Newsletter
Protección de datos e IA: las novedades que debe conocer su empresa
La protección de datos e IA protagoniza un otoño de novedades que afectan a empresas, administraciones y entidades públicas. El Comité Europeo de Protección de Datos (CEPD) publicó dos directrices en consulta pública hasta el 30 de octubre de 2026. El Real Decreto 723/2026 está en vigor desde el 5 de octubre de 2026, y la Circular 1/2026 de la APDCAT se aplicará a partir del 8 de noviembre de 2026.
Protección de datos e IA: cuándo los datos son realmente anónimos
Las Directrices 02/2026 del CEPD, adoptadas el 7 de julio de 2026, actualizan los criterios para considerar que unos datos están anonimizados. Los datos anónimos quedan fuera del RGPD, pero no basta con eliminar el nombre o el DNI: si existe una posibilidad razonable de identificar a las personas, siguen siendo datos personales.
La novedad más relevante es que la anonimización se analiza desde la perspectiva de quien accede a los datos. Unos mismos datos pueden ser anónimos para una organización y personales para otra que disponga de información adicional. Las restricciones contractuales ayudan, pero no bastan por sí solas: deben acompañarse de medidas técnicas y organizativas.
Web scraping para entrenar IA generativa
Las Directrices 03/2026 del CEPD, también en consulta hasta el 30 de octubre, tratan la extracción automatizada de información de Internet (web scraping) para entrenar o ajustar modelos de IA generativa. Antes de empezar, el responsable debe definir la finalidad, las fuentes, los criterios de recogida y la base jurídica.
Si se apoya en el interés legítimo (artículo 6.1.f del RGPD), deberá acreditar tres condiciones acumulativas: un interés legítimo claro y concreto, la necesidad del tratamiento y una ponderación favorable frente a los derechos de las personas. Que los datos sean públicos no excluye la aplicación del RGPD. También deben valorarse medidas como los archivos robots.txt o ai.txt, los sistemas CAPTCHA o el inicio de sesión obligatorio.
Protección de datos e IA en videovigilancia: el criterio de la AEPD
La AEPD ha enviado dos advertencias preventivas a dos ayuntamientos que preveían incorporar funciones de IA en sus sistemas de videovigilancia. No hay infracción ni sanción, pero sí un mensaje claro: la normativa no prohíbe la IA, pero exige garantías.
Antes de activar cada función, el responsable debe analizar su objetivo, su necesidad y proporcionalidad, los datos que genera, el plazo de conservación, quién accede a ellos y qué ocurre si el sistema se actualiza. Las funciones innecesarias deben permanecer desactivadas por defecto y, si el riesgo es alto, hay que realizar antes una evaluación de impacto.
Primera brecha notificada causada por un agente de IA
La AEPD ha recibido la primera notificación de una brecha en la que el ataque habría sido ejecutado mediante un agente de IA. Los hechos todavía deben analizarse, pero el caso muestra que este riesgo ya no es meramente teórico. Se recomienda incluir estos ataques en los análisis de riesgos, revisar los tiempos de respuesta, proteger cuentas y credenciales, e implantar sistemas rápidos de detección.
El contexto es de fuerte aumento: la AEPD recibió 3.027 notificaciones de brechas en el primer semestre de 2026, un 138 % más que en el mismo periodo del año anterior.
Algoritmos en el ámbito laboral: nuevas obligaciones
El Real Decreto 723/2026, de 9 de septiembre, obliga a las empresas que usen sistemas algorítmicos o automatizados a informar por escrito a cada persona trabajadora cuando intervengan en decisiones sobre jornada, tareas, salario, promoción, lugar de trabajo, movilidad interna o fin de la relación laboral. En las nuevas relaciones, la información se entrega antes de empezar. En las vigentes, la empresa dispone de 30 días hábiles desde la solicitud.
La AEPD recuerda, además, que una validación meramente formal no basta. Si quien revisa acepta siempre la puntuación del sistema, la decisión podría considerarse automatizada en la práctica.
Nueva Circular 1/2026 de la APDCAT sobre videovigilancia
La Circular 1/2026 de la Autoritat Catalana de Protecció de Dades actualiza el régimen de videovigilancia en Cataluña. Se aplicará a administraciones, entidades del sector público y determinadas entidades privadas. Refuerza el análisis previo y la proporcionalidad, exige incluir estos tratamientos en el Registro de Actividades de Tratamiento (aunque no haya grabación) y actualiza los carteles informativos. También somete la IA y el reconocimiento facial a requisitos adicionales.
¿Quieres conocer todos los detalles?
Haz clic en el botón para acceder al documento completo de la newsletter.
Dudas más habituales
No. Si existe una posibilidad razonable de identificar a las personas, la información sigue siendo dato personal y debe tratarse conforme al RGPD.
No. La AEPD aclara que la normativa no lo prohíbe, pero exige analizar cada función por separado y aplicar garantías adecuadas desde el inicio del proyecto.
En las relaciones laborales vigentes, la empresa dispone de 30 días hábiles desde que la persona lo solicita. En las nuevas, debe informar antes de que empiece la prestación de servicios.
A partir del 8 de noviembre de 2026.
Contacto principal:
Carme Setó
Carme Setó es socia y directora del Área de Derecho Digital, IT y protección de datos y cuenta con una amplia experiencia en la planificación, coordinación y ejecución de operaciones multidisciplinares en los sectores de especialización indicados, tanto para empresas públicas como privadas de ámbito nacional e internacional de distintos sectores de actividad.
