Anonimización e IA generativa: la consulta del CEPD se cierra hoy

El Comité Europeo de Protección de Datos ha sometido a consulta dos textos que precisan qué puede llamar un software dato anónimo y qué puede recopilar para entrenar una IA. La consulta se cierra este 30 de octubre.

La consulta pública del CEPD (Comité Europeo de Protección de Datos, EDPB en inglés) sobre sus directrices de anonimización y recopilación automatizada de datos para la IA generativa se cierra hoy, 30 de octubre de 2026. Los dos textos se adoptaron el 7 de julio de 2026, según la página que les dedica la CNIL.

Lo que el texto llama dato anónimo

La definición elegida por el CEPD es breve: «Los datos son anónimos si no se refieren a una persona física identificada o identificable». Las directrices proponen tres criterios para comprobarlo, citados por la CNIL: no poder individualizar los registros, no poder correlacionarlos y no poder inferir información. Trasladado a tu software, significa que una base de datos de la que has eliminado los nombres no es anónima por ese solo hecho. Si una fila puede vincularse a una persona porque fue la única que hizo un pedido ese día, si se pueden cruzar dos tablas o si el resto permite deducir quién es, el dato sigue siendo personal y se aplica el reglamento. Piensa en un archivo de clientes al que has quitado los nombres y los correos: si quedan un código postal, una fecha de primer pedido y un importe, se puede localizar en unos minutos a la única persona que vive en ese código postal. El archivo parece anónimo, pero no lo es según la definición.

La recopilación automatizada, definida y regulada

El segundo texto trata de lo que la CNIL describe como «un proceso automatizado de extracción de datos a gran escala que a menudo funciona sin que las personas sean conscientes». El CEPD recomienda prestar atención a los principios de limitación de la finalidad y transparencia. Detrás de esas palabras hay dos ideas sencillas: se recopilan datos para un uso anunciado y las personas afectadas deben poder saber que se han obtenido sus datos. La cuestión interesa primero a quienes entrenan modelos y, después, a cualquier equipo que alimente una herramienta con datos recogidos fuera de su organización: un directorio de empresas extraído para nutrir un motor de recomendaciones, reseñas de clientes recuperadas de un mercado en línea o perfiles públicos recopilados para una herramienta de prospección.

Por qué afecta a quien encarga un software

El asunto sale del laboratorio en cuanto una función de IA se conecta a tu base de clientes, pacientes o socios. Entonces te corresponden tres decisiones, y el documento de requisitos es el lugar adecuado para escribirlas: qué datos se envían a un servicio de IA, en qué forma y quién tiene derecho a leerlos. Escribir «los datos se anonimizan» en un contrato deja de bastar cuando la definición europea exige demostrar los tres criterios. Aquí hemos tratado el tema desde la perspectiva de las responsabilidades, cuando un equipo de agentes trabaja con tus datos, y desde la información debida a tus usuarios cuando tu software debe indicar que es una IA.

Lo que la CNIL ya había escrito sobre los agentes

El 20 de julio de 2026, la CNIL y el Consejo de la IA y de lo Digital publicaron una nota exploratoria sobre los sistemas de IA capaces de actuar sobre su entorno por cuenta de sus usuarios. Señala una «circulación de datos personales entre numerosos servicios» y una «pérdida de control sobre los propios datos personales», y advierte que «estos flujos de datos pueden ser difíciles de comprender para el usuario». La nota también destaca la mayor autonomía de decisión de estos sistemas y sus memorias persistentes, que construyen perfiles hiperpersonalizados. Su conclusión: el marco jurídico existente se aplica, aunque requiere adaptación. No contiene cifras ni establece nuevas obligaciones; es un texto exploratorio que debe leerse como el anuncio de un trabajo futuro.

Qué cambia la herramienta de construcción

Cuando varios agentes trabajan en cadena en un proyecto, la primera pregunta es por dónde pasan los archivos. En Maestro, el código y los documentos permanecen en tu Mac, la copia de seguridad en línea en tu propia cuenta es una opción que eliges y ningún servidor nuestro ve tus proyectos; las claves de acceso viven en el Llavero de macOS. Esto resuelve el recorrido de los archivos, sin resolver el fondo: los datos de tus clientes siguen siendo tuyos y la conformidad de lo que hagas con ellos sigue siendo tu responsabilidad. El detalle de lo que sale de tu equipo está publicado, línea por línea.

En la práctica

Haz esta semana una lista de los datos personales que conserva tu software: nombre, dirección, número de expediente, historial de compras y notas libres. Para cada elemento, escribe para qué sirve y quién lo lee. El documento cabe en una página, puedes revisarlo con tu asesoría jurídica y es mejor que una auditoría a posteriori. Las directrices del CEPD no son definitivas y este artículo no es asesoramiento jurídico: comprueba tu situación con tu asesor.