Innovación y retrocesos normativos: el peligro de debilitar las salvaguardas del RGPD para impulsar la IA
Innovación y retrocesos normativos: el peligro de debilitar las salvaguardas del RGPD para impulsar la IA
Resumen ejecutivo
El presente comentario analiza de forma conjunta dos piezas informativas recientes que apuntan a una tendencia normativa en la Unión Europea: la intención política o legislativa de modular o rebajar determinadas salvaguardas del marco de protección de datos personales (en particular, el RGPD) y otras normas digitales con el fin declarado de facilitar el desarrollo y despliegue de sistemas de inteligencia artificial. Una de las voces de alarma la ha expresado ARTICLE 19 y otras organizaciones de la sociedad civil, que advierten que el denominado paquete “Digital Omnibus” puede suponer una reducción efectiva de las protecciones fundamentales; informes periodísticos y documentos filtrados han documentado posibles cambios normativos que afectarían el tratamiento de categorías sensibles de datos y las exigencias de diligencia.
Hechos relevantes
1) Organizaciones de la sociedad civil, entre ellas ARTICLE 19, han publicado alertas y posicionamientos en los que califican de potencial "desmantelamiento" encubierto de garantías digitales el contenido de las propuestas asociadas al paquete legislativo denominado "Digital Omnibus".
2) Documentos periodísticos y filtraciones indican que la Comisión Europea baraja modificaciones que flexibilizarían obligaciones relativas al tratamiento de datos personales —incluyendo datos sensibles— con la finalidad de reducir fricción regulatoria para la industria de la IA. Tales cambios afectarían definiciones, bases de legitimación y requisitos de minimización y seudonimización.
3) Estas iniciativas están siendo justificadas en términos de competitividad e impulso a la innovación; a su vez, generan rechazo entre especialistas en protección de datos, defensa de derechos digitales y parte de la comunidad académica y reguladora.
Análisis jurídico
Desde la óptica del Derecho de la protección de datos, el RGPD se sostiene sobre principios estructurantes: licitud, transparencia, minimización, limitación de finalidad, exactitud, integridad y confidencialidad, así como sobre responsabilidades proactivas del responsable y del encargado (accountability). Las propuestas que pretenden flexibilizar controles —por ejemplo, tratamientos adicionales de categorías especialmente protegidas con menos requisitos— colisionan frontalmente con el principio de minimización y con la necesidad de garantías reforzadas cuando el tratamiento puede afectar derechos fundamentales.
En clave de responsabilidad civil y administrativa, cualquier rebaja normativa que facilite la recolección masiva o el uso ampliado de datos personales por sistemas de IA podría trasladar la carga desde la prevención normativa hacia la litigación ex post: incrementaría casos de daño por decisiones algorítmicas erróneas, discriminación o vulneración de la privacidad, obligando a los tribunales a resolver controversias sobre causación, pruebas periciales y criterios de imputación de responsabilidad entre desarrolladores, proveedores de modelos y explotadores de sistemas.
Desde la perspectiva constitucional y de derechos humanos, el problema no se limita a la esfera mercantil o de innovación: la debilitación de salvaguardas conlleva riesgos de vigilancia algorítmica, afectación del derecho al honor y la intimidad, y sesgo en el acceso a prestaciones públicas y privadas. El Derecho del siglo XXI exige calibrar la innovación sin sacrificar estándares que son garantía de dignidad y autonomía.
Comparativa práctica: España frente al marco europeo
En España, la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) opera como lex specialis complementaria del RGPD. Cualquier modificación del marco europeo que reduzca exigencias tendrá efectos directos en la aplicación nacional, pero el margen operativo del legislador español y de la Agencia Española de Protección de Datos permite, al menos en el corto plazo, modular interpretaciones y prioridades de supervisión. No obstante, la posibilidad real de que disposiciones europeas reescriban parámetros de licitud o exenciones podría obligar a la normativa española a alinearse, limitando mecanismos nacionales de refuerzo. Además, la capacidad sancionadora y los criterios de proporcionalidad que aplique la AEPD serán determinantes para preservar estándares.
En la práctica, si el paquete “Digital Omnibus” incorpora flexibilizaciones en las bases de legitimación o en reglas sobre categorías sensibles, las empresas asentadas en España podrían invocar directamente mayor permisividad para el entrenamiento y explotación de modelos. Ello implicaría un incremento de riesgo regulatorio y judicial, tanto para operadores privados como para administraciones públicas que utilicen IA.
Impacto en la tutela judicial y probatoria
Con un régimen más permisivo respecto al acceso y uso de datos, los litigios por decisiones automatizadas aumentarán y plantearán retos probatorios: cómo acreditar el uso de datos sensibles, qué peritajes técnicos son admisibles, cómo valorar la diligencia en el diseño de algoritmos y la trazabilidad de los modelos. La doctrina y la práctica judicial deberán desarrollar estándares técnicos-legales para evaluar la proporcionalidad de tratamientos y la adecuación de salvaguardas técnicas y organizativas.
Consecuencias para la política regulatoria
Las propuestas de flexibilización abren un dilema clásico: priorizar la competitividad y la adopción tecnológica o proteger de manera firme derechos individuales. La opción intermedia exige medidas compensatorias claras —por ejemplo, obligaciones reforzadas de evaluación de impacto, límites estrictos en el uso de datos sensibles, auditorías independientes y un régimen sancionador efectivo— que conviertan la reducción de fricciones en condiciones realmente seguras para los interesados.
Propuestas doctrinales (redactadas en párrafos corridos)
Es imprescindible que cualquier reforma orientada a facilitar la innovación en IA explique con precisión y por escrito las razones de proporcionalidad que justifican una menor carga normativa, demostrando mediante evidencia empírica que las flexibilizaciones no producen un incremento significativo en riesgos para derechos fundamentales; sin esa justificación, no puede admitirse un relajamiento general de las obligaciones establecidas por el RGPD. Es aconsejable que las exenciones o modulaciones sean temporales y condicionadas a la implantación de medidas de mitigación verificables, tales como evaluaciones de impacto vinculantes, auditorías externas periódicas y requisitos de transparencia reforzada sobre fuentes de datos y criterios algorítmicos. La regulación debe definir con claridad la responsabilidad civil y administrativa de las distintas capas del ecosistema de IA (desarrollador del modelo, proveedor de datos, integrador y operador final), de manera que no queden vacíos de responsabilidad que neutralicen el remedio judicial. Conviene reforzar el papel de las autoridades de protección de datos dotándolas de recursos técnicos y potestades sancionadoras ágiles para intervenir cuando existan indicios sólidos de uso indebido de datos sensibles. Finalmente, desde la enseñanza jurídica y la formación profesional es necesario incorporar módulos obligatorios sobre riesgos algorítmicos, auditoría de modelos y pruebas periciales digitales, para que jueces, fiscales y abogados puedan evaluar con criterio técnico los litigios derivados de decisiones automatizadas.
Comentarios
Publicar un comentario