El cumplimiento global en materia de IA ya no es solo una cuestión jurídica

1. Establecer el derecho a entrenar con datos de clientes

Una empresa tecnológica recopila información de usuarios de la UE, envía determinados conjuntos de datos a un proveedor de servicios estadounidense y los utiliza para mejorar un modelo de IA que ofrece en varios mercados. El esquema resulta comercialmente habitual, pero su licitud depende de decisiones que pueden haber tomado equipos distintos con meses de diferencia: qué se informó a los usuarios, por qué se conservaron determinados registros, si el proveedor puede reutilizarlos y qué ingenieros pueden acceder a ellos. Los asesores jurídicos no pueden evaluar el esquema de forma fiable a partir únicamente de un contrato con el proveedor. El punto de partida debe ser una descripción suficientemente precisa de la actividad de entrenamiento propuesta que permita distinguirla de la prestación del servicio para el que se recabó la información.

Conforme al RGPD, la base de licitud del artículo 6 y el cumplimiento del principio de limitación de la finalidad deben acreditarse con independencia de cualquier mecanismo de transferencia internacional. La necesidad contractual es un criterio exigente; añadir la mejora del modelo a las condiciones generales no la convierte en necesaria para ejecutar el contrato del usuario. El interés legítimo exige un interés definido, una evaluación de necesidad y una ponderación frente a los derechos y las expectativas razonables de las personas. Para la empresa del ejemplo, mejorar una función de soporte delimitada con precisión plantea un supuesto distinto al de aportar conversaciones privadas de clientes al modelo de propósito general de un proveedor. El Dictamen 28/2024 del CEPD respalda un análisis caso por caso del desarrollo y el despliegue de la IA, en lugar de presumir que la innovación comercial justifica el tratamiento. EDPB Opinion 28/2024.

La limitación de la finalidad requiere un razonamiento propio. Cuando resulte aplicable el artículo 6, apartado 4, la empresa debe examinar la relación entre la finalidad original y la propuesta, el contexto de la recogida, la naturaleza de los datos, las consecuencias para las personas y las garantías disponibles. Una referencia genérica a la mejora de los servicios no basta para resolver esa evaluación. Una reutilización incompatible no puede subsanarse simplemente invocando el interés legítimo; requiere una vía jurídica adecuada, como un consentimiento válido para la nueva finalidad, o un rediseño. El consentimiento, cuando se utilice, debe ser específico, informado, libre y revocable. La información de categorías especiales exige además una condición aplicable del artículo 9. Por tanto, los registros de clientes que contengan información sobre salud o revelen opiniones políticas requieren algo más que una evaluación ordinaria del interés legítimo. GDPR, Articles 5–7 and 9.

Estas distinciones deben orientar la selección del conjunto de datos antes de que comience el entrenamiento. La empresa debe determinar si el objetivo puede alcanzarse con menos registros, campos filtrados o información verdaderamente anónima. Eliminar únicamente los nombres no acredita el anonimato, y no puede presumirse automáticamente que un modelo entrenado queda fuera del ámbito del RGPD: los riesgos de extracción e identificación requieren pruebas. Cuando sea probable que el tratamiento entrañe un alto riesgo, la evaluación de impacto relativa a la protección de datos debe realizarse con carácter previo. Dicha evaluación debe abordar cómo se atenderán los derechos aplicables de acceso, oposición y supresión en los registros de origen, las copias de entrenamiento y los resultados del modelo, en lugar de suponer que eliminar una cuenta resuelve todas las consecuencias. EDPB AI opinion; GDPR, Articles 12–22 and 35.

