La organización de privacidad noyb advierte que la medida podría beneficiar especialmente a gigantes como Google, Meta y OpenAI, que acumulan enormes cantidades de datos de sus usuarios. El Parlamento Europeo todavía debe pronunciarse.
Durante años, la Unión Europea construyó su reputación como una de las regiones más exigentes del mundo en materia de protección de datos personales. El Reglamento General de Protección de Datos (GDPR), vigente desde 2018, se convirtió en una referencia internacional y obligó a las grandes plataformas tecnológicas a modificar sus prácticas de recopilación y tratamiento de información.
Ahora, esa arquitectura regulatoria enfrenta una modificación significativa.
El miércoles 21 de octubre de 2026, los Estados miembros de la Unión Europea acordaron una posición común sobre el paquete legislativo conocido como Digital Omnibus, una iniciativa destinada a simplificar diferentes regulaciones digitales.
Entre las modificaciones propuestas aparece una disposición que permitiría a las empresas invocar el denominado interés legítimo para utilizar datos personales en el desarrollo y funcionamiento de sistemas de inteligencia artificial, sin tener que obtener necesariamente el consentimiento de cada persona.
La organización europea de defensa de la privacidad noyb, fundada por el activista y abogado Max Schrems, cuestionó duramente la iniciativa.
En un comunicado publicado el 23 de octubre, la organización calificó la propuesta como una forma de «expropiación digital» que podría permitir a las grandes compañías tecnológicas reutilizar información recopilada durante décadas para desarrollar productos de inteligencia artificial.
Sin embargo, hay una distinción importante: la reforma todavía no es ley y el texto no establece una autorización completamente irrestricta para utilizar datos personales. Su alcance definitivo dependerá de las negociaciones legislativas y de cómo se interpreten las obligaciones que continúan vigentes bajo el GDPR.
El cambio que podría transformar las reglas del juego
El punto central de la controversia se encuentra en el artículo 88 bis, una disposición propuesta para incorporarse al GDPR.
Actualmente, el reglamento europeo exige que cualquier tratamiento de datos personales tenga una base jurídica válida. El consentimiento es una de ellas, pero no la única.
Otra posibilidad es el denominado interés legítimo, que permite tratar información cuando existe una justificación válida y los derechos y libertades de las personas no prevalecen sobre ese interés.
La propuesta respaldada por el Consejo de la Unión Europea contempla expresamente la posibilidad de recurrir a esta base jurídica para desarrollar y operar modelos o sistemas de inteligencia artificial.
La diferencia es relevante.
Una empresa que conserva millones de publicaciones, conversaciones, fotografías o registros de actividad podría intentar justificar su reutilización para entrenar modelos de inteligencia artificial sin solicitar una nueva autorización individual a cada usuario.
Eso no significa que cualquier utilización quede automáticamente permitida. Las empresas seguirían sujetas a otras obligaciones del GDPR, incluyendo la necesidad de justificar el tratamiento, respetar los principios de protección de datos y contemplar los derechos de los interesados.
Pero la incorporación de una disposición específica para inteligencia artificial podría modificar sustancialmente el escenario jurídico en el que operan estas compañías.
Para noyb, el problema es precisamente que la nueva norma favorecería una interpretación mucho más amplia del interés legítimo, debilitando las restricciones que históricamente limitaron el uso secundario de la información personal.
Décadas de información podrían adquirir un nuevo valor
El alcance potencial de la reforma no se limita a los datos que las plataformas recopilen en el futuro.
Una de las principales preocupaciones planteadas por noyb es que las compañías podrían intentar utilizar información almacenada desde hace años, incluso cuando originalmente fue recopilada para finalidades completamente diferentes.
Pensemos en una red social.
Durante dos décadas, sus usuarios publicaron fotografías, intercambiaron mensajes, compartieron intereses y construyeron relaciones digitales bajo determinadas condiciones de privacidad.
