La inteligencia artificial está transformando el tratamiento de datos, y las empresas deberán adaptar su documentación para cumplir con las nuevas exigencias. Todo tratamiento que se recabe, procese o delegue mediante sistemas de IA deberá someterse a medidas más estrictas y una vigilancia reforzada, garantizando así la protección efectiva de los derechos digitales.
Recientemente en el curso de verano de la Universidad Internacional Menéndez Pelayo, Cotino realizó una intervención en el curso de verano de la Universidad Internacional Menéndez y dejó claro que la AEPD no va a limitarse a reaccionar ante los cambios tecnológicos: va a liderarlos. Desde una perspectiva profesional, resulta especialmente relevante su apuesta por la creación de un Laboratorio de Privacidad, donde se integren conocimientos técnicos y jurídicos para generar soluciones aplicables.
Otro dato significativo es el aumento del 30 % en las reclamaciones ante la Agencia en el primer semestre del año. Este incremento refleja una ciudadanía más consciente de sus derechos, pero también la necesidad urgente de reforzar los recursos humanos y técnicos de la institución.
¿Pero quién es Lorenzo Cotino?
Lorenzo Cotino Hueso es una figura destacada en el ámbito jurídico español, especialmente en lo que respecta a derechos fundamentales y protección de datos. Catedrático de Derecho Constitucional en la Universitat de València, ha sido magistrado suplente del Tribunal Superior de Justicia de la Comunitat Valenciana y vocal del Consejo de Transparencia. Su trayectoria académica y profesional lo posiciona como un experto en el cruce entre tecnología, legalidad y derechos digitales.
Con más de 180 publicaciones científicas y la coordinación de redes sobre inteligencia artificial, administración electrónica y privacidad, Cotino representa una visión profundamente técnica y ética del futuro digital. Su nombramiento como presidente de la Agencia Española de Protección de Datos (AEPD) no solo es acertado, sino necesario.
Un plan estratégico con visión colaborativa
Cotino presentó el Plan Estratégico 2025–2030, compuesto por 45 objetivos y más de 200 medidas. Lo más destacable es que se ha construido desde la escucha activa, con más de 470 aportaciones de profesionales, empresas y ciudadanos. Esta forma de trabajo, basada en la co-creación, es precisamente lo que necesita una institución que debe adaptarse a un entorno digital cambiante.
Inteligencia artificial y privacidad: ¿enemigos o aliados?
Cotino ha sido claro: la inteligencia artificial no está reñida con la privacidad. La AEPD va a trabajar para que los tratamientos de datos personales se realicen con todas las garantías. Esta postura resulta sensata y necesaria, especialmente en un momento en que la IA avanza más rápido que la regulación.
No obstante, conviene observar con atención cómo se aplicarán estas medidas. Existe el riesgo de que, bajo la bandera de la protección de datos, se acabe frenando el desarrollo de la inteligencia artificial en España o Europa, limitando la competitividad frente a otros mercados más flexibles. La clave estará en encontrar un equilibrio real entre garantía jurídica y estímulo tecnológico.
¿Qué cambios se prevén en el RGPD y cómo afectarán a consultores y empresas?
La evolución del Reglamento General de Protección de Datos (RGPD) hacia 2025–2030 no implica una reforma radical, pero sí una reinterpretación más exigente en su aplicación. La Agencia Española de Protección de Datos (AEPD), bajo el liderazgo de Lorenzo Cotino, ha dejado claro que se apostará por una supervisión más proactiva, especialmente en el uso de tecnologías disruptivas como la inteligencia artificial y la biometría.
Actualización de documentación y registros adaptados para el tratamiento de IA
Los consultores deberán revisar y actualizar toda la documentación entregada a sus clientes, incluyendo:
- Registros de actividades de tratamiento: Se exigirá mayor detalle en los fines del tratamiento, las bases jurídicas y las medidas de seguridad aplicadas si el tratamiento se realiza con inteligencia artificial.
- Políticas de privacidad: Deberán incorporar cláusulas específicas sobre el uso de algoritmos, decisiones automatizadas y transferencias internacionales.
- Contratos con encargados del tratamiento: Se prevé una revisión más estricta de las cláusulas contractuales, especialmente en lo relativo a subencargados y auditorías.
Nuevas medidas técnicas y organizativas
La AEPD está promoviendo un enfoque basado en el riesgo, lo que implica que las medidas de seguridad ya no serán genéricas, sino adaptadas al tipo de tratamiento y al nivel de riesgo para los derechos de los interesados. Esto incluye:
- Cifrado y seudonimización avanzada.
- Auditorías periódicas de sistemas automatizados.
- Protocolos de respuesta ante brechas de seguridad más exigentes.
Evaluaciones de impacto y análisis de necesidad
Las Evaluaciones de Impacto en Protección de Datos (EIPD) serán más frecuentes y detalladas. La AEPD ha publicado listas orientativas de tratamientos que requieren o no requieren EIPD, pero se espera que estas listas se actualicen para incluir nuevos escenarios como:
- Tratamientos con IA generativa.
- Uso de datos biométricos en entornos laborales.
- Monitorización masiva en espacios públicos.
Además, los análisis de necesidad deberán justificar no solo la legalidad del tratamiento, sino su proporcionalidad y compatibilidad con los principios éticos del RGPD.
Nuevas exigencias para los clientes si se utiliza IA
Las empresas deberán asumir un rol más activo en el cumplimiento normativo. Esto implica:
- Designar Delegados de Protección de Datos (DPO) incluso en casos donde no era obligatorio antes.
- Implementar códigos de conducta sectoriales y sistemas de certificación.
- Participar en procesos de consulta previa con la AEPD cuando el tratamiento implique riesgos elevados.
Supuestos futuros: ¿hacia un RGPD más dinámico?
Aunque no hay una reforma legislativa en curso, se barajan escenarios como:
Protección de datos como derecho evolutivo: Se espera que el RGPD se interprete cada vez más como un marco ético, no solo legal, lo que exigirá a los consultores una formación continua y multidisciplinar.
RGPD 2.0: Una versión revisada que incorpore principios de gobernanza algorítmica, transparencia automatizada y derecho a la explicabilidad.
Interoperabilidad normativa: Mayor alineación con otras normativas como la Ley de Inteligencia Artificial de la UE o la futura Ley de Neurotecnologías.
La nota oficial de la noticia puede consultarse en la web de la Agencia Española de Protección de Datos (AEPD).