Consell de la UE: les teves dades per a la IA, sense un no rotund

El no sense condicions es queda a la proposta

La proposta de la Comissió Europea envoltava de salvaguardes qualsevol ús de dades personals per desenvolupar i fer funcionar intel·ligència artificial: minimització de dades en triar les fonts i durant l'entrenament i les proves, protecció davant la revelació de les dades que el model reté, transparència reforçada i, sobretot, «un dret incondicional a oposar-se al tractament de les seves dades personals».

El Consell ratlla aquest apartat sencer. En lloc seu escriu que tot això «no afecta l'obligació» de qui tracta les dades de triar una base jurídica adequada entre les de l'article 6 de l'RGPD. I hi afegeix un apartat nou: sigui quina sigui aquesta base, el tractament per a IA queda subjecte a mesures tècniques i organitzatives i a salvaguardes, «inclòs el dret d'oposició de l'article 21».

La diferència és en l'adjectiu. El dret de l'article 21 és el que ja existeix avui i admet que qui tracta les dades no l'atengui si acredita motius legítims imperiosos; el que plantejava la Comissió no tenia aquesta sortida. El Consell suprimeix també el considerant 31 de la proposta. Entre les salvaguardes que calia tenir en compte en ponderar l'interès legítim, aquest considerant citava el dret incondicional i el respecte a les indicacions tècniques amb què un servei limita que tercers facin servir les seves dades per desenvolupar IA.

La IA, amb nom propi a l'RGPD

L'article 88 bis del mandat diu que el tractament de dades personals en el desenvolupament i el funcionament d'un sistema o d'un model d'IA es pot dur a terme per «un interès legítim» de qui tracta les dades o d'un tercer, d'acord amb l'article 6.1.f de l'RGPD.

Avui l'RGPD tampoc no exigeix consentiment quan hi ha interès legítim. La novetat és que la intel·ligència artificial quedaria anomenada de manera expressa al reglament, en un article propi.

Aquest article ja era a la proposta de la Comissió Europea, com a 88 quater. El que canvia el Consell és el que l'envolta: les salvaguardes de l'apartat següent, el dret d'oposició i l'afegitó amb què la Comissió tancava la frase.

Els menors surten de l'article, no de la norma

La Comissió havia escrit que l'interès legítim valdria llevat que una altra llei europea o nacional exigís consentiment i llevat que prevalguessin els interessos o els drets fonamentals de la persona, «en particular si és un infant». El Consell ratlla aquest afegitó de l'article 88 bis.

La protecció dels menors no desapareix. L'article 6.1.f al qual remet el nou text ja conté aquesta ponderació i l'esment dels infants, i el Consell trasllada l'afegitó gairebé literalment a un considerant nou, el 33 bis.

Aquest considerant hi afegeix una cosa que la Comissió no tenia: que el desenvolupament i el funcionament d'un sistema o model d'IA «no constitueix en si mateix un interès legítim» i que si l'article 6.1.f és aplicable al tractament per a IA es decideix cas per cas, segons la finalitat de fons del tractament. Recorda també que una autoritat pública que entrena o fa servir IA per a una missió d'interès públic es pot acollir a una altra base jurídica, la de l'article 6.1.e.

Comissió i Consell, punt per punt

El document del Consell marca en negreta el que afegeix i ratlla el que treu de la proposta de la Comissió. En els quatre punts que més afecten la intel·ligència artificial, el resultat no va sempre en la mateixa direcció.

Dades sensibles: només les que s'escolen, i cal esborrar-les

Entrenar un model amb grans quantitats de dades arrossega dades sensibles encara que ningú no les busqui. La Comissió proposava una excepció nova a l'article 9 per a aquest cas, amb l'obligació de retirar-les. El Consell l'acota: només permet el tractament «incidental» de dades residuals «no buscat» per qui tracta les dades, durant el desenvolupament i el funcionament tècnic d'un sistema o model d'IA.

Les obligacions també s'endureixen. Qui tracta les dades ha de prendre mesures per no recollir-les i, si tot i així apareixen, esborrar-les sense dilació. Si esborrar-les és tècnicament impossible o exigeix un esforç manifestament desproporcionat, les ha de protegir perquè no se'n continuï el tractament, no es facin servir per generar resultats i no es cedeixin a tercers.

El considerant 33 aclareix que l'excepció no cobreix les dades sensibles que el sistema obté directament, o que se li faciliten, durant el desplegament, quan ja està en ús, ni l'ús intencionat de la veu, la imatge o altres característiques personals més enllà d'una presència incidental o residual.

Les dades pseudonimitzades no canvien de definició

La Comissió volia escriure a l'article 4.1 de l'RGPD que una informació no és una dada personal per a qui no pot identificar la persona a qui es refereix. El Consell ratlla aquest canvi de l'article i el seu considerant 27.

En lloc seu deixa tres considerants nous, del 27 bis al 27 quater. Diuen que la pseudonimització «pot, segons les circumstàncies del cas», impedir de manera efectiva que persones diferents de qui tracta les dades identifiquin l'interessat, i remeten a la jurisprudència del Tribunal de Justícia de la Unió Europea (TJUE). Per a qui pseudonimitza, la persona continua sent identificable i l'RGPD s'hi aplica.

El Consell encarrega a més al Comitè Europeu de Protecció de Dades, l'organisme que reuneix les autoritats de protecció de dades dels estats membres, un dictamen sobre pseudonimització i anonimització, amb consulta pública prèvia. El canvi passa així de norma a criteri interpretatiu: les dades pseudonimitzades no deixen de ser personals per decret.

Un mandat per negociar, no una llei

La proposta de la Comissió Europea, amb número d'expedient 2025/0360 (COD), és del 2025. El Consell de la Unió Europea, on seuen els governs dels estats membres i que legisla juntament amb el Parlament Europeu, ha fixat ara la seva posició. La va acordar el 21 d'octubre de 2026 el Coreper, el comitè dels ambaixadors dels estats membres davant la UE que prepara els acords del Consell, i el document que la recull porta data del 22 d'octubre.

El mandat toca més parts de l'RGPD. Defineix, per exemple, la recerca científica: com ja proposava la Comissió, pot perseguir un interès comercial, i el Consell exigeix que es faci «de manera autònoma i independent» i amb resultats «verificables i transparents».

És el punt de partida del Consell per negociar amb el Parlament Europeu; res del que conté no és encara llei.