2. Evaluar la transferencia y el acceso posterior

Una vez que el uso propuesto resulta defendible, el capítulo V exige una evaluación separada de la transferencia. El Marco de Privacidad de Datos UE-EE. UU. (DPF) sigue siendo una vía de adecuación reconocida según los materiales oficiales revisados para este artículo, pero cubre las transferencias que cumplen los requisitos hacia organizaciones estadounidenses adheridas, no a cualquier destinatario ubicado en Estados Unidos. El exportador debe verificar la adhesión vigente de la entidad jurídica receptora y el alcance de la certificación correspondiente. Una transferencia cubierta no requiere CCT ni una evaluación de impacto de la transferencia al estilo de las CCT por el mero hecho de dirigirse a Estados Unidos. Siguen siendo aplicables otras obligaciones del RGPD, incluido un contrato conforme al artículo 28 cuando el destinatario sea un encargado del tratamiento. EDPB DPF business FAQ.

Cuando el DPF no cubra el esquema, pueden utilizarse las cláusulas contractuales tipo (CCT), con sujeción a su ámbito de aplicación y a las funciones reales de las partes. La cláusula 14 exige una evaluación documentada de si la legislación y las prácticas pertinentes del país de destino podrían impedir el cumplimiento de las cláusulas. Esta evaluación de impacto de la transferencia debe referirse al destinatario real, la cadena de tratamiento, los datos y las condiciones de acceso. Si unas garantías complementarias eficaces no pueden subsanar una deficiencia detectada, la transferencia no puede realizarse sobre esa base. El cifrado en tránsito y en reposo puede aportar una seguridad valiosa sin resolver las inquietudes sobre el acceso gubernamental cuando el destinatario debe tratar datos legibles y controla las claves. Esa distinción incide directamente en el entrenamiento de modelos en Estados Unidos: el compromiso contractual de proteger la información debe evaluarse frente a la capacidad técnica del proveedor para hacerlo. Commission SCC guidance; EDPB supplementary-measures recommendations.

El mismo análisis debe extenderse al acceso posterior. Mantener la base de datos en Europa no impide que se produzca una transferencia del capítulo V cuando los datos personales se ponen a disposición de otro responsable o encargado en un tercer país, incluida una empresa del grupo que presta soporte de ingeniería. Por el contrario, un empleado del mismo responsable de la UE que accede a los datos durante un viaje al extranjero no es automáticamente un importador distinto; el CEPD distingue esa situación sin perjuicio de las obligaciones de seguridad del responsable. Para la operación de entrenamiento propuesta, el mapa pertinente incluye, por tanto, el acceso de soporte, los subencargados y las comunicaciones ulteriores, identificando la entidad receptora en cada fase. «Alojamiento en la UE» es una expresión demasiado imprecisa para describir ese esquema. EDPB Guidelines 05/2021.

Los procedimientos irlandeses relativos a TikTok ilustran las consecuencias de un análisis de transferencias insuficiente, aunque se refieren a China y no resuelven la licitud del entrenamiento de IA en Estados Unidos. En mayo de 2025, la DPC anunció multas por 530 millones de euros y medidas correctoras relativas a las transferencias de datos de usuarios del EEE y a la transparencia. La sentencia del Tribunal Superior de 3 de junio de 2026 desestimó las impugnaciones contra las conclusiones subyacentes sobre el artículo 46 y el artículo 13, apartado 1, letra f). Su sentencia de 30 de junio identificó cuestiones relativas al cálculo de la multa para su remisión al TJUE. Por otra parte, el Tribunal Supremo había mantenido la suspensión de las órdenes correctoras hasta que se resolvieran los procedimientos ante el Tribunal Superior. Los materiales revisados no acreditan una resolución posterior de esas cuestiones ni la ejecutabilidad actual de cada orden correctora; no debe presumirse ni que el recurso sobre el fondo siga totalmente pendiente ni que el resultado de la ejecución haya concluido por completo. DPC announcement; June 3 judgment; June 30 judgment.

