ChatGPT ya compite con Google como buscador: un cambio estructural en cómo se descubre la información

Durante más de 20 años, hablar de búsqueda online ha sido sinónimo de Google. Ese paradigma acaba de romperse. Según datos de First Page Sage (Q4 2025), ChatGPT ya concentra el 17% de las búsquedas globales, frente al 78% de Google. Es la primera vez en dos décadas que un actor distinto alcanza una cuota de doble dígito.


Para ponerlo en contexto: en 2024, ChatGPT no llegaba ni al 1%.


No estamos ante una moda. Estamos ante un cambio de comportamiento del usuario.


De «buscar» a «preguntar»


El crecimiento de ChatGPT no responde a una mejora incremental, sino a una nueva forma de interactuar con la información. Los usuarios ya no escriben palabras clave: formulan preguntas completas y esperan respuestas directas, contextualizadas y accionables.


Ejemplos cotidianos:


  • «Compárame dos herramientas de analítica y dime cuál me conviene según mis objetivos»
  • «¿Qué herramienta me recomiendas para X
  • «Compárame dos soluciones y dime cuál tiene más sentido según mi caso»

Estas búsquedas, tradicionalmente informacionales o exploratorias, están migrando masivamente a los modelos de lenguaje.


Los datos lo confirman:


  • ChatGPT tiene menos usuarios que Google, pero una duración media de sesión más del doble (13 minutos frente a 6).
  • Domina claramente las búsquedas generativas y creativas (64% de cuota).
  • Su uso es especialmente fuerte en desktop y entre perfiles profesionales.

El problema para las marcas: si no te cita, no existes


Aquí está el punto crítico para marketing.


Cuando un usuario pregunta a ChatGPT por una herramienta, una solución o un proveedor, no recibe una lista de diez enlaces. Recibe una respuesta. Y en esa respuesta, unas marcas aparecen… y otras no.


Para ese 17% de búsquedas, si tu marca no es mencionada, no hay clic posible, no hay impresión, no hay awareness.


Y este porcentaje no deja de crecer.


No es casual que:


  • el 60% de las búsquedas en Google ya sean «zero-click»,
  • el 97% de los marketers reporten impacto positivo del GEO/AEO,
  • y el 94% planeen aumentar inversión en 2026.

¿Ha perdido Google la batalla?


No todavía. Google sigue siendo dominante, especialmente en:


  • búsquedas transaccionales (90%),
  • móvil,
  • usuarios de mayor edad.

Pero incluso ahí el modelo está cambiando: respuestas generadas, resúmenes con IA y menos tráfico directo a las webs.


La estrategia ya no es SEO o IA


La conclusión es clara: 2026 no va de elegir, sino de estar en ambos ecosistemas.


  1. SEO tradicional sigue siendo imprescindible.
  2. GEO / AEO para LLMs es ya una necesidad estratégica.
  3. La visibilidad debe medirse más allá de Google.

La pregunta ya no es si ChatGPT es un buscador. La pregunta es si tu marca está preparada para ser encontrada cuando ya no se busca, sino que se pregunta.


Como siempre, cuidad los datos y ¡cuidaos!


Para ver el estudio con detalle, haz clic aquí.

Email marketing ≠ publicidad en redes sociales: la sanción de 3’5 M€ que todo equipo de marketing debería conocer

La autoridad francesa de protección de datos (CNIL) ha impuesto una sanción administrativa de 3’5 millones de euros a una empresa por múltiples incumplimientos del Reglamento General de Protección de Datos (RGPD). El caso es especialmente relevante porque gira en torno a una infracción tan habitual como peligrosa: utilizar datos personales para una finalidad distinta de aquella para la que fueron recogidos.


La decisión, adoptada el 30 de diciembre de 2025 en cooperación con 16 autoridades europeas, afecta a más de 10’5 millones de personas y ha sido publicada con fines ejemplarizantes, dada la extensión de estas prácticas en el mercado.


¿Qué ocurrió?


Desde febrero de 2018, la empresa transmitía direcciones de correo electrónico y números de teléfono de los miembros de su programa de fidelización a una red social, con el objetivo de mostrarles publicidad personalizada mediante técnicas de custom audiences o CRM matching.


