Red Iberoamericana de Protección de Datos actualiza estándares de protección de datos ante la IA

La Red Iberoamericana de Protección de Datos (RIPD), organismo en el que la Agencia Española de Protección de Datos (AEPD) ejerce la secretaría permanente, aprobó por unanimidad una nueva versión de los Estándares de Protección de Datos para los Estados Iberoamericanos, instrumento orientado a modernizar las legislaciones nacionales sobre privacidad, fortalecer la cooperación entre autoridades y promover reglas comunes en la región.

La actualización fue aprobada durante el Encuentro de la RIPD realizado en Cartagena de Indias, Colombia. El nuevo texto reemplaza y actualiza los estándares adoptados en 2017 para responder a los desafíos derivados de la transformación digital y del desarrollo acelerado de nuevas tecnologías.

Entre las principales innovaciones se encuentran disposiciones relativas a inteligencia artificial, decisiones automatizadas, biometría, neurodatos, protección de la infancia y adolescencia en entornos digitales, gobernanza algorítmica y calidad de los datos utilizados por sistemas automatizados.

Según el documento, la actualización refleja un cambio de paradigma en la protección de datos personales. Esta deja de concebirse únicamente como una regulación del uso de información personal y pasa a integrarse en un modelo más amplio de gobernanza digital destinado a asegurar que la innovación tecnológica se desarrolle con respeto a la dignidad humana, la autonomía personal, la igualdad y los derechos fundamentales.

Tras su aprobación, los nuevos Estándares serán remitidos a la Secretaría General Iberoamericana para su eventual adopción en el marco de la próxima Cumbre Iberoamericana de Jefes de Estado y de Gobierno, programada para los días 4 y 5 de noviembre de 2026 en Madrid.

Uno de los aspectos más relevantes de la actualización es la incorporación, por primera vez, de referencias específicas a los neurodatos dentro de las categorías especiales de datos sensibles. El texto los define como aquellos datos relacionados con el funcionamiento, la actividad o la estructura del cerebro humano que permitan identificar a una persona o inferir información sobre su fisiología, salud o estados mentales.

Los nuevos estándares establecen que el tratamiento de neurodatos deberá someterse a medidas reforzadas de responsabilidad y observar especialmente principios como la minimización, exactitud, transparencia, seguridad y responsabilidad proactiva. Asimismo, califican como tratamientos de alto riesgo aquellos destinados a inferir estados mentales o convicciones íntimas, modificar indebidamente la voluntad o comportamiento de las personas, realizar vigilancia masiva en ámbitos laborales, educativos o gubernamentales, o identificar individuos mediante patrones neuronales. Incluso se contempla que este tipo de actividades puedan ser objeto de prohibiciones en las legislaciones nacionales.

En materia de inteligencia artificial y decisiones automatizadas, el texto incorpora mecanismos de gobernanza algorítmica, trazabilidad, supervisión humana efectiva, evaluación continua de riesgos y auditorías periódicas de los sistemas automatizados y de IA.

La actualización fortalece además el principio de calidad de los datos, exigiendo que, en el contexto de sistemas automatizados, no solo se evalúe la exactitud y actualización de la información, sino también su representatividad, pertinencia, integridad y fiabilidad durante todo el ciclo de vida del sistema, incluyendo las etapas de entrenamiento, validación, prueba, ajuste y operación. El objetivo es prevenir sesgos, errores de inferencia, discriminación algorítmica y resultados desproporcionados o engañosos.

Uno de los cambios más significativos consiste en la sustitución del concepto tradicional de decisiones “exclusivamente automatizadas” por el de decisiones “exclusiva o esencialmente automatizadas”. La modificación busca responder a situaciones en que la intervención humana existe solo de manera aparente o residual. En consecuencia, los estándares exigen una participación humana calificada, significativa y efectiva, con capacidad real para comprender el funcionamiento del sistema, evaluar críticamente sus resultados y apartarse de ellos cuando corresponda.

Asimismo, se fortalece el derecho de las personas a no ser objeto de decisiones basadas exclusiva o esencialmente en tratamientos automatizados cuando estas produzcan efectos jurídicos o impactos significativos. En tales casos, se reconoce el derecho a obtener intervención humana y a recibir información clara acerca de la lógica aplicada y de los criterios utilizados en la decisión automatizada.

El texto también incorpora referencias específicas a las evaluaciones de impacto vinculadas al uso de tecnologías disruptivas, sistemas de inteligencia artificial, biometría, sistemas predictivos y neurotecnologías, especialmente cuando puedan representar un riesgo elevado para los derechos y libertades fundamentales.

La protección de niños, niñas y adolescentes constituye otro de los ejes de la actualización. Los nuevos estándares establecen que el tratamiento de datos personales de menores deberá regirse por el principio del interés superior del niño, la autonomía progresiva y la protección integral.

Para ello, contemplan medidas especiales de responsabilidad reforzada, incluyendo configuraciones de privacidad por defecto, limitaciones de acceso, restricciones a la elaboración de perfiles y publicidad comportamental, mecanismos efectivos de verificación de edad y herramientas destinadas a bloquear, silenciar y controlar grupos en entornos digitales.

Finalmente, el documento aborda el rol de las autoridades de control, destacando la necesidad de que actúen con autonomía e independencia y cuenten con recursos suficientes para ejercer eficazmente sus funciones.

Con esta actualización, la Red Iberoamericana de Protección de Datos busca consolidar un marco regional destinado a fortalecer la protección de los derechos fundamentales frente a los desafíos derivados de la transformación tecnológica y del creciente flujo internacional de datos personales.

Vea texto Estándares de Protección de Datos para los Estados Iberoamericanos.