La guía del RGPD para datos de entrenamiento de IA en Europa

1. Las transferencias a EE. UU. son viables hoy. El Marco de Privacidad de Datos UE-EE. UU. (DPF) está en vigor. El Tribunal General desestimó un recurso en septiembre de 2025 y hay un recurso de casación pendiente (C-703/25 P). Si el comprador no está certificado en el DPF, la vía habitual son las Cláusulas Contractuales Tipo de 2021 más una evaluación de impacto de la transferencia.
2. Los laboratorios deben comprobar de dónde vienen los datos. El Comité Europeo de Protección de Datos (CEPD) indica que quien despliega un modelo debe valorar si se entrenó con datos tratados ilícitamente, incluido su origen. Un registro de consentimiento por clip facilita esa comprobación.
3. Las personas pueden retirar su consentimiento en cualquier momento. Sus clips deben borrarse y hay que avisar a cada destinatario. Nadie puede prometer con honestidad que un modelo ya entrenado "olvide"; el contrato debe decir qué ocurre en realidad.
4. El vídeo normal no es automáticamente un dato biométrico. Pasa a ser categoría especial cuando se trata para identificar de forma unívoca a alguien, o cuando revela datos sensibles. Conviene planificar con el estándar más exigente.
5. Los empleados son el caso difícil. Los reguladores dudan de que un empleado pueda consentir libremente ante su empleador. Los autónomos y los propietarios que graban su propio trabajo son un punto de partida más sencillo.
6. España añade normas laborales: nada de grabar en zonas de descanso, límites al audio, información por escrito a los trabajadores y a sus representantes, y un consentimiento aparte para el uso de la imagen.
7. El Reglamento de IA exige datos documentados: los proveedores de modelos de uso general deben publicar un resumen del contenido de entrenamiento, y los sistemas de alto riesgo necesitan registros de gobernanza de datos.
8. El vídeo difuminado sigue siendo un dato personal. Difuminar reduce el riesgo, pero no convierte en anónimo un vídeo en primera persona.

Las fuentes de cada punto están en las secciones siguientes.

Todo tratamiento de datos personales necesita una de las seis bases del artículo 6. Para grabar a personas identificables en el trabajo y licenciar las imágenes a laboratorios de IA, hay dos realistas: el consentimiento (art. 6.1.a) y el interés legítimo (art. 6.1.f).

El interés legítimo exige una prueba en tres pasos: un interés real y claramente formulado, un tratamiento de verdad necesario y una ponderación en la que no prevalezcan los derechos de la persona. Pesan mucho sus expectativas razonables. La mayoría de los trabajadores no espera que una grabación de su jornada se licencie a empresas de IA, así que para quien lleva la cámara esta prueba es difícil de superar.

El consentimiento debe ser libre, específico, informado e inequívoco. Hay que poder demostrarlo, y retirarlo debe ser tan fácil como darlo (art. 7). No puede ir incluido en el contrato de trabajo y debe ser granular: opciones separadas para la grabación, la voz, la cara sin difuminar, el uso para entrenamiento y la transferencia al extranjero.

Nuestro enfoque: consentimiento de cada persona grabada, recogido directamente por Sicreto. El interés legítimo solo se usa para tareas accesorias, como difuminar a quien entra en el encuadre. La propuesta de añadir una norma de interés legítimo específica para la IA ("Digital Omnibus", nuevo art. 88 quater propuesto) no es ley; según se ha informado, el Consejo acordó su posición el 21 de octubre de 2026 y el Parlamento aún no.

RGPD arts. 4.11, 6, 7 y cons. 43: EUR-Lex · Dictamen 28/2024 del CEPD sobre modelos de IA: edpb.europa.eu · Directrices 1/2024 sobre interés legítimo (v1.0): PDF · Directrices 05/2020 sobre el consentimiento: edpb.europa.eu · Dictamen conjunto CEPD-SEPD sobre el Digital Omnibus (feb 2026): PDF · Posición del Consejo (21 oct 2026): consilium.europa.eu

Un dato biométrico es el resultado de un "tratamiento técnico específico" de rasgos físicos o de conducta que permite identificar a alguien de forma unívoca (art. 4.14). El artículo 9 restringe su tratamiento dirigido a identificar de manera unívoca a una persona.

Las directrices del CEPD sobre vídeo son claras: la grabación de una persona no es, por sí sola, un dato biométrico del artículo 9 si no se trata técnicamente para contribuir a identificarla. Una cámara en la cabeza que graba manos y herramientas trata, en principio, datos personales ordinarios.