La empresa alegó contar con el consentimiento de los usuarios. Sin embargo, dicho consentimiento se había recabado únicamente para el envío de comunicaciones comerciales por SMS y correo electrónico, no para la comunicación de datos a un tercero ni para la segmentación publicitaria en redes sociales.


El problema clave: el consentimiento no era válido


El tratamiento carecía de base legal válida (art. 6 RGPD) porque:


  • En el formulario de adhesión al programa de fidelización no se informaba de la cesión de datos a una red social.
  • La política de privacidad era confusa, incompleta o directamente errónea, y no permitía comprender la finalidad real del tratamiento.
  • No existía un consentimiento específico, informado e inequívoco, como habría sido, por ejemplo, una casilla separada que mencionara expresamente la publicidad personalizada en redes sociales.

Otros incumplimientos sancionados


Además del problema de base legal, la CNIL identificó múltiples infracciones adicionales:


  • Falta de transparencia ( 12 y 13 RGPD): Las finalidades no se vinculaban claramente con sus bases jurídicas, faltaba información sobre plazos de conservación y se seguía mencionando el Privacy Shield, ya invalidado.
  • Deficiencias en la seguridad ( 32 RGPD): Las políticas de contraseñas no eran suficientemente robustas y se utilizaba SHA-256 para el almacenamiento de contraseñas, un método que no se considera adecuado frente a ataques de fuerza bruta.
  • Ausencia de análisis de impacto (DPIA / AIPD) ( 35 RGPD). El tratamiento implicaba:
    • grandes volúmenes de datos,
    • cruce de información,
    • publicidad personalizada en plataformas de terceros.



Todo ello exigía una evaluación de impacto previa, que nunca se realizó.



Lecciones clave para las empresas


Este caso deja varios mensajes claros:


  • El consentimiento no es reutilizable: cada finalidad exige su propia base legal.
  • El CRM matching y la publicidad en redes sociales no son extensiones naturales del email o SMS marketing.
  • La transparencia no es un trámite formal, sino un requisito material.
  • Si hay segmentación, cruce de datos y gran escala, la DPIA no es opcional.
  • La seguridad técnica (contraseñas, hashing) sigue siendo un pilar esencial del cumplimiento.

Conclusión


La sanción de la CNIL refuerza un principio básico del RGPD: los datos pueden utilizarse únicamente para las finalidades específicas, explícitas y legítimas para las que fueron recogidos.


En un contexto de marketing cada vez más sofisticado y dependiente de plataformas externas, este tipo de decisiones recuerdan que el cumplimiento en protección de datos empieza en el diseño del tratamiento, no cuando llega una inspección.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Pruebas digitales y decisiones automatizadas ante los tribunales laborales: claves del webinar con ASNALA

La gestión algorítmica y el uso de sistemas automatizados en el ámbito laboral ya no son una cuestión de futuro. Evaluaciones de desempeño, sanciones disciplinarias o despidos basados en métricas, rankings o sistemas de scoring están llegando de forma habitual a los Juzgados de lo Social, planteando retos jurídicos y procesales de enorme calado.


En este contexto, desde TecnoLawyer tuvimos el placer de impartir un webinar exclusivo para los socios de ASNALA (Asociación Nacional de Laboralistas), centrado en la litigación laboral cuando la prueba o la decisión empresarial se apoya en algoritmos o sistemas de inteligencia artificial. La sesión fue moderada por Isabel Pedrola, socia de ASNALA, a quien agradecemos especialmente su participación y el interés mostrado por los asistentes.


La digitalización del poder de dirección ya está en los tribunales


Uno de los mensajes centrales del webinar fue claro: el conflicto ya está en los juzgados. No se trata de debatir si la inteligencia artificial es lícita en abstracto, sino de analizar cómo se prueba, cómo se impugna y cómo se controla judicialmente cuando condiciona decisiones empresariales con efectos jurídicos relevantes.


Analizamos cómo el denominado algorithmic management se ha convertido en una manifestación más del poder de dirección empresarial, y por tanto debe someterse a los mismos límites constitucionales y legales que cualquier otra decisión humana.


