Las leyes de privacidad otorgan a los usuarios ciertos derechos sobre sus datos, pero ninguna jurisdicción les ha concedido la propiedad real de los mismos.
Thomas Trutschel / Getty Images
"Si estacionas tu coche en un estacionamiento, el estacionamiento no es dueño de tu coche," dijo la CEO de Vana, Anna Kazlauskas describir la relación entre los usuarios y las plataformas de datos que almacenan sobre ellos. La analogía es intuitiva. La realidad legal es más complicada.
Ninguna jurisdicción en la Tierra otorga a las personas derechos de propiedad sobre sus datos personales. Lo que existe en su lugar es un mosaico de regulaciones de privacidad, doctrinas de propiedad intelectual y términos contractuales que otorgan a diferentes partes diferentes derechos sobre la misma información. La cuestión de quién posee los datos se ha debatido durante más de dos décadas. El auge de la IA, que requiere grandes cantidades de datos personales para su entrenamiento, lo ha hecho urgente.
El primer marco legal importante que regula los datos personales en línea fue el Directiva ePrivacy, aprobada en 2002 y enmendada en 2009, que se conoció como la "ley de cookies." La directiva original de 2002 permitía cookies con un mecanismo de exclusión simple, tratando la configuración del navegador como una protección suficiente. El enmienda de 2009 cambió el estándar de exclusión a inclusión. El artículo 5(3) de la directiva enmendada establecía que almacenar información en el dispositivo de un usuario solo estaba permitido "a condición de que el abonado o usuario en cuestión haya dado su consentimiento." Este único cambio desencadenó la ola de banners de consentimiento de cookies que ahora aparecen en sitios web en todo el mundo.
La ley de cookies estableció un principio que ha dado forma a cada regulación posterior: Se debe informar a los usuarios qué datos se están recopilando y darles algún mecanismo para controlarlo. Pero el consentimiento no es propiedad. Decirle a un arrendador lo que planeas hacer en un apartamento no convierte al inquilino en el dueño del edificio.
El Reglamento General de Protección de Datos de la UE, que entró en vigor en 2018, es el marco más citado en los debates sobre la propiedad de los datos. El GDPR establece en el Considerando 7 que "las personas físicas deben tener control de sus propios datos personales." Otorga a los sujetos de los datos un conjunto de derechos: acceso, rectificación, borrado, portabilidad y el derecho a oponerse al procesamiento.
Esos derechos se asemejan a la propiedad. No lo son. Las regulaciones del GDPR no otorgan ningún derecho de propiedad sobre los datos, según un análisis del bufete de abogados Clifford Chance. Los derechos derivados del GDPR no incluyen el derecho exclusivo a poseer datos personales. El GDPR solo aborda el derecho a "proteger" los datos, garantizando al sujeto de los datos la posibilidad de controlar los datos, pero no regula la propiedad. El derecho a la protección de datos tampoco confiere un derecho exclusivo a cosechar los beneficios del elemento, como es típico de los derechos de propiedad. Los datos pueden ser utilizados comercialmente por entidades distintas del sujeto de los datos, sin que el sujeto de los datos se beneficie.
A Informe 2024 de la Oficina de Publicaciones de la Comisión Europea hizo explícita esta brecha. El Comité Europeo de Protección de Datos ha declarado que "los datos personales no pueden considerarse como una 'mercancía comercializable'" y que "incluso si el interesado puede consentir el procesamiento de sus datos personales, no puede renunciar a sus derechos fundamentales."
Esta distinción tiene consecuencias reales para la IA. El Artículo 20 del RGPD permite a las personas recibir sus datos personales en un formato legible por máquina y transmitirlo a otro controlador, pero se aplica solo a los datos que el interesado ha proporcionado, no a los datos derivados o inferidos, según un análisis del derecho a la portabilidad. Cuando Instagram construye un perfil psicológico etiquetando a un usuario como probable de tener depresión, esa inferencia pertenece a la categoría de datos que el usuario no puede portar.