3. Asignar obligaciones a lo largo de la cadena de suministro de la IA

El Reglamento de IA plantea una cuestión distinta: qué se desarrolla o despliega, con qué finalidad y por quién. Enviar datos personales al extranjero para el entrenamiento no convierte por sí mismo un sistema en un sistema de alto riesgo. Una aplicación de atención al cliente y un sistema utilizado para clasificar candidatos a un empleo pueden basarse en modelos subyacentes similares y, sin embargo, estar sujetos a obligaciones sustancialmente diferentes. Tampoco la adquisición del acceso a un modelo convierte necesariamente al comprador en su proveedor. En el ejemplo, los asesores jurídicos deben distinguir entre el proveedor del modelo ascendente, cualquier proveedor del sistema descendente y la organización que despliega la aplicación. Los cambios en la marca, la finalidad prevista o el propio sistema pueden obligar a reconsiderar esa asignación. EU AI Act.

Los proveedores de modelos de IA de uso general (GPAI) están sujetos a obligaciones relativas a la documentación técnica, la información para los proveedores descendentes, las políticas en materia de derechos de autor y los resúmenes públicos del contenido de entrenamiento, sin perjuicio de las exenciones aplicables. Los proveedores de modelos que presentan riesgo sistémico asumen obligaciones adicionales de evaluación, gestión de riesgos, notificación de incidentes y ciberseguridad. Los proveedores de sistemas de alto riesgo tienen un conjunto separado de responsabilidades, que incluye la gestión de riesgos, la gobernanza de datos, la documentación y los requisitos de conformidad; los responsables del despliegue tienen obligaciones vinculadas al uso y la supervisión de dichos sistemas. Por ello, una empresa que integra un modelo externo necesita información suficiente del proveedor para cumplir sus propias obligaciones, conservando al mismo tiempo la responsabilidad por los datos de clientes que aporta. Una garantía ascendente de cumplimiento del Reglamento de IA no proporciona una base de licitud del RGPD para esa aportación. Commission GPAI guidance; AI Act overview.

Los plazos exigen ahora especial atención. El Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, entró en vigor el 27 de julio de 2026. El calendario modificado sitúa los principales requisitos de alto riesgo del anexo III en el 2 de diciembre de 2027 y los correspondientes requisitos relativos a productos del anexo I en el 2 de agosto de 2028. Estas prórrogas no aplazan la totalidad del Reglamento: las prohibiciones aplicables, las obligaciones relativas a los modelos GPAI y los requisitos de transparencia se rigen por sus propios calendarios, con las disposiciones transitorias pertinentes. Los modelos GPAI introducidos en el mercado antes del 2 de agosto de 2025 tienen además un plazo de cumplimiento distinto, el 2 de agosto de 2027. Por consiguiente, el plan de implementación de la empresa debe identificar la disposición, la función regulada, la versión del producto y la transición aplicable, en lugar de asignar un único «plazo del Reglamento de IA» a todo el negocio. 2026 amending Regulation; Commission implementation guidance; GPAI transition.

4. Lograr que la evaluación jurídica rija la operación

En el proyecto de entrenamiento de la UE a EE. UU., la aprobación debe vincularse a un esquema operativo definido. La dirección de producto debe asumir la finalidad y el conjunto de datos propuestos; ingeniería debe demostrar que las exclusiones, los límites de conservación y las restricciones de acceso funcionan; compras debe obtener compromisos exigibles del proveedor; y los equipos jurídico y de privacidad deben dejar constancia de las condiciones en las que el esquema es admisible. Si el proveedor se reserva el derecho a entrenar sus propios modelos, ese uso debe evaluarse por sus propios méritos. Calificar al proveedor como encargado del tratamiento en el contrato no basta para determinar su función cuando este decide una finalidad propia. La empresa debe resolver esa cuestión antes de transferir los registros, ya que una subsanación contractual posterior al entrenamiento puede ofrecer un control práctico limitado sobre lo que ya ha ocurrido.