Prueba algorítmica: riesgos y exigencias procesales


Otro de los ejes de la sesión fue la prueba algorítmica en el proceso laboral. Abordamos los principales riesgos asociados a este tipo de prueba—opacidad técnica, sesgos incorporados, falta de trazabilidad o dificultad de contradicción—y su impacto directo en el derecho a la tutela judicial efectiva.


Se insistió en que la tecnología no rebaja el estándar probatorio, sino que lo eleva: cuanto más opaca y compleja es la prueba, mayor debe ser el esfuerzo explicativo de la parte que la introduce. En este punto, se puso de relieve el papel creciente de la pericia judicial tecnológica como herramienta clave para comprender, auditar y cuestionar sistemas automatizados en sede judicial.


Decisiones automatizadas y derecho a la explicación


El webinar dedicó un bloque específico al artículo 22 del RGPD y al derecho del trabajador a no ser objeto de decisiones exclusivamente automatizadas con efectos jurídicos significativos. Analizamos la jurisprudencia más relevante del TJUE, que ha dejado claro que no basta con una intervención humana meramente formal y que el afectado tiene derecho a recibir información significativa y comprensible sobre la lógica aplicada.


Estas garantías resultan especialmente relevantes en despidos y sanciones disciplinarias, donde la falta de explicación algorítmica puede comprometer gravemente el derecho de defensa.


Transparencia algorítmica y Derecho del Trabajo


Desde la perspectiva estrictamente laboral, se subrayó la importancia del artículo 64 del Estatuto de los Trabajadores, que reconoce el derecho de la representación legal de los trabajadores a ser informada sobre los parámetros y reglas de los algoritmos o sistemas de IA que incidan en las decisiones laborales.


La falta de información previa no es una cuestión menor: puede contaminar todo el procedimiento disciplinario o extintivo y justificar un control judicial reforzado de la decisión empresarial.


El futuro vigente: Reglamento Europeo de Inteligencia Artificial


Finalmente, se analizó el impacto del Reglamento Europeo de Inteligencia Artificial, ya en fase de aplicación y plenamente exigible este 2026. Muchos sistemas utilizados en el ámbito laboral están calificados como de alto riesgo, lo que implica obligaciones reforzadas de supervisión humana, documentación, gestión del riesgo y protección de derechos fundamentales.


El mensaje final fue claro: la tecnología no sustituye las garantías jurídicas; las pone a prueba. Y en ese escenario, el papel del abogado laboralista resulta más decisivo que nunca.


Agradecimiento a ASNALA


Desde TecnoLawyer queremos agradecer expresamente a ASNALA la confianza depositada en nosotros y el interés demostrado por sus socios. Ha sido un placer compartir este espacio de reflexión jurídica y práctica sobre uno de los grandes retos actuales del Derecho del Trabajo.


Tal y como anunciamos durante la sesión, los participantes también han recibido materiales prácticos diseñados para la litigación laboral en contextos de gestión algorítmica, con el objetivo de que el conocimiento adquirido tenga una aplicación directa en el día a día de los despachos.


Seguiremos trabajando para ofrecer formación especializada y herramientas útiles allí donde el Derecho laboral y la tecnología se encuentran.


Como siempre, cuidad los datos y ¡cuidaos!

Minimización mal entendida: 1’2 millones de euros por destruir datos de salud

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 1.200.000 euros a IDCQ Hospitales y Sanidad, S.L.U. (Quirón Salud Madrid) por la eliminación indebida de pruebas médicas aportadas por un paciente. El caso pone el foco en un aspecto crítico—y a menudo mal entendido—de la protección de datos en el ámbito sanitario: la conservación de la documentación clínica, incluso cuando no ha sido generada por el propio centro.


Los hechos: un CD que nunca volvió


En noviembre de 2021, un paciente entregó al hospital un CD con resonancias magnéticas realizadas entre 2018 y 2020 en otros centros, con el objetivo de que fueran comparadas clínicamente con una nueva prueba antes de someterse a su tratamiento asistencial en el hospital. Meses después, al solicitar la devolución del soporte, el hospital le comunicó que las imágenes ya no estaban disponibles debido a su política interna de eliminación de archivos por falta de espacio.


