RGPD y chatbots de IA: ¿los datos seudonimizados siguen siendo datos personales?

Sustituir los nombres por marcadores de posición es un buen primer paso. Según el RGPD, eso por sí solo no hace que los datos sean anónimos. En este artículo se explica qué dice el reglamento, qué decidió el Tribunal de Justicia de la UE en septiembre de 2025 y qué hacer al respecto.

La respuesta breve

Sí, por regla general. El RGPD dice que los datos personales que se hayan seudonimizado y que puedan atribuirse a una persona mediante el uso de información adicional siguen siendo información sobre una persona identificable. Si tienes la clave que permite vincular «Person_1» con un nombre real, el texto que sustituiste sigue siendo dato personal para ti, y el tratamiento que haces de él está sujeto al RGPD.

La respuesta más matizada es que depende de quién tenga los datos y de qué medios podría utilizar razonablemente para identificar a la persona. Ahí es donde importa la decisión judicial de 2025.

Qué dice el RGPD

El artículo 4, apartado 5, define la seudonimización así:

«el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable»

El considerando 26 dice que los datos personales que se hayan seudonimizado y que puedan atribuirse a una persona física mediante el uso de información adicional deben considerarse información sobre una persona física identificable. Para determinar si una persona es identificable, deben tenerse en cuenta todos los medios razonablemente probables de utilizarse, como la singularización, ya sea por el responsable del tratamiento o por otra persona, incluidos el coste y el tiempo necesarios y la tecnología disponible.

De la redacción se desprenden dos puntos prácticos. La clave debe guardarse por separado, con medidas técnicas y organizativas. Y la condición de «identificable» se evalúa según medios realistas, no según si la identificación es teóricamente posible.

Qué añadió el Tribunal de Justicia en 2025

El 4 de septiembre de 2025, el Tribunal de Justicia de la UE resolvió el asunto SEPD contra JUR (asunto C-413/23 P). Se refería a comentarios que una autoridad bancaria entregó a una consultora después de sustituir la identidad de sus autores por códigos. El asunto se resolvió con arreglo al Reglamento 2018/1725, aplicable a las instituciones de la UE, pero sus definiciones de datos personales y seudonimización son equivalentes a las del RGPD.

El Tribunal determinó que los datos seudonimizados no deben considerarse datos personales «en todos los casos y para toda persona». Que los datos sean personales para un destinatario concreto depende de las circunstancias, entre ellas si ese destinatario dispone de medios cuyo uso sea razonablemente probable para reidentificar a las personas implicadas. La parte que realizó la seudonimización y conserva la información adicional se encuentra en una situación distinta a la de un destinatario que no tiene forma de vincular los códigos con nadie.

Se trata de una novedad jurídica que los especialistas todavía están analizando. No interpretes esto como permiso para enviar datos seudonimizados de clientes a cualquier parte. La decisión dice que la cuestión se evalúa desde la perspectiva del destinatario, no que deje de plantearse.

Qué significa esto para un chatbot de IA

• Sigues siendo el responsable del tratamiento de los datos originales y de la clave. Tus propias obligaciones en virtud del RGPD se aplican a lo que hagas con el documento, incluida la sustitución.
• Que el proveedor de IA reciba datos personales es una cuestión que depende de los hechos concretos. El contexto puede identificar a una persona incluso sin su nombre: un puesto poco común, una localidad pequeña o un acontecimiento inusual. Si alguien pudiera deducir razonablemente de quién trata el texto, considéralo dato personal.
• No bases tu postura de cumplimiento en la idea de que los marcadores de posición hacen que el texto sea anónimo. Planifica como si todavía pudieran ser datos personales y trata los marcadores de posición como una salvaguarda más entre varias.

Aun así, vale la pena seudonimizar, y el RGPD lo reconoce. El artículo 32, apartado 1, letra a), incluye la seudonimización entre las medidas de seguridad que puede utilizar un responsable del tratamiento. Los considerandos 28 y 78 dicen que puede reducir los riesgos para los interesados y contribuye a la protección de datos desde el diseño y por defecto. El reglamento la considera una salvaguarda, no una vía para quedar fuera de su ámbito.

Qué hacer en la práctica

1. Minimiza primero. Envía solo el fragmento que la tarea necesita. Consulta cómo usar herramientas de IA con documentos de clientes.
2. Sustituye todos los identificadores, no solo los nombres. Los números de cuenta, los números de identificación y las fechas de nacimiento también son identificadores. La lista de verificación los enumera.
3. Guarda la clave de tu lado, separada del texto que envías, y elimínala cuando termine el asunto.
4. Comprueba las condiciones del proveedor y tu plan. Un plan empresarial con un acuerdo de tratamiento de datos ofrece una situación distinta a la de una cuenta personal gratuita. Consulta qué dicen los ajustes de datos.
5. Pide asesoramiento para los casos de alto riesgo: datos de salud, datos de menores, categorías especiales o cualquier caso en que una filtración pudiera tener consecuencias graves.

En el uso cotidiano, los términos se emplean de manera imprecisa. Anonimización, seudonimización y supresión los compara.

Preguntas frecuentes

¿Los datos seudonimizados son lo mismo que los datos anónimos?

No. El considerando 26 dice que los principios de protección de datos no se aplican a la información anónima; es decir, a la información que no guarda relación con una persona identificable, o a los datos anonimizados de tal manera que la persona ya no sea identificable. Los datos seudonimizados que pueden volver a vincularse pertenecen a una categoría distinta.

¿Prohíbe el RGPD usar herramientas de IA con datos personales?

No. Exige una base jurídica, minimización, seguridad y, si hay un proveedor, un contrato adecuado. El uso de marcadores de posición ayuda a minimizar los datos.

¿Se aplica esto fuera de la UE?

El Reino Unido tiene su propia versión, y muchos países cuentan con normas similares. El RGPD también puede aplicarse a empresas de fuera de la UE que prestan servicios a personas que están en ella.

ClientSafe guarda en tu PC la tabla que vincula los marcadores de posición con los nombres reales. El texto que copias para una herramienta de IA solo contiene los marcadores de posición. Primero revisa lo que ha encontrado, porque ninguna herramienta detecta todo.

Información general, no asesoramiento jurídico. Consulta a un asesor cualificado en protección de datos sobre tu propia situación.