La convergencia entre el Reglamento General de Protección de Datos (GDPR) de la Unión Europea y la expansión acelerada de sistemas de inteligencia artificial está redefiniendo lo que significa cumplir con la normativa de protección de datos. Las organizaciones que operan con datos personales —especialmente aquellas con presencia o vínculos comerciales con Europa— enfrentan una carga de cumplimiento que ya no puede gestionarse con los marcos tradicionales.
El GDPR, vigente desde 2018, nunca fue un requisito estático. Sus principios de minimización de datos, limitación de finalidad y responsabilidad proactiva (accountability) imponen revisiones continuas a medida que cambian las tecnologías de tratamiento. La irrupción de los modelos de lenguaje grande (LLMs) y los sistemas de IA generativa añade una nueva capa de complejidad: ¿cómo se aplica el GDPR cuando el propio sistema de inteligencia artificial puede haber sido entrenado con datos personales, o cuando su output revela información sobre personas identificables?
Por qué la IA desafía los principios clásicos del GDPR
El GDPR fue diseñado bajo una lógica de tratamiento determinístico: un responsable identifica una finalidad, define una base legal, recoge datos y los trata de manera predecible. Los sistemas de IA generativa rompen esa lógica en al menos tres puntos críticos. Primero, la finalidad del tratamiento puede ser difusa o emergente: un modelo entrenado para una tarea puede ser reutilizado en contextos no previstos en el consentimiento original. Segundo, la minimización de datos entra en tensión directa con la lógica de los modelos de gran escala, que requieren volúmenes masivos para su entrenamiento. Tercero, el derecho de supresión —el llamado “derecho al olvido”— resulta técnicamente complejo cuando los datos de una persona ya están incorporados en los pesos de un modelo.
A esto se suma el AI Act de la Unión Europea, en vigor desde agosto de 2024, que establece obligaciones específicas para sistemas de IA de alto riesgo y sistemas de propósito general (GPAI). El cruce entre el AI Act y el GDPR no es meramente burocrático: ambos marcos comparten conceptos —como la evaluación de impacto— pero no están perfectamente alineados en definiciones ni en autoridades competentes, lo que genera zonas grises que las organizaciones deben navegar de forma proactiva.
Cuándo aplica / cuándo NO
El GDPR aplica a cualquier organización que trate datos de residentes en la Unión Europea, independientemente de dónde esté establecida. Esto incluye empresas latinoamericanas que vendan productos o servicios a usuarios europeos, o que monitoreen su comportamiento. Una startup de Buenos Aires con clientes en España, o una plataforma de e-commerce mexicana con operaciones en Alemania, están dentro del ámbito de aplicación. No aplica, en cambio, cuando el tratamiento involucra exclusivamente datos de personas fuera del Espacio Económico Europeo y sin vínculo con el mercado europeo. Sin embargo, esa distinción es cada vez más delgada en entornos de IA donde los datos de entrenamiento pueden provenir de múltiples geografías sin trazabilidad clara.
El espejo latinoamericano: LGPD, Ley 25.326 y LFPDPPP ante la IA
América Latina no está ajena a esta presión dual. Brasil enfrenta el mismo desafío desde la Ley General de Protección de Datos Personales (LGPD, Lei nº 13.709/2018): la Autoridade Nacional de Proteção de Dados (ANPD) ha comenzado a desarrollar orientaciones sobre inteligencia artificial, y en 2024 publicó un documento de referencia sobre IA y protección de datos que reconoce explícitamente la tensión entre el ciclo de vida de los modelos y los derechos de los titulares. En Argentina, la Ley 25.326 de Protección de los Datos Personales —con más de dos décadas de vigencia— muestra sus límites ante tratamientos automatizados sofisticados; el proyecto de actualización que circula en el Congreso Nacional busca incorporar disposiciones sobre decisiones automatizadas y perfilado, siguiendo la huella del artículo 22 del GDPR. México, por su parte, opera bajo la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) y su reglamento, un marco que tampoco previó los desafíos de los sistemas de IA generativa.
La señal que emite Europa no es solo regulatoria: es de mercado. Las empresas latinoamericanas que aspiren a exportar servicios digitales o datos hacia la Unión Europea necesitan demostrar niveles de protección adecuados. Eso implica adoptar prácticas alineadas con el GDPR —Evaluaciones de Impacto de Protección de Datos (DPIA), registros de actividades de tratamiento, designación de Delegado de Protección de Datos cuando corresponde— independientemente de lo que exija la regulación local.
Las tres presiones concretas que escalan en 2025 y 2026
- Evaluaciones de impacto para sistemas de IA: las DPIAs ya no son opcionales para herramientas de IA que traten datos personales a escala o que tomen decisiones con efectos significativos sobre personas.
- Gestión del consentimiento en entornos de IA generativa: las plataformas deben acreditar que los datos usados en entrenamiento contaban con base legal válida, lo que impulsa auditorías retroactivas de datasets.
- Portabilidad y supresión técnica: los equipos de ingeniería deben diseñar mecanismos para responder solicitudes de derechos ARCO/DSAR en sistemas donde los datos no están almacenados de forma discreta sino distribuidos en parámetros del modelo.
La respuesta organizacional más común hasta ahora ha sido incorporar al DPO (Data Protection Officer) en los procesos de adopción de IA desde etapas tempranas, antes de que el sistema entre en producción. El principio de privacy by design, establecido en el artículo 25 del GDPR, cobra una dimensión nueva cuando el objeto de diseño es un sistema de aprendizaje automático.
Para organizaciones latinoamericanas con exposición al mercado europeo o en proceso de actualizar sus marcos locales, el texto del GDPR y las guías del Comité Europeo de Protección de Datos (EDPB) sobre inteligencia artificial —disponibles en edpb.europa.eu— siguen siendo la referencia técnica más completa disponible.