La Ley de Privacidad del Consumidor de California, promulgada en 2018 y efectiva el 1 de enero de 2020, adoptó un enfoque diferente al del RGPD. En lugar de enmarcar los datos como un derecho fundamental, lo enmarcó como un problema de protección al consumidor. Otorga a los consumidores de California el derecho a saber qué información personal recopilan las empresas sobre ellos, cómo se utilizan los datos y con quién se comparten, así como el derecho a solicitar la eliminación y a optar por no participar en las ventas.
California fue el primer estado en promulgar una ley de privacidad de datos que otorga a los residentes la propiedad de su información personal, según la firma de cumplimiento Osano. Pero incluso esta caracterización oscurece los límites. La CCPA no crea un derecho de propiedad que los usuarios puedan hacer cumplir como lo harían con la propiedad de una casa o un auto. Crea obligaciones de divulgación y eliminación para las empresas.
EE.UU. no tiene una ley federal integral de privacidad de datos. Diecinueve estados ahora tienen leyes integrales de privacidad del consumidor en vigor a principios de 2026, cubriendo a más de la mitad de la población estadounidense, según la firma de cumplimiento de privacidad Secure Privacy. Cada uno crea derechos del consumidor ligeramente diferentes. Ninguno establece la propiedad de datos como un derecho de propiedad.
El problema se está agravando. Las empresas que recopilan datos de usuario en bruto los procesan en inferencias, predicciones y perfiles. Si los usuarios tienen algún derecho sobre esos derivados es un tema en disputa. En EE.UU., los creadores de datos inferidos a menudo argumentan que es un secreto comercial, con la propiedad permaneciendo con la entidad que toma medidas para protegerlo, según un Análisis de la Asociación de Abogados de Estados Unidos.
La UE está añadiendo nuevas capas. La Ley de IA, el primer marco legal integral sobre IA en todo el mundo, entró en vigor en agosto de 2024. Requiere que los proveedores de modelos de IA de propósito general publiquen resúmenes de datos de entrenamiento, cumplan con la ley de derechos de autor de la UE y compartan información con los reguladores. El artículo 53(1)(d) requiere que los proveedores publiquen un "resumen suficientemente detallado" del contenido de entrenamiento. En diciembre de 2024, la Junta Europea de Protección de Datos adoptó Opinión 28/2024, examinando cuándo los modelos de IA pueden considerarse anónimos, si los intereses legítimos justifican el uso de datos personales para el entrenamiento, y qué ocurre cuando un modelo se desarrolla con datos procesados ilegalmente.
Mientras tanto, la Ley de Datos de la UE, que entró en vigor en enero de 2024 y se aplicó en septiembre de 2025, da un paso más cerca del principio de propiedad en un área. Da a los usuarios de dispositivos conectados un mayor control sobre los datos generados por sus productos, como coches, televisores inteligentes y maquinaria industrial. Pero incluso aquí, los datos altamente enriquecidos, como los datos inferidos o derivados generados por algoritmos, no están incluidos, según el Preguntas frecuentes de la Comisión Europea.
La maquinaria de aplicación está creciendo. Las multas del GDPR totalizaron alrededor de €1.2 mil millones en 2024. El total acumulado desde 2018 ahora asciende a €5.88 mil millones, según el Informe de Multas y Brechas de Datos de DLA Piper GDPR. Pero esas multas castigan el mal manejo de datos. No establecen que los usuarios sean propietarios de ellos.
La analogía del estacionamiento captura lo que muchas personas sienten que debería ser cierto. La ley, hasta ahora, ha declinado hacerlo. Los usuarios tienen derechos crecientes para conocer, acceder y eliminar sus datos. No tienen el derecho de venderlos, licenciarlos o controlar quién se beneficia de las inferencias obtenidas de ellos. Para las empresas que construyen mercados alrededor de los datos proporcionados por los usuarios para el entrenamiento de IA, esa brecha legal es tanto una oportunidad como un riesgo.
Únete a más de 500.000 lectores que comienzan su día con Quartz.
Al suscribirte, aceptas nuestros Términos de servicio y Política de privacidad.
