Exposición de datos en OpenAI: consecuencias jurídicas y obligaciones

 Exposición de datos en OpenAI: consecuencias jurídicas y obligaciones

Por Santiago Carretero Sánchez, Profesor Titular de la Universidad Rey Juan Carlos

La noticia publicada el 27 de noviembre de 2025 sobre una exposición de datos vinculada a la API de OpenAI —revelada por medios tecnológicos que citan reportes técnicos y referencias indirectas— ha generado preocupación por su potencial impacto jurídico. Aunque la información debe considerarse preliminar hasta que exista confirmación oficial, el incidente sugiere que determinados identificadores y metadatos de clientes podrían haber quedado accesibles a terceros, lo que obliga a un análisis normativo preciso.

En el marco europeo, el RGPD establece obligaciones claras en materia de seguridad, detección de incidentes y notificación: si la filtración implica riesgo para los derechos de las personas, el responsable debe comunicarlo a la autoridad de control en un plazo máximo de 72 horas. A nivel español, la LOPDGDD complementa estas exigencias e impone un deber de diligencia reforzado cuando se utilizan proveedores tecnológicos externos, especialmente si operan fuera de la UE o emplean subprocesadores.

Para quienes integran soluciones de IA en su práctica profesional —desde despachos hasta departamentos jurídicos— este incidente recuerda tres obligaciones esenciales: verificar la naturaleza exacta de los datos potencialmente expuestos, ejecutar un análisis técnico fiable sobre el alcance del incidente y revisar de inmediato los contratos con el proveedor, especialmente en lo relativo a medidas de seguridad, auditoría y responsabilidades. No menos relevante es adoptar medidas correctoras urgentes, como rotar credenciales, restringir flujos de datos y reforzar la minimización.

Los riesgos jurídicos asociados a un incidente de estas características son significativos: sanciones administrativas por infracciones de protección de datos, responsabilidad contractual frente a clientes, daño reputacional directo en el ejercicio profesional y, en casos extremos, consecuencias penales si se demuestra negligencia grave en la gestión de la seguridad.

En términos doctrinales, la filtración atribuida a OpenAI confirma que la adopción de IA no puede desvincularse de una gobernanza robusta del dato. La supervisión del proveedor, la transparencia contractual y la verificación humana permanente no son opcionales, sino elementos nucleares para proteger derechos fundamentales y garantizar que la innovación tecnológica no erosione la responsabilidad jurídica del operador. Para el jurista actual, la prudencia técnica y el control normativo son parte inseparable del uso profesional de la inteligencia artificial.