Dos cosas pueden cambiarlo. Primero, el uso posterior: aplicar reconocimiento facial, de voz o de forma de andar. Segundo, lo que muestran las imágenes: el Tribunal de Justicia ha declarado que los datos que revelan indirectamente información sensible, como la salud o la religión, pueden ser de categoría especial.

Qué hacer: pedir consentimiento explícito por prudencia (art. 9.2.a), difuminar caras y datos identificativos, dejar el audio apagado por defecto y prohibir en cada licencia la identificación biométrica y el reconocimiento de emociones.

RGPD arts. 4.14, 9 y cons. 51: EUR-Lex · Directrices 3/2019 del CEPD sobre videodispositivos, apdos. 74-76: edpb.europa.eu · TJUE C-184/20 (OT): curia.europa.eu

Las personas grabadas deben recibir la información del artículo 13 antes de la grabación: quién es el responsable, su representante en la UE, fines y base jurídica, quién recibe los datos (incluidos laboratorios de IA en el extranjero), cómo se protegen las transferencias, cuánto tiempo se conservan, sus derechos, cómo retirar el consentimiento y cómo reclamar ante la autoridad de protección de datos.

Las personas que aparecen sin haber firmado están cubiertas por el artículo 14. En la práctica: carteles en cada entrada a la zona de grabación (primera capa), información completa en línea (segunda capa) y difuminar o borrar a quien no haya consentido.

RGPD arts. 13 y 14: EUR-Lex · Información por capas en vídeo: Directrices 3/2019, sección 7: edpb.europa.eu · Plantillas: aviso del art. 13, texto de cartel

El consentimiento puede retirarse en cualquier momento. Lo tratado antes sigue siendo lícito. Después, los datos tratados con esa base deben suprimirse (art. 17.1.b) y hay que comunicarlo a cada destinatario (art. 19).

¿Y un modelo ya entrenado con el clip? El CEPD indica que los modelos entrenados con datos personales no siempre pueden considerarse anónimos; se valora caso por caso. Por eso ningún proveedor puede prometer con honestidad que un modelo entrenado "olvide" a alguien.

Lo que un contrato sí puede prometer, y sobre lo que trabajamos:

• cada clip lleva un identificador vinculado a un identificador seudónimo de quien lo grabó, para poder localizar los clips de una persona;
• los clips retirados se borran de nuestro almacén y de las copias de cada licenciatario en un plazo fijo, con certificado por escrito;
• los clips retirados quedan excluidos de cualquier entrenamiento futuro;
• el formulario de consentimiento explica con claridad qué puede deshacer la retirada y qué no.

Algunas cesiones de datos estadounidenses se redactan como "perpetuas e irrevocables". Esa redacción encaja mal con el consentimiento del RGPD, que siempre puede retirarse. El equipo legal del laboratorio debería revisarlo.

RGPD arts. 7.3, 17 y 19: EUR-Lex · Anonimato de los modelos: Dictamen 28/2024, sección 3.2: edpb.europa.eu

El responsable decide por qué y cómo se tratan los datos. El encargado actúa solo según sus instrucciones, con un contrato del artículo 28 (por ejemplo, un proveedor de nube o de difuminado). Los corresponsables deciden juntos y necesitan un acuerdo del artículo 26.

Una estructura habitual: el proveedor que graba es responsable de la captación. El laboratorio es responsable independiente de su propio entrenamiento, con cláusulas de cesión entre responsables. Si el laboratorio impone el protocolo de grabación y sus fines, puede pasar a ser corresponsable y hará falta un acuerdo del artículo 26. Es una cuestión para el abogado en cada operación.

RGPD arts. 4.7-4.8, 26 y 28: EUR-Lex · Directrices 07/2020 del CEPD sobre responsable y encargado: edpb.europa.eu

• EIPD (art. 35). La AEPD indica que hace falta una evaluación de impacto en la mayoría de los casos en que se cumplen dos o más criterios de su lista, entre ellos nuevas tecnologías, posibles datos biométricos, gran escala y combinación de conjuntos de datos. La captación con cámara en la cabeza para IA suele cumplir más de uno: planifica la EIPD antes de la primera grabación.
• Registro de actividades (art. 30). Por escrito: qué se trata, para qué, durante cuánto tiempo, quién lo recibe y cómo se protege.
• Representante en la UE (art. 27). Una empresa de fuera de la UE sujeta al RGPD debe, por lo general, designar un representante en un país de la UE donde estén las personas. La autoridad neerlandesa multó a Clearview AI, entre otras cosas, por no tenerlo.
• Delegado de protección de datos (art. 37). Obligatorio cuando la actividad principal implica categorías especiales a gran escala. Decídelo con tu abogado.