La respuesta fue clara: el soporte había sido destruido tras no ser recogido en el plazo de un mes.


La defensa del hospital: minimización y criterio médico


El hospital alegó que el CD no formaba parte de la historia clínica oficial al ser una prueba proveniente de otros centros, que la información relevante ya había sido incorporada al informe médico y que conservar las imágenes originales sería contrario al principio de minimización de datos. Además, sostuvo que el paciente había sido informado del plazo de recogida, por lo que su falta de acción durante ese plazo legitimaba la destrucción del soporte.


Un planteamiento que, sobre el papel, parecía alinearse con ciertos principios del RGPD. Pero que no convenció a la AEPD.


El criterio de la AEPD: documentación clínica no es solo historia clínica


La Agencia rechaza de forma tajante estas alegaciones. Apoyándose en la Ley 41/2002, de autonomía del paciente, recuerda que existe una diferencia clave entre historia clínica y documentación clínica.


Esta última incluye cualquier soporte que contenga información asistencial, con independencia de su origen o de quién lo haya generado. Es decir, la ley no diferencia entre si la documentación clínica ha sido aportada por el paciente o generada por el centro.


Por lo tanto, aquí está el punto central: las pruebas aportadas por el paciente también son documentación clínica, y como tal, deben conservarse durante al menos cinco años (art. 17 de la Ley 41/2002), precisamente para garantizar la continuidad asistencial y la seguridad del paciente.


Las infracciones: un fallo que va más allá de un error puntual


La AEPD aprecia tres infracciones graves del RGPD:


  • Artículo 9 RGPD (100.000 €): supresión de datos de salud—categoría especial—sin que concurriera ninguna de las excepciones del artículo 9.2.
  • Artículo 6 RGPD (100.000 €): tratamiento (en este caso, eliminación) sin base jurídica válida.
  • Artículo 25 RGPD (1.000.000 €): ausencia de privacidad desde el diseño y por defecto, al evidenciarse un problema estructural en la gestión de soportes con datos de salud.

La Agencia subraya que no se trata de un descuido aislado, sino de una deficiencia sistémica en los procedimientos internos.


Conclusiones


Entre los factores agravantes destacan el elevado volumen de negocio de la empresa, la extrema sensibilidad de los datos, la naturaleza sanitaria de su actividad y el daño irreversible causado al paciente, que podría afectar a estudios médicos futuros.


La resolución deja un mensaje claro para el sector sanitario: la minimización de datos no puede convertirse en una excusa para suprimir información que la ley obliga a conservar. Y menos aún cuando hablamos de datos de salud.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Navidades… ¿demasiado inteligentes? Los peligros ocultos de los juguetes con IA para niños

La nueva estrella de los regalos navideños


Estas Navidades, los juguetes con inteligencia artificial integrada se han convertido en uno de los productos más llamativos del mercado. Robots interactivos, peluches «conversacionales» y figuras animadas prometen hablar con los niños, responder preguntas, contar historias e incluso «aprender» de cada interacción.


Aunque juguetes parlantes existen desde hace décadas—basta recordar a los Furbies—, la diferencia ahora es sustancial: muchos de estos productos están conectados a modelos avanzados de IA, similares a los chatbots que utilizan los adultos. Y ahí es donde empiezan los problemas.


Tecnología novedosa, efectos desconocidos


Una reciente investigación del U.S. Public Interest Research Group (PIRG) y pruebas independientes realizadas por NBC News han encendido las alarmas. Los expertos advierten de que se trata de una tecnología poco probada en menores, cuyos efectos a medio y largo plazo se desconocen.


La pregunta clave, según los investigadores, es inquietante: ¿estamos «experimentando» con niños utilizando tecnologías que ni siquiera los adultos comprendemos del todo?


Respuestas peligrosas e inapropiadas


Las pruebas realizadas por la NBC News a varios juguetes populares revelaron comportamientos preocupantes. Algunos peluches y robots fueron capaces de:


  • Dar instrucciones detalladas para encender cerillas o afilar cuchillos.
  • Responder de forma explícita a preguntas sobre sexo, drogas o prácticas sexuales.
  • Ofrecer contenidos ideológicos o políticos sin ningún tipo de contexto.

