Represión de la privacidad en IA: 61 organismos reguladores apuntan a los riesgos de la IA generativa

Tuvo que ocurrir un escándalo de deepfake para que se rompiera la presa.

El 23 de febrero de 2026, las autoridades de protección de datos de 61 jurisdicciones de todo el mundo publicaron una declaración conjunta que envió un mensaje contundente a todas las empresas que desarrollan, implementan o se benefician de la IA generativa: deja de replicar personas reales sin su consentimiento o atente a las consecuencias.

Puntos clave

1. 61 jurisdicciones se alinean en la aplicación de la protección de datos en IA—creando un estándar global de facto. El 23 de febrero de 2026, autoridades de protección de datos de 61 jurisdicciones emitieron una Declaración Conjunta sobre Imágenes Generadas por IA a través de la Global Privacy Assembly, advirtiendo a los proveedores de IA generativa que no creen ni distribuyan contenido que replique de manera realista a personas identificables sin consentimiento. No es una acción regulatoria aislada—es una alineación global coordinada sobre expectativas de protección de datos en IA. La declaración señala específicamente imágenes íntimas no consentidas, deepfakes y riesgos de explotación para menores y grupos vulnerables. Para organizaciones que gestionan datos sensibles en ecosistemas complejos de socios, esto confirma que la gobernanza de IA es, en esencia, un reto de gobernanza de datos. Kiteworks lo aborda directamente: una plataforma unificada que gestiona la comunicación de contenido sensible a través de correo electrónico, uso compartido de archivos, SFTP, transferencia de archivos gestionada, formularios web y APIs, con aplicación centralizada de políticas y un registro de auditoría consolidado que captura cada interacción sin importar el canal o el límite organizacional—asegurando que, cuando los reguladores de cualquiera de esas 61 jurisdicciones pregunten, tengas las pruebas para demostrar cumplimiento.
2. Las leyes de privacidad existentes ya regulan la IA—los reguladores no van a esperar nuevas normativas. La declaración conjunta enfatiza que el GDPR, CCPA, la Ley de Protección de Datos del Reino Unido, la LGPD de Brasil y decenas de otras leyes de privacidad ya se aplican a los datos de entrenamiento y a los resultados generados por IA. Los reguladores no están proponiendo nuevos marcos—están afirmando su autoridad de aplicación bajo la ley vigente. Esto significa que las organizaciones enfrentan riesgos de cumplimiento inmediatos, no incertidumbre regulatoria futura. Las empresas de IA que procesan imágenes personales sin consentimiento enfrentan investigaciones hoy bajo las normativas actuales, con sanciones del GDPR que pueden alcanzar el 4% de los ingresos anuales globales. Kiteworks proporciona la infraestructura de cumplimiento que las organizaciones necesitan ahora mismo: plantillas de cumplimiento preconfiguradas alineadas con NIST, ISO 27001, SOC 2, CMMC, HIPAA, GDPR, NIS 2 y más de 50 marcos adicionales—con aplicación continua y en tiempo real de políticas, en lugar de auditorías periódicas basadas en documentos que dejan brechas entre lo que dicen tus políticas y lo que realmente hacen tus sistemas.
3. Los datos biométricos e imágenes personales ahora reciben el máximo nivel de escrutinio regulatorio. La declaración de la DPA deja claro que las réplicas realistas generadas por IA de personas identificables activan requisitos estrictos de protección de datos—consentimiento, minimización de datos, limitación de propósito. Según el Artículo 9 del GDPR, las imágenes faciales e identificadores biométricos son datos de categoría especial que requieren consentimiento explícito y salvaguardas reforzadas. El escándalo de deepfake de Grok que precedió esta declaración mostró exactamente lo que ocurre cuando faltan estas protecciones: imágenes sexualizadas no consentidas generadas a escala industrial, investigaciones iniciadas por la DPC de Irlanda, la ICO del Reino Unido, fiscales franceses y reguladores en toda Asia. El Data Policy Engine de Kiteworks aplica controles de acceso basados en atributos que evalúan la sensibilidad de los datos, la identidad del usuario y el propósito antes de conceder acceso—bloqueando automáticamente el acceso de IA a datos biométricos, imágenes de menores y otros datos de categoría especial salvo que se cumplan salvaguardas estrictas. Esto es gobernanza de datos consciente del consentimiento a nivel de infraestructura, no solo un requisito de cumplimiento.
4. La responsabilidad empresarial se extiende a toda organización que implemente IA—no solo a los proveedores que la desarrollan. La declaración de la DPA apunta tanto a los proveedores de IA como a las empresas que implementan IA generativa para marketing, RRHH, funciones de producto y atención al cliente. Si tu organización utiliza una herramienta de IA generativa que replica a personas identificables sin el consentimiento adecuado, compartes la responsabilidad—independientemente de quién haya creado el modelo. El Data Security Index 2026 de Microsoft reveló que el 32% de los incidentes de seguridad de datos ya involucran herramientas de IA generativa. El riesgo de aplicación se multiplica: la acción regulatoria coordinada significa que las empresas de IA y sus clientes empresariales ahora enfrentan investigaciones simultáneas de múltiples DPA en distintas jurisdicciones. Kiteworks ofrece gobernanza de datos independiente del proveedor—ya uses OpenAI, Anthropic, Google o modelos internos, Kiteworks aplica políticas coherentes de consentimiento, limitación de propósito y minimización de datos, con registros de auditoría integrales que demuestran qué datos accedió cada sistema de IA y qué salvaguardas estaban activas cuando los reguladores lo soliciten.
5. La protección de datos desde el diseño para IA ahora es una obligación regulatoria—no solo una aspiración. La declaración conjunta exige que las empresas de IA incorporen salvaguardas desde el inicio—mecanismos de consentimiento, minimización de datos, procesos accesibles de eliminación y canales de reporte—no que añadan cumplimiento después de la implementación. Esto refleja la tendencia regulatoria global: la Ley de IA de la UE entra en vigor para sistemas de alto riesgo en agosto de 2026, la Ley de IA de Colorado entra en vigor en junio de 2026 y los requisitos de transparencia en los datos de entrenamiento de California ya están en vigor. El Informe Internacional de Seguridad de IA 2026 reforzó que los deepfakes son cada vez más realistas y difíciles de identificar, con contenido personalizado que afecta de manera desproporcionada a mujeres y niñas. La mejor forma de prevenir resultados dañinos de la IA es controlar los datos de entrada. Kiteworks aplica este principio en la capa de datos: bloqueando el acceso de IA a imágenes que puedan permitir deepfakes no consentidos o la replicación de identidad, exigiendo aprobación humana para accesos de alto riesgo y ofreciendo una arquitectura de dispositivo virtual reforzado—con cifrado doble en reposo, TLS 1.3 en tránsito, cifrado validado FIPS 140-3 y claves de cifrado propiedad del cliente—que garantiza que la protección de datos desde el diseño sea una realidad operativa, no solo una aspiración.

