El RGPD ante la inteligencia artificial: el giro del Ómnibus Digital y sus límites jurídicos
El RGPD ante la inteligencia artificial: el giro del Ómnibus Digital y sus límites jurídicos
30 de octubre de 2026
Santiago Carretero Sánchez, Profesor Titular de Filosofía del Derecho, Universidad Rey Juan Carlos
La relación entre inteligencia artificial y protección de datos personales ha entrado en una nueva fase dentro de la política legislativa europea. El debate ya no se limita a determinar qué obligaciones deben cumplir las empresas que desarrollan sistemas de inteligencia artificial, sino que alcanza una cuestión mucho más profunda: hasta dónde puede flexibilizarse la protección jurídica de los datos personales para facilitar la innovación tecnológica.
La novedad más reciente se ha producido el 21 de octubre de 2026, cuando el Consejo de la Unión Europea acordó su posición negociadora sobre el denominado Ómnibus Digital, un paquete legislativo que pretende simplificar diferentes disposiciones del marco normativo digital europeo. La iniciativa afecta, entre otras normas, al Reglamento General de Protección de Datos (RGPD), a la regulación de la privacidad electrónica y a determinadas disposiciones sobre circulación y utilización de datos.
Conviene precisar su situación jurídica. El texto procede de la propuesta de la Comisión Europea COM(2025) 837, de 19 de noviembre de 2025. El Consejo ha aprobado ahora su mandato negociador, pero el Parlamento Europeo todavía debe establecer su propia posición. Por tanto, no estamos ante una modificación del RGPD que ya se encuentre en vigor, sino ante un procedimiento legislativo abierto que puede experimentar nuevas modificaciones durante la negociación institucional.
La importancia de esta iniciativa reside en que introduce una discusión especialmente relevante para el futuro de la inteligencia artificial: la posibilidad de adaptar las reglas de protección de datos a las necesidades del desarrollo y funcionamiento de los sistemas y modelos de IA. Pero aclaramos que no estamos ante una norma aún.
El interés legítimo y el tratamiento de datos para desarrollar inteligencia artificial
Uno de los aspectos más significativos del texto es la clarificación del posible empleo del interés legítimo como fundamento jurídico para tratar datos personales en el contexto del desarrollo y funcionamiento de sistemas de inteligencia artificial.
La cuestión se encuentra en el artículo 6.1.f) del RGPD, que permite el tratamiento cuando resulta necesario para satisfacer intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que no prevalezcan sobre ellos los intereses o los derechos y libertades fundamentales de la persona afectada.
La posición negociadora del Consejo contempla expresamente esta posibilidad en el ámbito de la inteligencia artificial. Sin embargo, sería un error interpretar esta previsión como una autorización general para utilizar cualquier información personal con la finalidad de entrenar modelos de IA. El propio texto insiste en que el desarrollo o funcionamiento de un sistema de inteligencia artificial no constituye, por sí mismo, un interés legítimo. Es necesario valorar cada tratamiento atendiendo a su finalidad concreta y a las circunstancias del caso.
Esto tiene consecuencias jurídicas importantes. El responsable deberá justificar la existencia del interés perseguido, demostrar la necesidad del tratamiento y efectuar la correspondiente ponderación con los derechos e intereses de las personas afectadas. También deberá atender especialmente a situaciones de vulnerabilidad, como las relativas a menores de edad, y respetar aquellos supuestos en los que la legislación europea o nacional exija expresamente el consentimiento.
La discusión no es enteramente nueva. El Comité Europeo de Protección de Datos ya había abordado esta cuestión en su Dictamen 28/2024, de 17 de diciembre, sobre el tratamiento de datos personales en el contexto de los modelos de inteligencia artificial. Asimismo, en su Dictamen conjunto 2/2026, de 10 de febrero, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos consideraron que el interés legítimo ya podía servir, en determinados supuestos, como base jurídica conforme al RGPD vigente. Por ello, cuestionaron la necesidad de introducir una previsión legislativa específica que pudiera generar una falsa apariencia de autorización general.
Su advertencia tiene especial interés: la utilización del interés legítimo exige una evaluación individualizada y no puede convertirse en una fórmula para legitimar indiscriminadamente la obtención y utilización de datos personales.