En conversaciones prolongadas, los llamados «guardarraíles» de seguridad—diseñados para evitar contenidos inapropiados—fallaban con frecuencia, dejando pasar respuestas claramente incompatibles con un público infantil.


Privacidad infantil: el gran olvidado


Más allá del contenido, la protección de datos es otro de los grandes riesgos. Algunos de estos juguetes recogen y almacenan:


  • Grabaciones de voz.
  • Conversaciones completas.
  • Datos biométricos como rostro, tono emocional o patrones de uso.

En ciertos casos, estas informaciones pueden conservarse durante años y compartirse con terceros, pese a que el propio juguete asegure verbalmente al niño que «no contará nada a nadie». Una contradicción especialmente grave cuando hablamos de menores.


Dependencia emocional y vínculo artificial


Los expertos en desarrollo infantil alertan también del riesgo de apego emocional. Muchos de estos juguetes están diseñados para fomentar interacciones prolongadas, hacer preguntas constantes y «recompensar» al niño por seguir jugando.


El problema es que, a edades tempranas, este tipo de vínculo con una IA puede afectar al desarrollo del lenguaje, la socialización y la capacidad de relacionarse con personas reales. No es casualidad que pediatras y asociaciones infantiles recomienden limitar el tiempo de exposición a pantallas y dispositivos inteligentes.


¿Qué deberían tener en cuenta las familias esta Navidad?


La inteligencia artificial no es, en sí misma, el enemigo. Pero, aplicada sin suficiente regulación, transparencia ni estudios previos, puede convertirse en un riesgo real para los niños.


Estas Navidades, antes de colocar un juguete «inteligente» bajo el árbol, conviene hacerse algunas preguntas básicas: ¿qué datos recoge?, ¿quién los controla?, ¿qué tipo de respuestas puede dar?, ¿pueden los padres limitar su uso?


A veces, el mejor regalo no es el más tecnológico, sino aquel que fomenta el juego compartido, la creatividad y la conexión familiar. Porque no todo lo que habla… debería hacerlo.


Como siempre, cuidad los datos y ¡cuidaos!

EE. UU. endurece el control digital a turistas: redes sociales y privacidad en el centro del debate

Viajar a Estados Unidos podría dejar de ser un trámite relativamente sencillo para millones de personas. La Administración Trump ha anunciado una propuesta que obligaría a los viajeros que utilicen el Visa Waiver Program (VWP) a declarar los identificadores de redes sociales usados en los últimos cinco años como parte del proceso de autorización de viaje.


La medida, publicada por la U.S. Customs and Border Protection (CBP), forma parte de una estrategia más amplia destinada a reforzar el control migratorio y «examinar a los visitantes al máximo nivel posible». Si se aprueba, entraría en vigor el 8 de febrero y afectaría a ciudadanos de 42 países, principalmente europeos, además de Australia y otros socios tradicionales de EE. UU.


Más datos personales, más preguntas


El cambio no se limita a las redes sociales. El formulario ESTA pasaría a exigir también:


  • Todas las direcciones de correo electrónico utilizadas en los últimos diez años.
  • Información detallada sobre familiares directos (padres, hermanos, hijos y cónyuges), incluyendo nombres, fechas y lugares de nacimiento y domicilios.

Aunque el aviso se encuentra en fase de consulta pública durante 60 días, el alcance de la información solicitada ha generado inquietud inmediata, tanto dentro como fuera del país.


El impacto en el turismo y los negocios


Desde el sector turístico estadounidense, las reacciones han sido cautelosas pero preocupadas. La U.S. Travel Association ha advertido de que un proceso de entrada demasiado intrusivo puede provocar que los viajeros internacionales opten por otros destinos.


Esta preocupación no es menor si se tiene en cuenta el contexto: Estados Unidos será uno de los anfitriones del Mundial de Fútbol de 2026, un evento que se espera atraiga a millones de visitantes y contribuya a revitalizar el turismo internacional, que ha sufrido un descenso en los últimos años.