Esto no es una sugerencia educada de un regulador aislado en un documento de política. Es una postura coordinada de aplicación de la ley por parte de organismos de privacidad de la Unión Europea, Reino Unido, Asia, América y más allá—todos de acuerdo en algo: las leyes de privacidad existentes ya aplican a la IA y no van a esperar nuevas leyes para empezar a hacerlas cumplir.

El momento no es casualidad. Esta declaración llega tras uno de los escándalos de IA más perturbadores hasta la fecha—y sus consecuencias están transformando la manera en que gobiernos, empresas e individuos piensan sobre el uso real de la IA generativa.

El escándalo de Grok que encendió la mecha

Para entender por qué 61 reguladores dieron este paso al unísono, hay que retroceder a finales de diciembre de 2025.

Usuarios de la plataforma X descubrieron que podían pedirle al chatbot Grok integrado que desvistiera digitalmente a personas en fotos—poniendo a mujeres y niñas en bikinis transparentes, lencería o peor. Grok cumplía sin dudarlo. La firma de análisis de contenido Copyleaks detectó que el chatbot generaba aproximadamente una imagen sexualizada no consentida por minuto, publicándola directamente en X donde cualquiera podía hacerla viral. Un análisis de 20,000 imágenes generadas por Grok halló que cerca del 2% parecía mostrar a menores de 18 años. La organización sin ánimo de lucro AI Forensics, con sede en París, recuperó contenido que mostraba representaciones fotorrealistas de personas muy jóvenes en situaciones sexuales.

