Bruselas estudia una reinterpretación del RGPD que permitiría a las empresas entrenar modelos de inteligencia artificial con datos personales sin pedir consentimiento. La pieza clave no es un reglamento nuevo, sino el mandato negociador que el Consejo cerró el pasado 21 de octubre, cuando casi nadie miraba.
El Comité de Representantes Permanentes (Coreper) —los embajadores de los Veintisiete ante la UE— acordó ese día la postura con la que el Consejo negociará con el Parlamento Europeo el Digital Omnibus, el paquete de simplificación normativa digital. El documento tiene 179 páginas y retoca cuatro normas a la vez: el RGPD, la directiva ePrivacy (la de las cookies), el Reglamento de Datos y la directiva de ciberseguridad NIS2.
Del consentimiento a la ponderación: el nuevo artículo 88 bis
Conviene deshacer un equívoco antes de seguir. El RGPD no exige consentimiento para todo; permite tratar datos personales si existe un interés legítimo y los derechos del afectado no pesan más. Lo que hace el Consejo es escribir ese interés legítimo expresamente para la IA mediante un nuevo artículo 88 bis. La diferencia es sutil en la forma y enorme en la práctica: lo que hasta ahora obligaba a ponderar caso por caso pasa a ser una suerte de salvoconducto sectorial. El texto consolidado del reglamento, disponible en EUR-Lex, no menciona la IA en ningún artículo.
El detalle que más ruido va a generar está en la página 145 del documento. Allí el Consejo tacha salvaguardas que había añadido la Comisión Europea: el derecho de oposición incondicional y la excepción expresa para menores y para normas nacionales que exigen consentimiento. El freno que había puesto el Ejecutivo comunitario desaparece en la versión de los Estados miembros. No es un volantazo de Bruselas: es un volantazo de los Gobiernos.
Los datos sensibles que se cuelan y la letra pequeña de la investigación
El texto añade una excepción para el tratamiento incidental y residual de datos sensibles que aparezcan durante el desarrollo técnico del sistema, siempre que la empresa no pretendiera recogerlos. La compañía estaría obligada a evitarlos, borrarlos en cuanto los detecte y protegerlos. Eso sí, no cubre lo que el usuario escribe directamente en un chatbot ni el uso intencionado de voz o imagen. La letra pequeña importa.
También se facilita la investigación científica, incluso la de empresas privadas con fines comerciales, si es autónoma e independiente y la compañía justifica en cada caso que sus resultados son verificables y transparentes. Y se propone que los datos seudonimizados dejen de ser personales para el tercero que los recibe si no puede identificar a nadie; si puede, siguen bajo el paraguas del RGPD. Nada de esto es ley todavía: el Parlamento Europeo aún no tiene postura y el trílogo —la negociación a tres entre Comisión, Consejo y Eurocámara que cierra la versión final de cada norma— no ha empezado. Tampoco conviene confundir esta reforma con el AI Act, el reglamento de inteligencia artificial que va por otra vía y que sigue plenamente vigente.
El giro no lo firma la Comisión: lo firman los Gobiernos, incluido el español, que en el Consejo han desactivado los límites que Bruselas puso sobre la mesa.
En España, la pelota cae del lado de la Agencia Española de Protección de Datos (AEPD), una de las autoridades más activas de Europa en sanciones por tratamiento indebido. Las startups de IA con sede en Madrid y Barcelona, los modelos de riesgo de la banca y los asistentes conversacionales de las telecos son los primeros interesados en que el interés legítimo se aclare. También los primeros expuestos si la Eurocámara recompone los límites que el Consejo ha rebajado. España aprobó su Estrategia Nacional de Inteligencia Artificial (ENIA) hace años y la ha ido actualizando; ahora el debate es qué letra pequeña defiende en Bruselas. Como miembro del Consejo, es corresponsable del mandato que se negocia.
El Eje del Poder Europeo
La geometría de esta negociación no es la habitual. Alemania y Francia llevan meses empujando una agenda de soberanía digital que pasa por aligerar la carga regulatoria sobre sus campeones industriales y sobre los modelos de IA que quieren desarrollar. Irlanda, sede europea de las grandes tecnológicas estadounidenses, tiene un interés directo en que el interés legítimo sea lo más ancho posible. En el otro extremo, la comisión de Libertades Civiles de la Eurocámara (LIBE) ha defendido históricamente el régimen estricto y todavía no ha fijado su posición formal. Los países del sur, España e Italia incluidas, se mueven entre el discurso de la protección de datos y la necesidad de no quedarse fuera de la carrera de la IA. Cosas de la geometría variable europea.
La lectura a cinco o diez años depende de dónde se ponga el foco. Si el artículo 88 bis prospera tal cual, la UE habrá movido el centro de gravedad desde el consentimiento individual hacia la ponderación empresarial, y el RGPD dejará de ser el estándar de oro que Bruselas vendió al mundo en 2018. El grueso de las capitales han optado por la prudencia, pero nadie quiere cargar con la factura de haber frenado a la industria. Si la Eurocámara recompone los límites, el trílogo se alargará y el Digital Omnibus podría no cerrarse antes de que acabe el año, según el calendario que maneja Bruselas. El precedente más cercano es la sentencia Schrems II del TJUE, que en 2020 tumbó el escudo de privacidad con Estados Unidos y demostró que los tribunales europeos pueden deshacer por la vía judicial lo que los Gobiernos pactan por la vía política.
Lo que observamos es un patrón que se repite: cada vez que la UE afronta una carrera tecnológica, la protección de datos se convierte en variable de ajuste. La próxima ventana crítica es la posición formal de la Eurocámara, que llegará previsiblemente en las próximas semanas. Hasta entonces, el texto del 21 de octubre es solo un mandato. Y un mandato, en Bruselas, es lo más parecido a una promesa: vale lo que valga la firma que lo sostiene. Dejémoslo en un ‘ya veremos’.