Las críticas no se han hecho esperar. La senadora demócrata Patty Murray ha ironizado e indicado que «sería más fácil prohibir directamente el turismo». Desde el ámbito académico, algunos analistas han señalado que el nivel de control propuesto resulta incluso más restrictivo que el aplicado por países con políticas fronterizas tradicionalmente duras.


Estas comparaciones han alimentado el debate sobre si la medida es realmente eficaz desde el punto de vista de la seguridad o si, por el contrario, supone un coste reputacional para EE. UU.


Privacidad digital: el gran debate de fondo


Desde una perspectiva de derecho digital, la propuesta plantea cuestiones clave sobre privacidad y tratamiento de datos personales. La recopilación masiva de información online y familiar contrasta con principios como la minimización y la proporcionalidad, ampliamente consolidados en normativas como el Reglamento General de Protección de Datos (RGPD) en Europa.


Aunque estas normas no sean directamente aplicables en EE. UU., sí influyen en la percepción que ciudadanos y empresas extranjeras tienen sobre la seguridad y el uso de sus datos.


Seguridad, dinero y contradicciones


De forma paralela, la Administración ha lanzado programas como la denominada «gold card», que permitiría obtener la residencia permanente a quienes inviertan un millón de dólares, o una futura «platinum card» de cinco millones. Una dualidad que refuerza la sensación de que el control no se aplica de igual forma a todos los perfiles.


En un mundo cada vez más digital, las fronteras ya no solo se controlan con pasaportes, sino también con datos. Y la pregunta clave sigue abierta: ¿hasta dónde estamos dispuestos a llegar en nombre de la seguridad?


Como siempre, cuidad los datos y ¡cuidaos!

Nano Banana Pro: el nuevo desafío para la identidad digital y la seguridad del futuro

La irrupción del modelo Nano Banana Pro de Google, capaz de generar imágenes sintéticas de documentos de identidad y rostros con una precisión sin precedentes, ha reabierto un debate crítico: ¿cómo proteger la identidad digital en un entorno donde la vista humana—e incluso ciertos sistemas automatizados—pueden ser engañados con una facilidad creciente?


Mientras algunos expertos advierten de que esta tecnología permite fabricar pasaportes, carnés de conducir o identificaciones universitarias falsas con un realismo alarmante, otros recuerdan que los sistemas modernos de verificación no se basan exclusivamente en análisis visuales. Ambas perspectivas son válidas y, de hecho, subrayan la conclusión más importante: el modelo tradicional de identificación está bajo una tensión sin precedentes.


Identidades sintéticas: un riesgo que ya no es teórico


El gran salto cualitativo del Nano Banana Pro es su capacidad para replicar patrones visuales con un nivel de fidelidad que supera lo que hace apenas unos meses parecía plausible. Esto supone un riesgo real para procesos que siguen apoyándose, parcial o totalmente, en pruebas fotográficas o en la correspondencia entre «persona en cámara» y «foto en documento».


Algunos casos especialmente sensibles son:


  • Verificación de edad mediante documentos físicos o imágenes.
  • Monitorización de exámenes con validación puntual de identidad.
  • Alta de usuarios en plataformas bancarias o fintech mediante una foto del documento.
  • Procesos de on-boarding en empresas, telemedicina o voluntariado.

El fenómeno del face swapping aplicado sobre una identidad verificable amplifica aún más el problema: el atacante ya no necesita manipular un documento, sino superponer un rostro falso sobre un usuario real durante la verificación.


No todo es apocalipsis: los sistemas serios ya no dependen solo de imágenes


Es cierto que los documentos actuales—especialmente en Europa—incorporan múltiples capas de seguridad físicas y electrónicas: hologramas dinámicos, microimpresiones, filigranas, MRZ, chips NFC y firmas criptográficas. Ninguna IA puede replicar estos elementos a través de una simple imagen generada, y los procesos robustos de on-boarding exigen lectura de chip, validación criptográfica y pruebas de vida avanzadas.


Dicho de otro modo: las organizaciones que ya usan métodos modernos no están desprotegidas, pero el ecosistema global sí enfrenta un reto importante, porque aún hay multitud de servicios que se basan en capturas de pantalla, fotos o verificaciones visuales básicas.


