En la página 146 del documento ST 14756/26 hay una frase tachada. Decía que tendrías un derecho incondicional a oponerte a que tus datos sirvan para entrenar una inteligencia artificial.
La tachadura es del Consejo de la UE. El texto es el mandato de negociación del Digital Omnibus, que el Comité de Representantes Permanentes aprobó el 21 de octubre y la Secretaría General publicó al día siguiente. Son 179 páginas en las que los Estados fijan su postura para reescribir, entre otras cosas, el Reglamento General de Protección de Datos. El documento usa un código de colores muy honrado. Lo que propuso la Comisión va en letra normal, lo que añade el Consejo en negrita y lo que quita, tachado. No esconde el borrón. Lo enseña.
Este viernes noyb, la organización de Max Schrems, ha titulado que los Estados miembros han aprobado una «expropiación digital» de los europeos en beneficio de las empresas de IA. Schrems añade que es el mayor regalo que los Estados han hecho jamás a las grandes tecnológicas estadounidenses. Según noyb, el nuevo artículo 88 bis convierte en lícito, sin más, cualquier tratamiento de datos hecho en el contexto de la IA, para cualquier fin y con datos recogidos hace décadas.
He leído el artículo. Dice otra cosa.
El apartado 1 del 88 bis establece que el tratamiento de datos personales en el desarrollo y el funcionamiento de un sistema o modelo de IA «podrá» basarse en el interés legítimo del artículo 6.1.f del RGPD, «cuando proceda», salvo que otra norma europea o nacional exija consentimiento y salvo que prevalezcan los derechos del interesado, «en particular cuando el interesado sea un niño» (traducción propia). El considerando 33 bis remata que desarrollar o hacer funcionar una IA no constituye por sí mismo un interés legítimo y que todo se valora caso por caso, según la finalidad. Para ser una expropiación, lleva demasiados «podrá». Los expropiadores serios no piden permiso a la ponderación.
Tampoco hay barra libre con los datos sensibles. La nueva letra k) del artículo 9.2 solo cubre categorías especiales que acaban en el modelo de forma incidental, residual y sin que el responsable lo pretendiera, y solo en el desarrollo y la operación técnica. El considerando 33 excluye el despliegue (lo que tú le cuentas al chatbot no entra). El nuevo apartado 5 obliga a borrar esos datos sin dilación indebida. Y si borrarlos resulta técnicamente imposible, el responsable deberá protegerlos para que no se usen, no salgan en las respuestas y no lleguen a terceros. Tu historial médico sigue dentro de la máquina, pero con bozal. Es lo que en Bruselas llaman salvaguarda.
Hasta aquí, noyb exagera. Ahora viene la página 146.
La Comisión había escrito en su artículo 88c que todo tratamiento de este tipo quedaría sujeto a garantías, entre ellas «un derecho incondicional de oposición» al tratamiento de los datos personales del interesado (traducción literal). El Consejo lo tacha. En su lugar añade un apartado 3 que somete el tratamiento a las medidas técnicas y organizativas adecuadas, «incluido el derecho de oposición del artículo 21» (traducción propia). Parece lo mismo. Es lo contrario.
El artículo 21.1 del RGPD permite oponerse «por motivos relacionados con su situación particular». Y el responsable seguirá tratando los datos si «acredita motivos legítimos imperiosos» que prevalezcan sobre los derechos del interesado. Un derecho que la otra parte puede vencer con un buen informe jurídico no es incondicional. Es negociable. Y quien negocia contra un laboratorio de IA con sede en California es un particular con una dirección de correo.
El adjetivo no ha muerto del todo. Sobrevive en el considerando 31, en una lista de factores que el responsable «debería» tener en cuenta al ponderar, junto a la transparencia reforzada, el respeto a las señales técnicas que limitan el uso de datos por terceros para entrenar IA y las técnicas de privacidad. Pero el Tribunal de Justicia lleva décadas repitiendo que los considerandos explican la norma y no obligan por sí mismos. La Comisión puso el derecho incondicional en el articulado. El Consejo lo ha bajado al preámbulo, que es el sótano de los reglamentos.
Nada de esto lo ha inventado el Consejo. El 17 de diciembre de 2024, a petición de la autoridad irlandesa, el Comité Europeo de Protección de Datos aprobó su Opinión 28/2024. Admitía ya el interés legítimo para entrenar modelos, siempre que se superara la prueba de tres pasos: interés lícito y real, necesidad y ponderación. Entre las medidas que podían inclinar la balanza a favor de la empresa, el párrafo 102 citaba ofrecer desde el principio una exclusión voluntaria incondicional, que fuera más allá del artículo 21. El párrafo 105 sugería respetar los ficheros robots.txt o ai.txt. Es decir, el contrapeso ya existía como recomendación. Lo que el mandato añade es rango. Lo que necesitaban las empresas sube al articulado. Lo que protegía al usuario se queda donde estaba, en el terreno de lo aconsejable.
El resultado es un régimen de exclusión voluntaria en el que todo el trabajo es tuyo. Tienes que averiguar qué empresa ha entrenado qué modelo con qué datos. Tienes que oponerte a cada una. Tienes que alegar tu situación particular. Y después esperar a que el responsable decida si sus motivos son más imperiosos que los tuyos. Es el responsable quien pondera, y es el responsable quien gana si nadie protesta. ¿Cuántos ciudadanos europeos saben siquiera que su comentario de 2014 en un foro de cocina puede ser materia prima?
El mandato no es ley. El Parlamento Europeo todavía no tiene posición, y la presidencia irlandesa abrirá la negociación cuando la tenga. Entonces vendrá el trílogo con la Comisión, y si el texto sale así, la última palabra la tendrá el Tribunal de Justicia. Queda tiempo para devolver el adjetivo a su sitio.
Conservas tu derecho. Lo que te han quitado es el adjetivo.
