IA y calidad de los datos: nuevo criterio de la AEPD

Cuando la IA se equivoca sobre una persona: el nuevo criterio de la AEPD sobre calidad y exactitud de los datos

Las empresas están incorporando inteligencia artificial para seleccionar candidatos, atender clientes, evaluar riesgos o apoyar decisiones internas. Sin embargo, un sistema puede funcionar correctamente en términos generales y, al mismo tiempo, producir una información incorrecta o injusta sobre una persona concreta.

Una reciente nota técnica de la Agencia Española de Protección de Datos (AEPD) explica cómo deben aplicarse en estos casos los principios de exactitud y minimización para cumplir con la Normativa de Protección de Datos.

La calidad del dato no consiste únicamente en que sea verdadero

El 21 de julio de 2026, la AEPD publicó la nota técnica «Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial».

Su principal aportación es aclarar que la calidad técnica de los datos y el principio jurídico de exactitud no son conceptos equivalentes. El artículo 5.1.d) del RGPD exige que los datos personales sean exactos y, cuando sea necesario, estén actualizados. Pero esa exactitud debe valorarse en relación con la finalidad concreta para la que se utilizan.

Por ejemplo, para realizar un estudio estadístico puede ser admisible trabajar con datos agregados, valores estimados o datos sintéticos que no reproduzcan fielmente la situación de cada individuo. En cambio, si la información se emplea para rechazar una candidatura, conceder financiación, detectar un supuesto fraude o valorar el desempeño de un trabajador, la veracidad y actualización del resultado adquieren una importancia mucho mayor.

Por tanto, no existe un nivel universal de calidad aplicable a todos los sistemas. La empresa debe determinar qué grado de precisión, actualización, representatividad y fiabilidad necesita cada tratamiento según su finalidad y los efectos que pueda producir.

Las inferencias de la IA también pueden ser datos personales

Un error frecuente consiste en revisar únicamente los datos introducidos en el sistema. La AEPD advierte de que el análisis debe extenderse a todo el tratamiento, incluidos los resultados generados por la IA.

Una puntuación de riesgo, una clasificación profesional, una predicción de comportamiento o una recomendación vinculada a una persona identificada o identificable puede constituir por sí misma un dato personal. Lo será, aunque no sea un hecho aportado directamente por el interesado, sino una inferencia calculada por el sistema.

Pensemos en una herramienta de recursos humanos que atribuye a un candidato una baja estabilidad laboral; un sistema antifraude que califica una operación como sospechosa; o una aplicación comercial que considera que determinado cliente presenta un riesgo elevado de impago. Si esas conclusiones se vinculan a una persona, la empresa no puede tratarlas como simples resultados técnicos.

Deberá poder justificar que son adecuadas para la finalidad perseguida, que su margen de error es aceptable y que existen medidas para evitar consecuencias injustificadas. Además, cuando se adopten decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten significativamente a la persona, habrá que comprobar específicamente las condiciones y garantías del artículo 22 del RGPD.

Un buen resultado global puede ocultar errores graves

Que un proveedor anuncie una precisión del 95% no demuestra, por sí solo, que el sistema sea adecuado. Una métrica global puede ocultar tasas de error mucho mayores respecto de determinados colectivos o situaciones.

Un sistema de selección podría acertar habitualmente, pero descartar de forma desproporcionada a candidatos de cierta edad. Una herramienta de detección de fraude podría ofrecer un buen rendimiento agregado y generar, sin embargo, numerosos falsos positivos entre clientes de una zona determinada. También es posible que el modelo haya sido entrenado con información correcta, pero poco representativa del contexto en el que la empresa pretende utilizarlo.

La calidad debe evaluarse tanto sobre el conjunto de datos como sobre los resultados individuales cuando estos afecten a personas concretas. La representatividad, los posibles sesgos, la trazabilidad de las fuentes y las transformaciones realizadas pueden ser tan relevantes como la exactitud de cada registro.

Esta obligación se deriva de los principios de exactitud, minimización, lealtad y responsabilidad proactiva del RGPD. La nota de la AEPD no crea una nueva infracción, pero proporciona criterios para interpretar y demostrar el cumplimiento de obligaciones que ya resultaban aplicables.

