intervención humana real, que no existe si quien revisa se limita a confirmar lo que propone el sistema.
- Responsabilidad: quien usa IA de terceros sigue siendo responsable de los tratamientos cuyos fines y medios esenciales decide. Si un modelo no permite suprimir plenamente los datos, la organización debe justificarlo, informar y, por ejemplo, excluirlos de futuros entrenamientos.
- Límites y ámbitos especiales: se declaran incompatibles los sistemas destinados a manipular de forma engañosa, explotar vulnerabilidades o puntuar socialmente de modo discriminatorio. Hay pautas para IA generativa y agéntica, biometría, reconocimiento de emociones y neurodatos.
La mirada de CEA Digital Law
Desde el Comité Euro Americano de Derecho Digital - CEA Digital Law valoramos que estos estándares nazcan del consenso y apuesten por compatibilizar innovación y derechos. Su valor práctico está en la concreción: la figura de la intervención humana efectiva o el tratamiento de las inferencias son cuestiones donde la letra general del RGPD y de las leyes latinoamericanas deja margen de interpretación, y un referente común reduce la fragmentación para quienes operan en varios países.
Para Europa, es una oportunidad de dialogar con una región que comparte tradición jurídica. Para ALC, una herramienta para actualizar leyes y guías sin partir de cero. Para África, donde varios países desarrollan marcos propios sobre datos e IA, puede inspirar un modelo de estándares regionales elaborados por las autoridades.
Quedan cuestiones abiertas: al no ser vinculantes por sí mismos, su efecto dependerá de que autoridades y legisladores nacionales los incorporen; también falta ver cómo se trasladarán a la supervisión práctica de modelos ya entrenados. Proponemos que las autoridades publiquen casos de uso y guías de aplicación, y que se abra un espacio de diálogo entre Iberoamérica, Europa y África para compartir experiencias.
Fuentes
- AEPD: La Red Iberoamericana de Protección de Datos aprueba unos Estándares internacionales pioneros sobre IA y protección de datos personales
- RIPD: Estándares iberoamericanos sobre el uso de datos personales en sistemas de IA
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
