El 21 de julio de 2026, la Agencia Española de Protección de Datos (AEPD) dio un paso decisivo en la regulación práctica de las tecnologías emergentes al publicar una nota técnica pionera. En ella, la autoridad de control analiza en profundidad cómo deben proyectarse dos de los principios fundamentales del Reglamento General de Protección de Datos (RGPD) —la exactitud y la minimización de datos— en los tratamientos que integran sistemas de inteligencia artificial.
Se trata de uno de los primeros trabajos a nivel mundial que aborda esta problemática de forma sistemática y pragmática, proporcionando una hoja de ruta esencial para responsables de tratamiento, encargados y Delegados de Protección de Datos (DPD/DPO).
1. El principio de exactitud contextual: una interpretación evolutiva
Uno de los aportes más significativos del documento es el replanteamiento del concepto de exactitud. Tradicionalmente, este principio se interpretaba de manera rígida: un dato personal debía ser estrictamente veraz, perfecto y estar actualizado al milímetro. Sin embargo, la AEPD aclara que el principio de exactitud no puede entenderse en términos absolutos, sino siempre en relación directa con la finalidad del tratamiento.
El RGPD no exige que cada dato individual sea siempre plenamente veraz en cualquier circunstancia, sino que sea adecuado y suficiente para cumplir el objetivo específico para el cual se trata, garantizando que los posibles errores no generen consecuencias perjudiciales o desproporcionadas para las personas afectadas.
Esta lectura flexible y ponderada supone un cambio de paradigma crucial:
-
Superación del dogma estricto: Exigir una exactitud absoluta e ininterrumpida en grandes volúmenes de información puede resultar técnicamente imposible o generar cargas desproporcionadas.
-
Equilibrio con la minimización: Obligar a una verificación continua de datos accesorios o de bajo impacto podría forzar a las organizaciones a recabar más datos personales de los necesarios, vulnerando directamente el principio de minimización.
2. Calidad del conjunto de datos vs. exactitud individual en Machine Learning
En el desarrollo de modelos de aprendizaje automático (Machine Learning) y algoritmos de IA, la perspectiva cambia de escala. La AEPD subraya que la calidad debe evaluarse a nivel global del dataset (conjunto de datos) y no únicamente registro a registro.
En la fase de entrenamiento y validación de un modelo, factores de conjunto como:
-
La representatividad: Que la muestra refleje fielmente la realidad objetiva sin exclusiones arbitrarias.
-
La ausencia de sesgos: Prevenir desequilibrios estadísticos que puedan dar lugar a discriminaciones o alucinaciones sistemáticas.
-
La relevancia contextual: Asegurar que las variables incluidas aporten valor explicativo al modelo.
Tienen un peso predictivo y ético sustancialmente mayor que la imperfección aislada de un dato concreto. Un modelo alimentado con datos individuales impolutos pero desequilibrados estadísticamente producirá resultados erróneos y discriminatorios.
3. El impacto de los datos no personales en los resultados finales
La nota técnica introduce otra consideración operativa fundamental: los datos no personales o anónimos utilizados para entrenar o ajustar una IA también determinan la idoneidad del tratamiento de datos personales.
Si las variables de entorno, la información meteorológica, los datos macroeconómicos o los conjuntos de datos sintéticos no personales presentan sesgos, falta de integridad o errores estructurales, el resultado final del algoritmo afectará de forma errónea a los titulares de los datos personales procesados. Por ello, la gobernanza de la calidad del dato en proyectos de IA debe abarcar la totalidad del flujo de datos, con independencia de su naturaleza jurídica.
4. Diseño de garantías frente a las limitaciones inherentes de la IA
Por último, la AEPD recuerda que los sistemas de inteligencia artificial poseen limitaciones intrínsecas (probabilidad, alucinaciones en modelos del lenguaje, deriva del modelo o drift). El cumplimiento del RGPD exige reconocer estas limitaciones desde la fase de concepción e implantar medidas técnicas y organizativas de salvaguarda desde el diseño y por defecto (Privacy by Design).
Recomendaciones clave para organizaciones y DPDs:
-
Evaluación del impacto por finalidad: Determinar el umbral de exactitud requerido según el nivel de riesgo del tratamiento (p. ej., un sistema de diagnóstico médico exige un estándar de exactitud inmensamente superior al de un sistema de recomendación de contenidos).
-
Auditorías de calidad y sesgo del dataset: Implementar pruebas periódicas sobre los datos de entrenamiento para identificar y corregir sesgos antes de la puesta en producción.
-
Mecanismos de corrección e impugnación: Garantizar que los interesados puedan ejercer efectivamente sus derechos de rectificación o solicitar intervención humana cuando las decisiones algorítmicas se basen en estimaciones probabilísticas.
-
Documentación de la gobernanza de datos: Registrar y justificar de forma proactiva (accountability) por qué se han seleccionado ciertos conjuntos de datos y qué criterios de minimización se han aplicado para equilibrar el sistema.