Esos datos tienen valor para ofrecer servicios, personalizar contenidos o desarrollar publicidad.
Pero también pueden resultar extremadamente valiosos para entrenar modelos de inteligencia artificial.
El cambio regulatorio podría facilitar que las empresas intenten transformar esos enormes archivos históricos en recursos para desarrollar nuevas tecnologías.
Y aquí aparece una cuestión fundamental: que una empresa tenga acceso legítimo a determinada información no significa necesariamente que pueda utilizarla para cualquier finalidad posterior.
Ese principio, conocido como limitación de la finalidad, constituye uno de los pilares históricos de la protección de datos europea.
La controversia gira alrededor de hasta qué punto la nueva disposición podría flexibilizar su aplicación cuando el tratamiento esté relacionado con inteligencia artificial.
Una ventaja para quienes ya concentran los datos
La discusión también tiene una dimensión económica y geopolítica.
Las grandes plataformas tecnológicas llevan décadas acumulando cantidades extraordinarias de información.
Empresas como Google, Meta y Microsoft cuentan con ecosistemas digitales que les permiten acceder a datos provenientes de buscadores, redes sociales, servicios de correo, aplicaciones y plataformas empresariales.
Otras compañías, como OpenAI y Anthropic, participan directamente en el desarrollo de modelos avanzados de inteligencia artificial, aunque sus fuentes y volúmenes de datos no son necesariamente equivalentes a los de las plataformas históricas.
Esta diferencia importa porque los datos se han convertido en un recurso estratégico para el desarrollo de inteligencia artificial.
Una empresa europea que recién comienza a desarrollar sus propios modelos difícilmente disponga del mismo volumen de información acumulada que una plataforma global con miles de millones de usuarios.
Por eso, una flexibilización regulatoria que facilite reutilizar datos existentes podría favorecer especialmente a quienes ya poseen grandes repositorios de información.
Noyb sostiene que la reforma corre el riesgo de fortalecer la posición de las grandes tecnológicas estadounidenses en lugar de mejorar la competitividad europea.
La organización también advierte sobre la posibilidad de que información generada por empresas y ciudadanos europeos termine siendo utilizada por proveedores tecnológicos establecidos fuera de la Unión Europea.
No se trata solamente de privacidad.
La discusión alcanza también a la soberanía digital europea y al control económico sobre los datos que alimentarán la próxima generación de sistemas de inteligencia artificial.
El derecho a oponerse: ¿una protección suficiente?
El texto aprobado por el Consejo mantiene referencias a derechos y obligaciones ya existentes en el GDPR.
Entre ellos se encuentra el artículo 21, que contempla el derecho de las personas a oponerse a determinados tratamientos de sus datos personales.
También se incluyen exigencias relacionadas con la implementación de medidas técnicas y organizativas destinadas a proteger los derechos de los interesados.
Para los gobiernos europeos, estas disposiciones permitirían facilitar el desarrollo de inteligencia artificial sin abandonar las garantías fundamentales de privacidad.
Sin embargo, noyb considera que las salvaguardas propuestas son insuficientes.
La organización señala que buena parte de esas obligaciones ya existen en el GDPR y que su incorporación al nuevo artículo no necesariamente representa una protección adicional.
Además, existe un problema práctico.
Cuando una persona descubre que su información fue utilizada para entrenar un modelo de inteligencia artificial, los datos podrían haber sido incorporados a un proceso de entrenamiento difícil de revertir.
Eliminar un registro de una base de datos tradicional es una operación relativamente sencilla. Conseguir que un modelo deje de reflejar información aprendida durante su entrenamiento puede resultar considerablemente más complejo.
Esto plantea interrogantes sobre la efectividad de los mecanismos tradicionales de oposición, rectificación y supresión cuando se aplican a sistemas de inteligencia artificial.
Europa defiende la simplificación regulatoria
Desde el Consejo de la Unión Europea, la interpretación es diferente.