Más datos no significa necesariamente una IA mejor

Ante los problemas de rendimiento, la reacción habitual puede ser recopilar más información. Sin embargo, el principio de minimización del artículo 5.1.c) del RGPD únicamente permite tratar datos adecuados, pertinentes y limitados a lo necesario.

La empresa no puede acumular datos personales «por si acaso» ni exigir un nivel de detalle superior al necesario para la finalidad. De hecho, la AEPD advierte de que imponer requisitos de calidad excesivos puede vulnerar la minimización si obliga a utilizar un mayor volumen de datos, una granularidad innecesaria o una frecuencia de actualización desproporcionada.

Antes de acceder masivamente a bases de datos para desarrollar, ajustar o alimentar una herramienta, debe examinarse su necesidad y legitimación. Los conjuntos que no tengan calidad suficiente para el proyecto no pueden considerarse necesarios. Su acceso solo estaría justificado, en su caso, en la medida imprescindible para evaluar su posible idoneidad.

La calidad y la minimización funcionan, así como dos límites complementarios: no deben utilizarse datos insuficientes para alcanzar legítimamente la finalidad, pero tampoco más datos de los necesarios.

Comprar una herramienta no traslada toda la responsabilidad al proveedor

La empresa que utiliza una solución externa debe determinar su papel y el del proveedor conforme al RGPD. La contratación de un servicio de IA no libera al responsable de comprobar que el tratamiento es lícito, adecuado y proporcionado.

Antes del despliegue deberá solicitar información suficiente sobre las fuentes de datos, finalidades previstas, limitaciones conocidas, métricas de rendimiento, colectivos evaluados y salvaguardas disponibles. También habrá que conocer si el proveedor conserva las consultas, utiliza la información para mejorar sus modelos, intervienen subencargados o se producen transferencias internacionales.

No siempre será posible acceder al conjunto de entrenamiento o al funcionamiento interno del modelo. Esa limitación no obliga automáticamente a descartar la herramienta, pero sí exige valorar si la documentación y las pruebas disponibles permiten demostrar que resulta adecuada para el uso concreto. Cuanto mayor sea el impacto sobre las personas, mayor deberá ser la evidencia exigida.

Cuando el tratamiento pueda entrañar un alto riesgo, será obligatoria una evaluación de impacto conforme al artículo 35 del RGPD. La supervisión humana, las auditorías y las pruebas periódicas son salvaguardas recomendables, pero deben ser reales: una persona que se limita a confirmar automáticamente la propuesta del sistema no constituye un control efectivo.

Qué debe hacer la empresa

Inventariar los usos de inteligencia artificial

Identificar qué herramientas tratan datos personales o generan inferencias sobre trabajadores, candidatos, clientes y otras personas.

Definir la finalidad y el nivel de calidad necesario

Establecer por escrito qué debe conseguir el sistema, qué errores son tolerables y qué consecuencias puede producir. Esta documentación forma parte de la responsabilidad proactiva.

Evaluar entradas y resultados

Comprobar el origen, actualidad, representatividad y posibles sesgos de los datos, pero también la precisión de las predicciones, recomendaciones o clasificaciones obtenidas.

Implantar métricas y controles periódicos

Medir falsos positivos y negativos, analizar el rendimiento por colectivos relevantes y revisar el sistema cuando cambien los datos, la finalidad, el proveedor o el contexto de uso.

Establecer revisión humana y gestión de incidencias

Determinar quién puede corregir resultados, paralizar una decisión y atender los derechos de acceso, rectificación, oposición o impugnación que resulten aplicables.

Involucrar al DPD y a los equipos técnicos desde el inicio.

La calidad del dato requiere un enfoque conjunto. Si existe alto riesgo, deberá realizarse la correspondiente Evaluación de impacto (EIPD) antes de poner en funcionamiento el tratamiento.

Business Adapter® consultores expertos en protección de datos

Si tienes dudas contacta a tu consultor de Business Adapter® para solicitarle asesoramiento personalizado.

Si aún no eres cliente y necesitas ayuda para cumplir con la Normativa de Protección de Datos (RGPD, LOPDGDD y LSSI) para tu organización o actividad profesional, estas son nuestras áreas de trabajo:

Contáctanos en el email: info@businessadapter.es, también puedes llamar al 96 131 88 04, o deja tu mensaje en nuestro formulario:

Consúltanos, estaremos encantados de ayudarte