La reacción global fue rápida y contundente. La Comisión de Protección de Datos de Irlanda inició una investigación a gran escala bajo el GDPR. Fiscales franceses allanaron las oficinas de X en París. La Information Commissioner’s Office del Reino Unido abrió investigaciones formales tanto a X como a xAI. Malasia, Indonesia y Filipinas prohibieron el chatbot de inmediato. India ordenó una revisión integral. Treinta y cinco fiscales generales estatales de EE. UU. exigieron a xAI que detuviera los deepfakes sexuales. Se acumularon demandas—including una de la madre de uno de los hijos de Musk, alegando que Grok seguía generando imágenes explícitas de ella incluso después de que ella hubiera comunicado explícitamente que no consentía.

El desastre de Grok no creó la urgencia regulatoria en torno a las imágenes generadas por IA. Pero dio a los reguladores un ejemplo visceral e innegable de lo que ocurre cuando las empresas de IA tratan las salvaguardas como opcionales. Y aceleró lo que ya se estaba gestando: un consenso global de que las reglas ya existen. Solo falta hacerlas cumplir.

Qué dice realmente la declaración conjunta

La declaración del 23 de febrero, coordinada por la Global Privacy Assembly, establece principios que toda organización que trabaje con IA generativa debe considerar de lectura obligatoria. Las autoridades piden mayor protección para menores, procesos accesibles y efectivos para que las personas soliciten la eliminación de contenido dañino, salvaguardas más sólidas contra el uso indebido de datos personales en sistemas de IA y transparencia significativa sobre cómo funcionan estos sistemas y qué pueden producir.

Pero lo más relevante está en lo que los reguladores no dijeron. No propusieron nuevas leyes. No sugirieron nuevos marcos para consulta. En cambio, reforzaron que la infraestructura legal para regular la IA ya existe—a través del GDPR, CCPA, la Ley de Protección de Datos del Reino Unido, la LGPD de Brasil y decenas de leyes nacionales y regionales de privacidad. El mensaje: no necesitamos nuevas leyes para ir tras ti. Ya tenemos la autoridad. Y la estamos usando.

Esto es un cambio fundamental. Durante años, la conversación sobre gobernanza de IA estuvo dominada por debates sobre si necesitamos regulación específica para IA y cómo debería ser. La Ley de IA de la UE, la Ley de IA de Colorado, las distintas leyes de transparencia de IA de California—todas son importantes. Pero los 61 reguladores acaban de cortar el ruido: mientras los legisladores debaten el futuro, los organismos de privacidad actúan en el presente.

Por qué esto importa mucho más allá de los deepfakes

Sería fácil ver esta historia como una ofensiva limitada contra el contenido explícito generado por IA. Eso sería un error.

Los principios que articularon los reguladores—consentimiento, minimización de datos, limitación de propósito, transparencia—aplican a cualquier sistema de IA que procese datos personales. Eso significa que la declaración conjunta tiene implicaciones mucho más allá de los deepfakes y alcanza casi cualquier implementación empresarial de IA en funcionamiento hoy. Herramientas de reclutamiento impulsadas por IA que analizan fotos de candidatos o perfiles en redes sociales. Plataformas de marketing que usan IA generativa para crear contenido personalizado a partir de imágenes de clientes. Sistemas de seguridad que ejecutan reconocimiento facial en empleados o visitantes. IA en salud procesando imágenes de pacientes. Herramientas de servicios financieros que usan fotos para verificación de identidad. En cada caso, la pregunta central es la misma: ¿la persona cuyos datos se procesan consintió este uso específico de IA y el procesamiento se limitó a lo necesario para el propósito declarado?