En su comunicado oficial del 21 de octubre, la institución presentó el acuerdo como un avance destinado a simplificar el marco normativo digital, reducir las cargas administrativas y fortalecer la competitividad de las empresas europeas.
La presidencia irlandesa del Consejo sostiene que la reforma permitirá facilitar la actividad empresarial sin abandonar los estándares de protección de datos.
El paquete Digital Omnibus también contempla otras modificaciones, entre ellas nuevas disposiciones sobre seudonimización, cambios en las reglas sobre cookies y mecanismos para simplificar la notificación de incidentes de ciberseguridad.
El argumento de fondo es que Europa necesita un entorno regulatorio más sencillo para competir en una industria tecnológica dominada por grandes compañías estadounidenses y, cada vez más, chinas.
Desde esta perspectiva, facilitar el acceso a los datos podría reducir obstáculos para la innovación y el desarrollo de inteligencia artificial.
La controversia aparece cuando ese objetivo entra en tensión con los derechos de las personas.
Mientras las instituciones europeas presentan la reforma como una modernización del marco regulatorio, las organizaciones de privacidad advierten que algunas modificaciones podrían alterar el equilibrio entre los intereses comerciales y los derechos fundamentales.
La soberanía digital también está en discusión
Existe una contradicción que merece atención.
La Unión Europea lleva años promoviendo iniciativas para reducir su dependencia de proveedores tecnológicos extranjeros, fortalecer su industria digital y desarrollar capacidades propias de inteligencia artificial.
Sin embargo, una flexibilización del acceso a datos personales no necesariamente beneficia de manera equivalente a todas las empresas.
Las compañías que ya controlan grandes plataformas, infraestructuras y repositorios de información parten de una posición privilegiada.
Esto significa que una reforma concebida para estimular la innovación europea también podría reforzar las ventajas competitivas de las empresas que dominan actualmente el mercado.
El problema no consiste únicamente en determinar quién puede utilizar los datos.
También importa quién controla la infraestructura donde se almacenan, quién desarrolla los modelos que los procesan y quién captura el valor económico generado.
En un escenario donde buena parte de la infraestructura de inteligencia artificial depende de proveedores estadounidenses, una mayor disponibilidad de información europea no garantiza que el valor resultante permanezca dentro de Europa.
Por eso, la discusión sobre el GDPR trasciende la privacidad individual y se conecta directamente con una pregunta estratégica: ¿puede Europa fortalecer su soberanía digital facilitando el acceso a datos que, en buena medida, ya están concentrados en plataformas extranjeras?
El Parlamento Europeo tendrá la próxima palabra
El acuerdo alcanzado el 21 de octubre representa una posición negociadora del Consejo, no la aprobación definitiva de una nueva legislación.
El Parlamento Europeo todavía debe definir su postura sobre el paquete Digital Omnibus.
Una vez que lo haga, comenzarán las negociaciones entre el Parlamento y el Consejo, con participación de la Comisión Europea, para acordar el texto final.
Durante ese proceso, las disposiciones relacionadas con inteligencia artificial podrían mantenerse, modificarse o eliminarse.
También existe la posibilidad de que determinadas reformas terminen siendo cuestionadas ante el Tribunal de Justicia de la Unión Europea, especialmente si se considera que afectan derechos fundamentales reconocidos por el ordenamiento europeo.
Por ahora, las reglas actuales del GDPR continúan vigentes.
Lo que está en discusión es mucho más que una modificación administrativa.
Durante décadas, las normas de protección de datos se construyeron alrededor de una idea: recopilar información para una finalidad determinada no equivale a obtener autorización para utilizarla indefinidamente con cualquier propósito.
La inteligencia artificial está poniendo ese principio bajo una presión inédita.
Y la decisión que adopte Europa podría establecer un precedente importante sobre quién tiene derecho a aprovechar económicamente los enormes volúmenes de información personal acumulados durante la era digital.