Desde una perspectiva práctica, pensemos en una empresa que pretende utilizar información obtenida de distintas fuentes de Internet para entrenar un sistema de inteligencia artificial. No bastaría con afirmar que ese entrenamiento favorece la innovación o mejora el producto. Habría que determinar qué interés concreto se persigue, por qué resulta necesario utilizar esos datos, si existen alternativas menos intrusivas y si los derechos de las personas afectadas pueden prevalecer en el caso concreto.
Esta es precisamente la cuestión que debe enseñarse a los futuros juristas: la innovación tecnológica no elimina la necesidad de fundamentar jurídicamente cada tratamiento de datos.
Datos sensibles, seudonimización y garantías de los derechos fundamentales: apartado independiente
Otro aspecto especialmente relevante es el tratamiento de categorías especiales de datos personales, reguladas en el artículo 9 del RGPD. Nos referimos, entre otros, a datos relativos a la salud, las convicciones religiosas, las opiniones políticas, la orientación sexual o determinadas características biométricas y genéticas.
El texto negociador contempla una excepción para determinados supuestos en los que estas categorías de datos puedan aparecer de manera incidental o residual durante las fases de desarrollo, entrenamiento, prueba o validación de sistemas de inteligencia artificial.
La excepción no supone una autorización para buscar deliberadamente información sensible ni para utilizarla como elemento necesario del entrenamiento. Su justificación se encuentra en que, al trabajar con grandes conjuntos de datos, pueden aparecer accidentalmente informaciones de esta naturaleza que no constituyen el objeto del tratamiento.
Para acogerse a esta posibilidad se exigen garantías técnicas y organizativas dirigidas a evitar ese tratamiento, detectar los datos sensibles y eliminarlos cuando sean identificados. Cuando la supresión resulte técnicamente imposible o desproporcionada, deberán establecerse medidas eficaces para impedir su utilización posterior, su comunicación o su empleo para generar resultados. Además, estas garantías deben mantenerse durante todo el ciclo de vida del sistema.
Junto a ello, merece atención la nueva regulación propuesta sobre seudonimización. El mandato del Consejo mantiene la definición general de dato personal, pero incorpora una disposición específica para determinar cuándo los datos seudonimizados pueden dejar de considerarse datos personales respecto de un tercero que carezca de medios razonablemente utilizables para identificar a la persona afectada.
Esta precisión exige distinguir dos situaciones. Para el responsable que conserva la información adicional que permite identificar a la persona, los datos siguen teniendo la consideración de personales y continúa siendo aplicable el RGPD. Sin embargo, respecto de un tercero que no dispone de medios razonablemente utilizables para identificarla, el tratamiento puede quedar fuera de ese concepto, siempre que concurran las condiciones previstas en la propuesta.
La distinción es fundamental. Seudonimizar no equivale a anonimizar. La seudonimización reduce los riesgos de identificación, pero no elimina automáticamente la naturaleza personal de los datos para todos los intervinientes. La posibilidad de identificación, atendiendo a los medios razonablemente disponibles y a las circunstancias concretas, continúa siendo determinante.
El debate presenta también una dimensión constitucional. La protección de datos personales no es una simple formalidad administrativa ni un obstáculo burocrático para la actividad empresarial. Es un derecho fundamental reconocido en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Su aplicación debe compatibilizarse con otros intereses jurídicamente protegidos, entre ellos la libertad de empresa, la investigación científica y el desarrollo tecnológico, pero sin perder su función de garantía frente a los usos abusivos de la información personal.
El dictamen conjunto del Comité Europeo de Protección de Datos y del Supervisor Europeo de Protección de Datos constituye, en este punto, una lectura especialmente recomendable. Sus autores advierten de los riesgos que determinadas modificaciones inicialmente propuestas podían producir sobre el ámbito de protección del RGPD y reclaman que cualquier flexibilización mantenga garantías efectivas para los titulares de los datos.
Una cuestión de equilibrio jurídico, no de renuncia a los derechos
La iniciativa europea obliga a reflexionar sobre un problema central de la Filosofía del Derecho aplicada a las nuevas tecnologías: la relación entre progreso científico, intereses económicos y derechos fundamentales.