RGPD arts. 27, 30 y 35-37: EUR-Lex · Lista de la AEPD (art. 35.4): aepd.es (PDF) · Multa a Clearview AI: autoriteitpersoonsgegevens.nl

1. Comprueba si es una "transferencia". El CEPD usa tres criterios: quien envía está sujeto al RGPD, pone los datos a disposición de otra parte, y esa parte está fuera de la UE/EEE.
2. Marco de Privacidad de Datos. Si el destinatario estadounidense figura en la lista oficial del DPF para el tipo de datos adecuado, la decisión de adecuación cubre la transferencia. Está en vigor; el recurso contra la sentencia de septiembre de 2025 sigue pendiente. El contrato debe pasar automáticamente a las CCT si el DPF cae.
3. Cláusulas Contractuales Tipo (2021). Módulo 1 entre responsables, módulo 2 de responsable a encargado. Ojo a un límite: la Comisión Europea indica que estas CCT no sirven cuando el tratamiento del destinatario ya está sujeto al RGPD. Aún no se ha adoptado un juego nuevo para ese caso.
4. Evaluación de impacto de la transferencia. Con CCT, analiza la legislación del país de destino y añade medidas complementarias si hace falta (Recomendaciones 01/2020 del CEPD).
5. Excepciones (art. 49), como el consentimiento puntual a una transferencia, son para casos ocasionales, no para un negocio recurrente de datos.

Las multas existen: la autoridad neerlandesa multó a Uber con 290 millones de euros en 2024 por enviar datos de conductores a EE. UU. sin una herramienta de transferencia válida (Uber recurrió).

Decisión DPF (UE) 2023/1795: EUR-Lex · Recurso C-703/25 P: EUR-Lex · Lista DPF: dataprivacyframework.gov · CCT (UE) 2021/914: EUR-Lex · Preguntas y respuestas de la Comisión sobre CCT (P23-24): commission.europa.eu · Directrices 05/2021 del CEPD: PDF · Recomendaciones 01/2020: edpb.europa.eu · Multa a Uber: autoriteitpersoonsgegevens.nl

• Art. 89 LOPDGDD: cuando el empleador usa cámaras para el control laboral, debe informar antes, de forma expresa y clara, a los trabajadores y, en su caso, a sus representantes. Nunca en zonas de descanso o esparcimiento, vestuarios, aseos, comedores o similares. Grabación de sonido solo cuando haya riesgos relevantes para la seguridad. El artículo se refiere al control por el empleador, pero una jornada de grabación en su centro podría leerse igual: planifica como si se aplicara.
• Arts. 87 y 91 LOPDGDD: intimidad en el uso de dispositivos digitales en el trabajo, y convenios colectivos que pueden añadir garantías. Revisa el convenio aplicable.
• Art. 64 del Estatuto de los Trabajadores: el comité de empresa tiene derechos de información y consulta, también sobre los sistemas de organización y control del trabajo. Informa por escrito a la representación antes de cualquier grabación.
• LO 1/1982: el uso de la imagen de una persona requiere su consentimiento expreso, que puede revocar. Es un consentimiento de derechos de imagen aparte del RGPD.
• Orientaciones de la AEPD sobre IA (2020, y notas de 2026 sobre IA agéntica y calidad de datos) y su lista de tratamientos que requieren EIPD.

LOPDGDD: BOE · Estatuto de los Trabajadores: BOE · LO 1/1982: BOE · AEPD, RGPD e IA (2020): PDF · AEPD, IA agéntica (2026): PDF · AEPD, calidad de datos en IA (2026): PDF

• Modelos de IA de uso general (art. 53.1.d): deben publicar un resumen del contenido de entrenamiento con la plantilla de la Comisión, publicada el 24 de julio de 2025. Obligación aplicable desde el 2 de agosto de 2025.
• Sistemas de alto riesgo (art. 10): los datos de entrenamiento necesitan registros de gobernanza: procesos de recogida, origen, preparación y control de sesgos. Tras el Omnibus de IA de 2026, para los sistemas del anexo III se aplican desde el 2 de diciembre de 2027, según se ha informado.
• Prohibido desde el 2 de febrero de 2025 (art. 5): entre otros, el reconocimiento de emociones en el lugar de trabajo y la extracción no selectiva de imágenes faciales. Las licencias deben excluir ambos.

Una ficha de datos por lote, con origen, método, base de consentimiento, país y pasos de tratamiento, responde directamente a la mayoría de estas preguntas.

