Bruselas vuelve a poner en riesgo la privacidad digital con un decreto al servicio de las grandes tecnológicas

La Comisión Europea vuelve a la carga. Apenas un mes después de intentar debilitar la privacidad con el fallido Chat Control y de introducir recortes encubiertos en anteriores paquetes ómnibus, la institución ha impulsado este martes en el pleno de Estrasburgo un nuevo decreto ómnibus digital que las organizaciones de derechos digitales califican como "el mayor retroceso en la historia de la UE en protección de datos". La votación final, prevista para el jueves, llega rodeada de advertencias de que la legislación que ha blindado la privacidad en Europa podría quedar seriamente comprometida.

La Comisión plantea este decreto ómnibus como una reforma transversal para actualizar distintas normas digitales —incluido el Reglamento General de Protección de Datos, la Ley de Inteligencia Artificial y la Directiva ePrivacy— bajo el argumento de "armonizar" procedimientos y reducir cargas para empresas y administraciones. Entre los cambios más relevantes figura una redefinición de qué se considera dato personal y la creación de nuevas excepciones que permitirían usar "datos parcialmente anonimizados" —información en la que se elimina el nombre, pero que sigue pudiendo identificar a una persona— sin necesidad de pedir su consentimiento en determinados casos.

El texto incorpora, además, un aplazamiento de un año en la entrada en vigor de las obligaciones destinadas a los sistemas de inteligencia artificial catalogados como de alto riesgo. Estas reglas, previstas inicialmente para agosto de 2026, pasan ahora a diciembre de 2027. Durante ese periodo adicional, estos sistemas podrán seguir operando sin los requisitos reforzados de documentación, supervisión humana y evaluación de impacto que establece la Ley de IA.

Un abandono de la protección de datos

El nuevo paquete ómnibus no es una simple actualización, sino una reforma que cambia partes esenciales del Reglamento General de Protección de Datos (RGPD), la norma que protege la privacidad en la UE. Uno de los cambios más importantes es la nueva definición de "dato personal", ya que las modificaciones del RGPD dejan en manos de las empresas dicha catalogación. Si afirma que no puede identificar a alguien con determinada información, ese dato podría dejar de estar protegido, aunque en la práctica existan formas técnicas de averiguar quién es esa persona.

Itxaso Domínguez Olazábal, asesora de políticas en European Digital Rights, critica que este decreto no es una mera simplificación administrativa, sino "un retroceso profundo que reabre protecciones básicas sin medir su impacto". "Si permites que sea la propia empresa la que decida si un dato identifica o no a una persona, estás dejando la puerta abierta a que muchos datos muy reveladores queden sin protección. Y sabemos por experiencia que las compañías siempre tienen incentivos para minimizar esa identificación, no para reconocerla", añade.

Eduard Blasi, jurista especializado en privacidad e inteligencia artificial y socio de TechAndLaw Abogados, advierte de que el nuevo ómnibus debe leerse también en clave económica. A su juicio, la Comisión está moviendo fichas para alinearse con un escenario internacional dominado por la inversión extranjera en IA. "Más del 90% de la inversión en inteligencia artificial ocurre fuera de Europa. La UE no quiere quedarse atrás y este decreto refleja esa voluntad de ser más ‘business friendly’, reducir complejidad y ganar agilidad", detalla.

Las consecuencias sobre colectivos vulnerables

Aunque las medidas afectarían a todos los usuarios, las consecuencias pueden ser especialmente graves para los colectivos más vulnerables: personas migrantes, mujeres, jóvenes, minorías étnicas o quienes dependen de servicios públicos que ya funcionan con sistemas automáticos. El paquete también abre la puerta a que empresas y Administraciones utilicen más libremente los llamados "datos inferidos". Es decir, información que no damos directamente, pero que se deduce de nuestra actividad digital. Son pistas sobre cómo nos movemos en Internet, qué emociones mostramos, qué compramos, qué apps usamos o incluso qué estado psicológico podemos tener.

Con la reforma, las empresas podrían argumentar que esa información "no identifica directamente" a una persona y que podría usarse sin pedir permiso ni aplicar las garantías actuales. Esto es especialmente problemático porque la investigación científica, según Domínguez, ya ha demostrado que estas inferencias pueden servir para clasificar por origen étnico, medir solvencia financiera por el comportamiento digital o predecir rendimiento escolar, a menudo con sesgos que perjudican a quienes menos poder tienen para defenderse.

"En Internet, lo más delicado no es lo que dices, sino lo que se deduce sobre ti. Hemos visto algoritmos que descartan a personas en procesos de selección, anuncios que solo llegan a ciertos perfiles o sistemas que excluyen automáticamente a quienes necesitan una prestación. Cuando se rebajan las protecciones, los primeros perjudicados son quienes ya están en la parte más débil de la relación tecnológica", detalla la experta de European Digital Rights.

Presión de Trump y permisividad a las 'Big Tech'

Alemania frena el "Pegasus para todos" europeo que busca espiar las conversaciones en Internet

Ver más

El retraso de un año —hasta diciembre de 2027— para aplicar las obligaciones de la Ley de Inteligencia Artificial en los sistemas de alto riesgo tampoco llega por casualidad. Coincide con un clima político marcado por la presión del Gobierno de Donald Trump, que desde hace meses reclama que Europa rebaje sus estándares y permita un uso más flexible de los datos y de la IA.

El resultado es que el ómnibus busca conceder tiempo extra a las inteligencias artificiales dedicadas a tareas como el reconocimiento biométrico en espacios públicos, la selección laboral, el control de trabajadores o la asignación de ayudas sociales. Durante ese año adicional, todos estos sistemas podrán seguir operando sin los controles reforzados que la propia UE anunció como esenciales para evitar abusos. Blasi señala que "la UE está pasando de marcar el camino sobre la protección de datos a un incipiente ‘efecto Washington’, donde empieza a moverse hacia un marco más cercano a los intereses empresariales".

"No es una medida pensada para pymes o startups y los únicos que ganan son las grandes tecnológicas", subraya Domínguez. Además, la experta señala que esto supone "un cambio político". "Hace apenas un año la UE estaba orgullosa de su Ley de IA y ahora resulta que necesitan más tiempo, más margen, más excepciones. No ha cambiado la evidencia, ha cambiado la presión política y económica", concluye.