El regulador de datos del Reino Unido, la Oficina del Comisionado de Información (ICO), obtuvo compromisos formales de Amazon, Google, Microsoft, OpenAI y otras seis compañías de inteligencia artificial para ajustar el uso de datos personales en sus modelos y sistemas. La ICO, sin embargo, dejó en claro que la ronda de preguntas no ha terminado: el proceso de escrutinio continúa con nuevas consultas a las mismas empresas.
El resultado representa la primera conclusión tangible de una investigación que la ICO venía conduciendo sobre cómo los principales desarrolladores de IA tratan los datos personales en las etapas de entrenamiento, inferencia y despliegue de sus productos. Los compromisos alcanzados no son sanciones ni acuerdos vinculantes publicados como resoluciones formales, sino ajustes que las empresas aceptaron introducir tras el intercambio con el regulador, según se informó.
Qué examinó la ICO y qué acordaron las diez empresas
La ICO centró su examen en las bases legales que estas compañías invocan para procesar datos personales —incluyendo datos de usuarios de internet utilizados para entrenar modelos de lenguaje de gran escala— y en la transparencia que ofrecen a los titulares sobre ese tratamiento. Aunque la ICO no publicó el detalle de cada compromiso empresa por empresa, el regulador señaló que los cambios incluyen mejoras en la información que se brinda a los usuarios y en los mecanismos de ejercicio de derechos, según se informó. Que firmas de la envergadura de Microsoft y Google acepten ajustar prácticas sin mediar una multa formal indica que el modelo de supervisión por diálogo —característico del estilo ICO bajo la gestión actual— produce resultados, aunque la pregunta sobre si esos resultados son suficientes permanece abierta.
El marco UK GDPR y las bases legales en disputa para entrenamiento de IA
El Reino Unido opera bajo el UK GDPR —versión post-Brexit del Reglamento europeo— que exige una base legal válida para cualquier tratamiento de datos personales, incluido el scraping de contenido web utilizado para entrenar modelos. Las bases más invocadas por las empresas de IA son el interés legítimo (artículo 6(1)(f) del UK GDPR) y, en menor medida, el consentimiento. El interés legítimo exige una prueba de balance: que el interés del responsable del tratamiento no prevalezca sobre los derechos e intereses de los titulares. La ICO ha señalado en documentos previos que esa prueba no es automática y que las empresas deben poder demostrarla de forma documentada. El hecho de que el regulador haya requerido cambios sugiere que al menos algunas de las diez compañías no estaban cumpliendo ese estándar de manera satisfactoria.
ANPD en Brasil, AAIP en Argentina y INAI en México: el mismo problema, marcos distintos
Lo que la ICO aborda con poder coercitivo real es el mismo desafío que enfrentan los reguladores latinoamericanos, pero con herramientas y recursos muy distintos. En Brasil, la Autoridade Nacional de Proteção de Dados (ANPD) publicó en 2024 su Resolución CD/ANPD nº 15, que regula el uso de datos personales en IA, y tiene pendiente la revisión de su Política de Fiscalización para el bienio 2025-2026, donde el tratamiento de datos por sistemas de IA es un eje declarado. Sin embargo, la ANPD no ha iniciado aún un proceso de escrutinio sectorial comparable al de la ICO con múltiples empresas simultáneas. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) opera bajo la Ley 25.326, sancionada en el año 2000, cuyo artículo 4 establece el principio de finalidad y calidad de los datos —que sería la norma aplicable al reuso de datos personales para entrenamiento—, pero la agencia no cuenta con un pronunciamiento específico sobre IA generativa. En México, el INAI aplica la LFPDPPP y su reglamento, y aunque emitió recomendaciones generales sobre IA en 2023, tampoco existe un proceso de supervisión sectorial activo sobre las mismas empresas que ahora comprometieron cambios ante la ICO.
Esta asimetría regulatoria crea un riesgo concreto: las empresas que acordaron cambios con la ICO pueden mantener prácticas distintas en mercados donde la supervisión es menos intensa. No existe ningún mecanismo formal de coordinación entre la ICO, la ANPD, la AAIP y el INAI que obligue a las compañías a extender geográficamente los ajustes comprometidos en el Reino Unido. Los usuarios latinoamericanos de los productos de estas diez compañías están expuestos al mismo tratamiento de datos personales que motivó la intervención del regulador británico, pero sin la misma presión regulatoria sobre las empresas.
Por qué el proceso de la ICO importa más allá del Reino Unido
El estilo de supervisión de la ICO —intercambio estructurado de preguntas, respuestas documentadas, compromisos negociados antes de una resolución formal— es replicable y exportable. La ANPD brasileña, que cuenta con estructura técnica creciente y competencias explícitas sobre IA desde la Resolución nº 15, es el regulador latinoamericano mejor posicionado para conducir un proceso equivalente. Para las empresas tecnológicas con operaciones en Brasil, eso implica que las políticas de tratamiento de datos que acordaron con la ICO deberían ser el piso, no el techo, de sus prácticas en el mercado local. En términos de cumplimiento, esperar a que un regulador latinoamericano inicie un proceso similar antes de revisar las políticas internas es apostar a que la supervisión llegará tarde.
Qué monitorear en los próximos meses: la segunda ronda de la ICO y las agendas ANPD e INAI para 2026
La ICO anunció que continuará con preguntas adicionales a las mismas compañías, lo que sugiere que los compromisos de esta primera ronda son un punto de partida y no un cierre. Los hitos a seguir en la región son tres: primero, la actualización del plan de fiscalización de la ANPD para 2026, donde el eje de IA y datos personales debería ganar especificidad; segundo, cualquier pronunciamiento del INAI sobre bases legales para IA generativa, dado que su mandato institucional está bajo presión política en México; tercero, una eventual actualización de la Ley 25.326 argentina, cuyo proyecto de reforma lleva años en discusión parlamentaria sin avance sustantivo. Las empresas que operan en los tres mercados deberían mapear en qué estado están sus evaluaciones de impacto relativas a sistemas de IA —las llamadas DPIA o PIA— y si las bases legales que invocan en LATAM son coherentes con lo que ahora comprometieron ante la ICO.
