La revisión del RGPD en el paquete “Digital Omnibus”: análisis jurídico
La revisión del RGPD en el paquete “Digital Omnibus”: análisis jurídico
Autor: Santiago Carretero Sánchez, Profesor Titular de Filosofía del Derecho
Resumen de la noticia
El 19 de noviembre de 2025 la Comisión Europea presentó el denominado paquete “Digital Omnibus”, que incluye propuestas para aplazar ciertas obligaciones del Reglamento sobre Inteligencia Artificial (AI Act) y, de manera relevante para esta entrada, modificar aspectos prácticos del Reglamento General de Protección de Datos (RGPD) con el fin de facilitar el uso de datos —incluyendo datos personales para el entrenamiento de modelos de IA— y reducir las cargas administrativas asociadas al consentimiento y a los mecanismos de gestión de cookies.
Análisis jurídico
La propuesta, en sus líneas esenciales, plantea una reinterpretación operativa del equilibrio clásico entre innovación y protección de derechos. Jurídicamente cabe identificar, al menos, tres vectores de riesgo: (i) la erosión del principio de minimización de datos si se facilita el acceso masivo a datos personales para entrenamiento de modelos; (ii) la dilución del requisito de consentimiento informado cuando se introducen excepciones o facilidades para tratamientos sin consentimiento explícito; y (iii) la inseguridad normativa derivada del aplazamiento temporal de obligaciones de «alto riesgo» del AI Act, que puede generar lagunas regulatorias en sectores sensibles.
Desde la perspectiva dogmática del RGPD, permitir un uso más amplio de datos para entrenamiento plantea tensiones con los principios de finalidad, minimización y limitación del plazo de conservación. El RGPD admite bases legítimas distintas del consentimiento (interés legítimo, cumplimiento de obligación legal, ejecución de contrato), pero la utilización de datos para entrenar modelos de IA —especialmente cuando hay riesgo de reidentificación o uso de categorías especiales— exige una evaluación estricta de proporcionalidad y una documentación exhaustiva que, si no se exige de forma efectiva, vacía de contenido dichas garantías.
En materia de derechos fundamentales, la cuestión no es solo técnica: el tratamiento amplio de datos para IA afecta al derecho a la privacidad, a la protección de datos y, en contextos como selección de personal, crédito o salud, a la no discriminación y al derecho a la tutela judicial efectiva. La facilidad para procesar datos personales sin consentimiento aumenta el riesgo de impacto adverso sobre grupos vulnerables y complica la trazabilidad de decisiones automatizadas.
Consecuencias prácticas y problemas futuros
Para operadores jurídicos y responsables de tratamiento, las propuestas suponen un incremento de la incertidumbre regulatoria: por un lado, potencian la disponibilidad de datos para actuar competitivamente en proyectos de I+D; por otro, imponen la necesidad de reforzar controles internos (evaluaciones de impacto de protección de datos, registros de actividades, medidas de mitigación técnica como pseudonimización y pruebas de robustez) para justificar jurídicamente el uso ampliado de datos.
Para las autoridades de control y los tribunales, el reto será doble: (i) mantener la coherencia interpretativa del RGPD frente a cambios normativos que flexibilicen requisitos de consentimiento o anonimización; y (ii) asegurar que las flexibilizaciones no se traduzcan en una renuncia práctica a la protección efectiva de derechos.
Propuestas doctrinales que se están realizando
Es aconsejable que, en sede de negociación parlamentaria y de Consejo, se adopten cláusulas de salvaguarda que condicionen cualquier flexibilización a límites estrictos: 1) definición clara y exhaustiva de “uso legítimo” para entrenamiento de IA, con prohibiciones expresas sobre la utilización de categorías especialmente sensibles salvo en supuestos habilitados y previamente autorizados por autoridad competente; 2) obligación de realizar evaluaciones de impacto de protección de datos (EIPD) reforzadas y públicamente disponibles cuando los datos se empleen para entrenar modelos con aplicación en ámbitos de alto impacto; 3) exigencia de medidas técnicas de mitigación (pseudonimización, minimización por diseño) como condiciones de legalidad; 4) establecimiento de mecanismos de acceso efectivo y recursos judiciales para las personas afectadas; 5) mantenimiento del deber de transparencia y documentación exigible a las empresas que utilicen datos para IA; y 6) calendario claro y vinculante para la aplicación de obligaciones del AI Act, evitando aplazamientos indeterminados que generen inseguridad jurídica.
Comentarios
Publicar un comentario