Consejo de la UE: tus datos para la IA, sin un no rotundo

El no sin condiciones se queda en la propuesta

La propuesta de la Comisión Europea rodeaba de salvaguardas todo uso de datos personales para desarrollar y hacer funcionar inteligencia artificial: minimización de datos al elegir las fuentes y durante el entrenamiento y las pruebas, protección frente a la revelación de los datos que el modelo retiene, transparencia reforzada y, sobre todo, «un derecho incondicional a oponerse al tratamiento de sus datos personales».

El Consejo tacha ese apartado entero. En su lugar escribe que lo anterior «no afecta a la obligación» de quien trata los datos de elegir una base jurídica adecuada entre las del artículo 6 del RGPD. Y añade un apartado nuevo: sea cual sea esa base, el tratamiento para IA queda sujeto a medidas técnicas y organizativas y a salvaguardas, «incluido el derecho de oposición del artículo 21».

La diferencia está en el adjetivo. El derecho del artículo 21 es el que ya existe hoy y admite que quien trata los datos no lo atienda si acredita motivos legítimos imperiosos; el que planteaba la Comisión no tenía esa salida. El Consejo suprime también el considerando 31 de la propuesta. Entre las salvaguardas que había que tener en cuenta al ponderar el interés legítimo, ese considerando citaba el derecho incondicional y el respeto a las indicaciones técnicas con las que un servicio limita que terceros usen sus datos para desarrollar IA.

La IA, con nombre propio en el RGPD

El artículo 88 bis del mandato dice que el tratamiento de datos personales en el desarrollo y el funcionamiento de un sistema o de un modelo de IA puede llevarse a cabo por «un interés legítimo» de quien trata los datos o de un tercero, conforme al artículo 6.1.f del RGPD.

Hoy el RGPD tampoco exige consentimiento cuando hay interés legítimo. La novedad es que la inteligencia artificial quedaría nombrada de forma expresa en el reglamento, en un artículo propio.

Ese artículo ya estaba en la propuesta de la Comisión Europea, como 88 quater. Lo que cambia el Consejo es lo que lo rodea: las salvaguardas del apartado siguiente, el derecho de oposición y la coletilla con la que la Comisión cerraba la frase.

Los menores salen del artículo, no de la norma

La Comisión había escrito que el interés legítimo valdría salvo que otra ley europea o nacional exija consentimiento y salvo que prevalezcan los intereses o los derechos fundamentales de la persona, «en particular si es un niño». El Consejo tacha esa coletilla del artículo 88 bis.

La protección de los menores no desaparece. El artículo 6.1.f al que remite el nuevo texto ya contiene esa ponderación y la mención a los niños, y el Consejo traslada la coletilla casi literal a un considerando nuevo, el 33 bis.

Ese considerando añade algo que la Comisión no tenía: que el desarrollo y el funcionamiento de un sistema o modelo de IA «no constituye en sí mismo un interés legítimo» y que si el artículo 6.1.f es aplicable al tratamiento para IA se decide caso por caso, según la finalidad de fondo del tratamiento. Recuerda también que una autoridad pública que entrena o usa IA para una misión de interés público puede apoyarse en otra base jurídica, la del artículo 6.1.e.

Comisión y Consejo, punto por punto

El documento del Consejo marca en negrita lo que añade y tacha lo que quita de la propuesta de la Comisión. En los cuatro puntos que más afectan a la inteligencia artificial, el resultado no va siempre en la misma dirección.

Datos sensibles: solo los que se cuelan, y a borrarlos

Entrenar un modelo con grandes cantidades de datos arrastra datos sensibles aunque nadie los busque. La Comisión proponía una excepción nueva en el artículo 9 para ese caso, con la obligación de retirarlos. El Consejo la acota: permite solo el tratamiento «incidental» de datos residuales «no buscado» por quien trata los datos, durante el desarrollo y el funcionamiento técnico de un sistema o modelo de IA.

Las obligaciones también suben. Quien trata los datos debe tomar medidas para no recogerlos y, si aun así aparecen, borrarlos sin dilación. Si borrarlos es técnicamente imposible o exige un esfuerzo manifiestamente desproporcionado, tiene que protegerlos para que no se sigan tratando, no se usen para generar resultados y no se cedan a terceros.

El considerando 33 aclara que la excepción no cubre los datos sensibles que el sistema obtiene directamente, o que se le facilitan, durante su despliegue, cuando ya está en uso, ni el uso intencionado de la voz, la imagen u otras características personales más allá de una presencia incidental o residual.

Los datos seudonimizados no cambian de definición

La Comisión quería escribir en el artículo 4.1 del RGPD que una información no es dato personal para quien no puede identificar a la persona a la que se refiere. El Consejo tacha ese cambio del artículo y su considerando 27.

En su lugar deja tres considerandos nuevos, del 27 bis al 27 quater. Dicen que la seudonimización «puede, según las circunstancias del caso», impedir de forma efectiva que personas distintas de quien trata los datos identifiquen al interesado, y remiten a la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE). Para quien seudonimiza, la persona sigue siendo identificable y el RGPD se aplica.

El Consejo encarga además al Comité Europeo de Protección de Datos, el organismo que reúne a las autoridades de protección de datos de los Estados miembros, un dictamen sobre seudonimización y anonimización, con consulta pública previa. El cambio pasa así de norma a criterio interpretativo: los datos seudonimizados no dejan de ser personales por decreto.

Un mandato para negociar, no una ley

La propuesta de la Comisión Europea, con número de expediente 2025/0360 (COD), es de 2025. El Consejo de la Unión Europea, donde se sientan los Gobiernos de los Estados miembros y que legisla junto al Parlamento Europeo, ha fijado ahora su posición. La acordó el 21 de octubre de 2026 el Coreper, el comité de los embajadores de los Estados miembros ante la UE que prepara los acuerdos del Consejo, y el documento que la recoge lleva fecha del 22 de octubre.

El mandato toca más partes del RGPD. Define, por ejemplo, la investigación científica: como ya proponía la Comisión, puede perseguir un interés comercial, y el Consejo exige que se haga «de forma autónoma e independiente» y con resultados «verificables y transparentes».

Es el punto de partida del Consejo para negociar con el Parlamento Europeo; nada de lo que contiene es todavía ley.