No parece razonable construir un sistema normativo que dificulte de manera innecesaria la investigación y la innovación. Pero tampoco resulta aceptable que la necesidad de disponer de grandes cantidades de información se convierta en una justificación suficiente para reducir la protección de las personas.
El criterio debe seguir siendo la proporcionalidad. La simplificación normativa es legítima cuando aclara obligaciones, reduce cargas innecesarias y facilita el cumplimiento. Deja de serlo cuando transforma las garantías jurídicas en excepciones de alcance excesivo o debilita la capacidad de los ciudadanos para controlar el tratamiento de sus datos.
Para los profesionales del Derecho, este debate tendrá consecuencias prácticas. Los abogados, responsables de protección de datos, asesores de empresas y juristas de las administraciones públicas deberán conocer no solamente las condiciones de licitud del tratamiento, sino también las garantías técnicas, las evaluaciones de riesgos, los mecanismos de oposición y las responsabilidades derivadas de la utilización de sistemas de inteligencia artificial.
La cuestión de fondo permanece abierta: Europa quiere favorecer una inteligencia artificial competitiva, pero debe decidir hasta dónde puede adaptar su modelo de protección de datos sin comprometer los derechos que justifican su propia arquitectura jurídica.
El Ómnibus Digital será una prueba importante de esa decisión. Y también una oportunidad para recordar que el Derecho no debe limitarse a acompañar el desarrollo tecnológico, sino que tiene la responsabilidad de orientar sus condiciones de legitimidad.
Referencias y documentos de consulta
Consejo de la Unión Europea (2026, 21 de octubre). Código normativo digital: el Consejo acuerda su posición para simplificar las normas de protección de datos, privacidad y notificación de incidentes de ciberseguridad. Comunicado actualizado el 22 de octubre de 2026.
https://www.consilium.europa.eu/es/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/Comisión Europea (2025, 19 de noviembre). Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la simplificación del marco legislativo digital. COM(2025) 837 final, procedimiento 2025/0360(COD).
https://eur-lex.europa.eu/procedure/ES/2025_360European Data Protection Board & European Data Protection Supervisor (2026, 10 de febrero). Joint Opinion 2/2026 on the Proposal for a Regulation as regards the simplification of the digital legislative framework (Digital Omnibus).
https://www.edpb.europa.eu/system/files/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdfEuropean Data Protection Board (2024, 17 de diciembre). Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models.
https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdfParlamento Europeo (2026). Simplification of the digital legislative framework – Digital Omnibus (Omnibus VII). Procedimiento legislativo 2025/0360(COD).
https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0360%28COD%29
Propiedad intelectual y licencia de uso
© Santiago Carretero. Todos los derechos reservados, salvo los expresamente concedidos mediante la licencia que se indica a continuación.
Los artículos originales publicados en Blog de la IA Actual están sujetos a la licencia Creative Commons Atribución 4.0 Internacional (CC BY 4.0), disponible en https://creativecommons.org/licenses/by/4.0/deed.es.
Esta licencia permite copiar, distribuir, comunicar públicamente y adaptar los artículos, incluso con fines comerciales, siempre que se reconozca adecuadamente la autoría de Santiago Carretero, se identifique la fuente original mediante un enlace a la publicación, se incluya un enlace a la licencia y se indique si se han realizado modificaciones. En ningún caso podrá sugerirse que el autor respalda al usuario o el uso que este haga de la obra sin autorización expresa.
La licencia se aplica exclusivamente a los contenidos originales sobre los que el autor ostente los derechos necesarios para concederla. Quedan excluidos los textos, imágenes, documentos, citas, marcas y demás materiales de terceros, que se regirán por sus propias condiciones de uso y por la legislación aplicable. La licencia tampoco supone la renuncia a los derechos morales que correspondan al autor conforme a la legislación vigente.
La utilización de los contenidos implica la aceptación de las condiciones de la licencia indicada, sin perjuicio de los usos permitidos por la ley y de los derechos que no hayan sido objeto de concesión expresa.
Comentarios
Publicar un comentario