¿Qué deben hacer las organizaciones ahora?


  1. Abandonar la foto como única prueba de identidad. La imagen es un factor, pero ya no puede ser el factor decisivo.
  2. Adoptar modelos de confianza en capas. Verificación continua, señales de comportamiento, lectura de chip, biometría dinámica y metadatos de procedencia.
  3. Tratar la gobernanza de la IA como un área operativa. La supervisión pasiva no sirve frente a amenazas que evolucionan a gran velocidad.
  4. Preparar un plan de respuesta para fraude sintético. Cualquier institución que gestione identidades debe anticipar escenarios de suplantación avanzada.

Conclusión: un aviso y una hoja de ruta


El Nano Banana Pro no destruye de un día para otro la identificación digital, pero sí marca un antes y un después. La autenticidad ya no puede apoyarse únicamente en lo visual. La seguridad—en privacidad, identidad y ciberseguridad—dependerá de nuestra capacidad para evolucionar hacia modelos donde la verificación no sea un instante, sino un proceso continuo y resiliente.


Como siempre, cuidad los datos y ¡cuidaos!

Llega el canal europeo de denuncias sobre IA: qué supone para las empresas y cómo prepararse

La gobernanza de la inteligencia artificial en Europa da un paso decisivo con el lanzamiento de la AI Act Whistleblower Tool, el nuevo canal europeo para denunciar infracciones relacionadas con el uso y desarrollo de sistemas de IA. La herramienta, impulsada por la Oficina Europea de Inteligencia Artificial, introduce una capa adicional de vigilancia en un momento clave: el Reglamento de Inteligencia Artificial (RIA o AI Act) avanza hacia su plena aplicación, y las empresas tecnológicas deberán reforzar su cultura de cumplimiento normativo.


Aunque muchas obligaciones del RIA aún no son exigibles, Bruselas quiere anticiparse a posibles incumplimientos y convierte a empleados, colaboradores y socios comerciales en aliados estratégicos para detectar riesgos. Este enfoque se suma al marco ya existente en España, compuesto por la Autoridad Independiente de Protección del Informante (AIPI), la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) y los sistemas internos de información obligatorios bajo la Ley 2/2023.


¿En qué consiste la AI Act Whistleblower Tool?


Se trata de un canal de denuncia externo, seguro, confidencial y totalmente independiente de los sistemas internos de las compañías. Permite comunicar presuntas infracciones del RIA, tanto en obligaciones ya activas como en ámbitos conexos afectados por el despliegue de IA:


  • Seguridad de productos.
  • Protección del consumidor.
  • Privacidad y seguridad de los datos.
  • Prácticas internas que puedan poner en riesgo derechos fundamentales o la confianza pública.

No obstante, los expertos advierten que su alcance todavía es limitado: algunas obligaciones—como la transparencia sobre los datos de entrenamiento—no serán exigibles hasta fases posteriores, y la protección plena de los denunciantes no será aplicable hasta el 2 de agosto de 2026.


Un ecosistema de canales que convivirá y se solapará


El nuevo canal europeo no sustituye a los mecanismos nacionales. Las denuncias podrán presentarse tanto por vía interna como externa, sin necesidad de agotar ninguna vía previamente. Esto abre la puerta a investigaciones paralelas y, potencialmente, a un solapamiento de sanciones si concurren distintos supervisores.


Ante esta falta de claridad práctica, los especialistas en compliance recomiendan reforzar los sistemas internos para mejorar su eficacia y capacidad de respuesta. La Ley 2/2023 exige que el sistema interno sea accesible, garantice el anonimato y la confidencialidad, proteja frente a represalias y cuente con una gestión independiente, aunque la operación pueda externalizarse.


Además, las empresas deben informar no solo de su canal interno, sino también de los canales externos disponibles, incluidos los europeos.


¿Qué deben hacer ahora las tecnológicas?