La norma ISO/IEC 42001 puede estructurar el sistema de gestión de la IA, mientras que la ISO/IEC 23894 y el Marco de Gestión de Riesgos de IA del NIST ofrecen métodos para evaluar y gestionar el riesgo. Su valor reside en hacer que las responsabilidades de revisión y la evidencia de respaldo sean replicables en distintos productos. No autorizan por sí mismos el tratamiento ni las transferencias internacionales. Tampoco debe presentarse un certificado ISO como una aprobación integral conforme al Reglamento de IA: cualquier presunción legal de conformidad depende del mecanismo jurídico pertinente y de los requisitos que abarque. Para este proyecto, el resultado útil es un registro actualizado que vincule el conjunto de datos y la finalidad aprobados con las condiciones del proveedor, las pruebas de acceso, las evaluaciones del modelo y las decisiones de lanzamiento. ISO/IEC 42001; ISO/IEC 23894; NIST AI RMF.

La revisión de proveedores también puede poner de manifiesto una cuestión independiente en materia de sanciones. Cuando resulten aplicables la jurisdicción estadounidense y las normas de sanciones pertinentes, verificar el nombre del proveedor es insuficiente si personas bloqueadas poseen, directa o indirectamente y de forma agregada, el 50 por ciento o más. La regla de titularidad de la OFAC puede alcanzar a una entidad no incluida en las listas; las autorizaciones aplicables y la operación concreta siguen requiriendo examen. Esto forma parte de una diligencia debida más amplia sobre terceros, sin confundir la conformidad en materia de sanciones con el cumplimiento en materia de privacidad o de IA. OFAC ownership guidance.

El esquema aprobado debe seguir siendo revisable a medida que cambie. Una nueva fuente de entrenamiento, una ubicación de soporte adicional, una reutilización ampliada por parte del proveedor o el despliegue en procesos de selección de personal pueden invalidar supuestos que eran razonables en el momento del lanzamiento. La revisión debe producirse antes de que esos cambios surtan efecto, junto con pruebas periódicas de los controles existentes. La dirección necesita saber quién puede detener el tratamiento afectado, qué evidencia respaldaría su reanudación y qué cuestiones pendientes requieren asesoramiento jurídico cualificado. Así, la evaluación jurídica original sigue siendo útil durante toda la vida del producto, incluso cuando la presión comercial favorece avanzar antes de disponer de respuestas completas.

Acerca de Meridian Strategy Partners

Meridian Strategy Partners ofrece apoyo de asesoría empresarial y de cumplimiento regulatorio, con especial atención a la entrada en el mercado estadounidense, las operaciones empresariales transfronterizas, la gobernanza tecnológica y la evaluación de riesgos regulatorios.

Fuentes

• RGPD (Reglamento (UE) 2016/679), EUR-Lex.
• Marco de Privacidad de Datos UE-EE. UU., Departamento de Comercio de EE. UU.; Preguntas frecuentes del CEPD para empresas, versión 2.0.
• Cláusulas contractuales tipo para transferencias internacionales, Comisión Europea.
• DPC de Irlanda, anuncio de la decisión sobre TikTok, mayo de 2025; Tribunal Superior, 3 de junio de 2026; Tribunal Superior, 30 de junio de 2026.
• Reglamento de IA de la UE (Reglamento (UE) 2024/1689), EUR-Lex, modificado por el Reglamento (UE) 2026/1744; Panorama de aplicación de la Comisión.
• ISO/IEC 42001:2023.
• ISO/IEC 23894:2023.
• Marco de Gestión de Riesgos de IA del NIST.
• Lista de Nacionales Especialmente Designados y Personas Bloqueadas de la OFAC.
• Orientaciones de la OFAC sobre entidades propiedad de personas bloqueadas (regla del 50 por ciento).
• Dictamen 28/2024 del CEPD sobre modelos de IA; Directrices 05/2021 sobre transferencias internacionales; Recomendaciones 01/2020 sobre medidas complementarias.
• Comisión Europea, orientaciones para proveedores de GPAI.

Aviso legal: Este artículo se ofrece únicamente con fines informativos generales y no constituye asesoramiento jurídico. Los requisitos regulatorios y los plazos de aplicación pueden cambiar. Las empresas deben obtener asesoramiento de abogados debidamente cualificados en relación con sus circunstancias específicas. Los supuestos hipotéticos analizados no describen encargos reales de clientes.