Reglamento (UE) 2024/1689: EUR-Lex · Plantilla de resumen: digital-strategy.ec.europa.eu · Fechas del Omnibus de IA (según se informa): Freshfields

• El RGPD sigue aplicándose a los datos personales que contengan: nombres de empleados, datos de clientes, firmas, notas libres. Elimínalos o seudonimízalos antes de que nada salga de tus sistemas; los datos seudonimizados siguen siendo datos personales.
• Anonimizar es exigente. El borrador de directrices del CEPD sobre anonimización (en consulta hasta el 30 de octubre de 2026) comprueba tres cosas: que no se pueda aislar un registro, ni vincularlo, ni inferir información. La orientación anterior (Dictamen 05/2014 del GT29) usa los mismos tres riesgos.
• Reglamento de Datos (aplicable desde el 12 de septiembre de 2025): sus derechos de acceso cubren datos de productos conectados, no documentos ordinarios de empresa, pero sus normas sobre cláusulas abusivas pueden afectar a contratos de datos entre empresas.
• Reglamento de Gobernanza de Datos: los servicios que ponen en contacto comercial a titulares y usuarios de datos pueden ser "servicios de intermediación de datos", con obligaciones de notificación y neutralidad. Cómo se estructura un negocio de datos importa.
• Derecho sobre bases de datos y otros derechos: el derecho sui generis protege la inversión sustancial en una base de datos, pero solo para fabricantes con nacionalidad, residencia o sede en la UE. Los derechos de autor y los secretos empresariales también acompañan a los documentos, así que hay que verificar el derecho a licenciarlos.
• Las imágenes de seguridad o CCTV quedan fuera. Sicreto no anuncia, exporta ni licencia imágenes de videovigilancia existentes, ni con consentimiento ni difuminadas.

Reglamento de Datos (UE) 2023/2854: EUR-Lex · Reglamento de Gobernanza de Datos (UE) 2022/868: EUR-Lex · Registro de la UE de servicios de intermediación: digital-strategy.ec.europa.eu · Directiva 96/9/CE: EUR-Lex · Directrices 02/2026 sobre anonimización (borrador): PDF · Directrices 01/2025 sobre seudonimización: PDF · Dictamen 05/2014 del GT29: PDF

1. Prueba por clip de la base jurídica: versión del formulario, opciones elegidas, fecha y estado de retirada.
2. Quién es el responsable, su representante en la UE y si se hizo una EIPD.
3. El mecanismo de transferencia (comprobación del DPF o módulo de CCT), con alternativa.
4. El estándar de difuminado y cuándo se borra el material en bruto.
5. El procedimiento de retirada: plazos, cómo te llega y qué debes borrar.
6. Una licencia, no una cesión, con ámbito de uso definido, sin reidentificación ni identificación biométrica.
7. Una ficha de datos por lote para tu documentación del Reglamento de IA.

Cómo funciona el paquete de cumplimiento (EN) Solicitar datos de la UE (EN)

• Un acuerdo escrito con el centro que indique zonas, fechas y tareas, y que prohíba usar las imágenes para controlar a la plantilla.
• Representación de los trabajadores informada por escrito. Sin presión sobre nadie, y sin decir a nadie quién ha dicho que no.
• Nada de grabar en zonas privadas, nada de menores, audio apagado por defecto y carteles en las entradas.
• Registros de empresa (procedimientos, flujos de trabajo, registros de actividad): solo revisión caso por caso. En esta fase no se comparte ni se licencia nada.

Empezar como proveedor Para empresas en España

• Puedes decir que no. Decir que no no puede afectar a tu sueldo, tus turnos ni tu empleo.
• Eliges por separado: que te graben, tu voz, tu cara sin difuminar, el uso para entrenar IA, la transferencia al extranjero y el uso de tu imagen.
• Puedes retirarte en cualquier momento, gratis. Tus clips se borran y se pide a los compradores que los borren. Nadie puede prometer que un modelo ya entrenado olvide; la retirada detiene todo uso y entrenamiento futuros.
• Puedes reclamar ante la autoridad de protección de datos (en España, la AEPD: aepd.es).

Comprobador de consentimiento en el trabajo

• Licenciar imágenes de seguridad o CCTV existentes.
• Grabar a menores, ni en aseos, vestuarios o zonas de descanso.
• Entregar caras sin difuminar o audio salvo que la persona lo haya elegido, clip a clip.
• Permitir a ningún comprador la identificación biométrica, el reconocimiento de emociones o el control de trabajadores.
• Prometer que un modelo entrenado olvidará los datos retirados.
• Llamar "anónimo" a un vídeo difuminado.