Con la puesta en marcha del canal europeo, las organizaciones que desarrollan o integran IA deberían:


  1. Revisar y actualizar sus programas de compliance, incorporando obligaciones del RIA y protocolos específicos de IA.
  2. Auditar sus sistemas internos de información para garantizar su eficiencia, accesibilidad y alineación con la Ley 2/2023.
  3. Capacitar a los equipos sobre obligaciones del AI Act, riesgos legales y funcionamiento de los distintos canales.
  4. Evaluar el impacto de posibles investigaciones simultáneas y preparar planes de respuesta coordinados.

En un entorno regulatorio cada vez más complejo, la prevención y la transparencia serán claves para evitar riesgos sancionadores y reputacionales. El mensaje es claro: la era de la supervisión reforzada de la IA ya ha comenzado, y las empresas deben estar preparadas.


Como siempre, cuidad los datos y ¡cuidaos!

Biometría en turbulencias: qué revela la sanción millonaria de la AEPD a AENA

La Agencia Española de Protección de Datos ha impuesto a AENA la multa más elevada de su historia: 10.043.002 € por la utilización de sistemas de reconocimiento facial en varios aeropuertos sin haber llevado a cabo una Evaluación de Impacto en Protección de Datos (EIPD) completa y válida, conforme a lo exigido por el artículo 35 del RGPD. La resolución, extensa y detallada, ofrece un análisis exhaustivo de las deficiencias detectadas en el diseño y la documentación del tratamiento de datos biométricos por parte de la entidad.


El expediente deja claro que el problema no fue la adopción de tecnología biométrica como concepto, sino cómo se diseñó y se justificó su implantación. La Agencia concluye que AENA no acreditó adecuadamente la necesidad, proporcionalidad ni los riesgos del sistema, aspectos que constituyen el núcleo de una EIPD robusta y previa.


Un tratamiento de alto riesgo sin una EIPD adecuada


A lo largo de la resolución, la AEPD identifica diversas carencias estructurales en la evaluación presentada por AENA:


  • Insuficiencia en el análisis de necesidad y proporcionalidad. Las EIPD no demostraban por qué era imprescindible recurrir a un sistema de identificación 1:N, basado en comparación contra bases de datos centralizadas, cuando existían métodos menos invasivos que podían cumplir la misma finalidad operativa.
  • Análisis de riesgos incompleto y desalineado con el proyecto inicial. La documentación aportada no incluía el análisis de riesgos original de 2021; en su lugar, se presentó uno elaborado en 2023, desconectado del diseño previo y, por tanto, incapaz de justificar el tratamiento desde su concepción.
  • Metodología inadecuada para un proyecto de alta complejidad. La Agencia subraya que se utilizaron herramientas orientadas a organizaciones más pequeñas, no adecuadas para un sistema implantado en varios aeropuertos y que trataba datos de categoría especial.
  • Falta de coherencia entre las advertencias recibidas y la continuidad del proyecto. AENA había planteado consultas previas en las que reconocía dificultades para reducir el riesgo a niveles aceptables, pero, aun así, avanzó hacia fases piloto y operativas sin disponer de una EIPD completa.

Un matiz importante: la AEPD no rechaza la biometría en aeropuertos


Aunque la sanción sea contundente, la Agencia no cuestiona que la biometría pueda utilizarse legítimamente en aeropuertos. De hecho, la propia resolución alude al Dictamen 11/2024 del Comité Europeo de Protección de Datos, que describe modelos de uso compatibles con el RGPD.


La clave está en el diseño. Existen escenarios en los que la tecnología biométrica se basa en:


  • Plantillas almacenadas únicamente en el dispositivo del pasajero.
  • Comparaciones 1:1 locales y efímeras.
  • Ausencia de almacenamiento centralizado por parte del operador.

Este tipo de soluciones, menos intrusivas y más contenidas, podrían superar el juicio de necesidad y proporcionalidad que exige el RGPD y que la AEPD ha echado en falta en el caso de AENA.


Conclusión: un aviso y una hoja de ruta


La sanción no cierra la puerta a la biometría, pero sí marca un estándar claro: cualquier tratamiento de este tipo exige justificación sólida, metodología adecuada y una EIPD exhaustiva, previa y bien fundamentada. La innovación y la eficiencia operativa son compatibles con la protección de datos, siempre que se integren desde el diseño las garantías necesarias.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Revisión Textos Legales Web