Anonimización de datos en el marco del RGPD

Artículo

Dos decisiones que preceden al archivo

La conversación pública sobre la regulación de la inteligencia artificial tiende a concentrarse en lo visible, y lo visible no siempre es lo más exigente. Publiqué este manual el 31 de julio de 2026, dos días antes de que empezara a aplicarse el artículo 50 del Reglamento europeo de IA, en una semana en la que el titular dominante anunciaba que Europa aplazaba el AI Act. Lo que se aplazaba era el alto riesgo; el artículo 50 seguía en pie, y quien leyera aquel titular con alivio se exponía a incumplir precisamente la obligación que sus clientes pueden ver.

Desde el 2 de agosto de 2026, el chatbot que atiende a clientes debe advertir de que es una IA; la imagen, el audio y el vídeo realistas generados con IA han de identificarse como sintéticos; y el texto generado con IA debe declararse cuando se publica para informar al público sobre asuntos de interés general, salvo que haya pasado por revisión humana y alguien asuma la responsabilidad editorial. Los apuntes, el blog o los materiales de curso quedan fuera de esa obligación de etiquetado; el tamaño de la empresa, en cambio, no exime a nadie. Las directrices que la Comisión publicó el 20 de julio, aunque no vinculantes, precisan que la revisión humana exige un examen deliberado por alguien con criterio profesional sobre la materia y, como mínimo, la comprobación de que la información es exacta: pasar el corrector no basta.

Cumplir el artículo 50 es, sin embargo, la parte sencilla: un aviso y una etiqueta. La exigente viene antes y lleva años siendo obligatoria. Quien arrastra una hoja de cálculo de clientes a una herramienta de IA toma dos decisiones encadenadas, qué sale de su empresa y dónde termina lo que sale, y resolver solo una equivale a no haber resuelto ninguna.

La primera cambió de naturaleza en septiembre de 2025. Desde la sentencia del Tribunal de Justicia en el asunto de la Junta Única de Resolución y Deloitte, la pregunta pertinente ya no es si un fichero está anonimizado, sino para quién lo está: la misma tabla puede constituir dato personal en manos de quien la genera y dejar de serlo en las de quien la recibe, o a la inversa.

La segunda rara vez aparece por escrito en las políticas internas. Un servidor situado en Fráncfort pero operado por una empresa sujeta a legislación extracomunitaria responde a esa legislación; lo relevante no es dónde está la máquina, sino a qué jurisdicción obedece quien la opera.

Este manual reúne los conceptos que conviene dominar antes de abrir cualquier programa, la comparativa de las herramientas disponibles con sus menciones institucionales reales y la configuración paso a paso de cada una, con fuente oficial en cada afirmación y constancia expresa de lo que no he podido verificar. Ambas decisiones se toman antes de subir el archivo; después, lo único que queda es tener que explicarlas.