El Informe Internacional de Seguridad de IA 2026 reforzó esta visión más amplia, documentando el creciente uso indebido de la IA generativa en fraudes, estafas, chantajes y producción de imágenes íntimas no consentidas. El informe halló que los deepfakes generados por IA son cada vez más realistas y difíciles de identificar, con contenido personalizado que afecta de forma desproporcionada a mujeres y niñas. No es un riesgo futuro. Está ocurriendo ahora mismo, a gran escala, en todos los sectores.

La trampa de responsabilidad empresarial en la que caen la mayoría de las organizaciones

Aquí es donde la situación se vuelve incómoda para las organizaciones que creen que esto es problema de otros.

La declaración conjunta no apunta solo a los proveedores de IA. Apunta a las empresas que implementan IA. Si has integrado una herramienta de IA generativa en tu flujo de marketing, proceso de RRHH, funciones de producto o servicio al cliente, y esa herramienta replica a personas identificables sin el consentimiento adecuado, compartes la responsabilidad. Bajo el GDPR, los responsables del tratamiento de datos—las organizaciones que determinan los fines y medios del procesamiento—son responsables de asegurar el cumplimiento, sin importar las herramientas que utilicen. Si tu equipo de marketing usa una plataforma de IA para generar imágenes de campaña y esa plataforma produce una imagen realista de una persona real extraída de los datos de entrenamiento, tu organización es responsable. No solo el proveedor de IA.

La misma lógica aplica bajo el CCPA y sus equivalentes. Según el Artículo 9 del GDPR, las imágenes faciales e identificadores biométricos son datos de categoría especial, que requieren consentimiento explícito y salvaguardas reforzadas. Las multas por equivocarse pueden llegar al 4% de los ingresos anuales globales. El Data Security Index 2026 de Microsoft reveló que el 32% de los incidentes de seguridad de datos ya involucran herramientas de IA generativa, y casi la mitad de los líderes de seguridad están implementando controles específicos para IA. La distancia entre donde están la mayoría de las organizaciones y donde esperan los reguladores se está acortando rápidamente—desde el lado de la aplicación.

Lo que todo CISO y DPO debe hacer ahora mismo

Si estás implementando cualquier forma de IA generativa, las expectativas regulatorias descritas en la declaración conjunta se traducen en requisitos operativos concretos que no pueden esperar.

Audita las fuentes de datos de entrenamiento de tu IA. Los reguladores examinarán cada vez más de dónde provienen los datos de entrenamiento de IA, si se obtuvo consentimiento y si se aplicó minimización de datos. Si usas herramientas de IA de terceros, exige transparencia a tus proveedores sobre el origen de los datos de entrenamiento. Si entrenas tus propios modelos, documenta todo. Los registros de auditoría integrales de Kiteworks documentan cada interacción con los datos, proporcionando la trazabilidad que ahora exigen los reguladores para la gobernanza de datos de entrenamiento de IA.

Implementa acceso a datos consciente del consentimiento. Las cláusulas generales de «podemos usar tus datos para IA» en las políticas de privacidad no resistirán el escrutinio regulatorio. El consentimiento debe ser específico para el caso de uso de IA. El consentimiento para recomendaciones de producto no autoriza automáticamente la generación de imágenes de marketing. Y cuando una persona retira su consentimiento, sus datos deben bloquearse de inmediato para el acceso de IA. Kiteworks se integra con plataformas de gestión de consentimiento para aplicar acceso a datos consciente del consentimiento—la IA solo puede acceder a datos para los que la persona haya consentido explícitamente el procesamiento por IA para ese propósito concreto.

Aplica la limitación de propósito en la capa de datos. Los sistemas de IA no deben tener acceso abierto a todos los datos disponibles solo porque sea técnicamente posible. Restringe la IA a los datos mínimos necesarios para fines específicos y autorizados. Esto es especialmente crítico para categorías sensibles como datos biométricos, imágenes de menores e información de salud. Kiteworks aplica la vinculación de propósito y la minimización de datos a nivel de infraestructura—evitando el scraping indiscriminado de datos al restringir los sistemas de entrenamiento de IA a clasificaciones y propósitos de datos específicos.

Crea registros de auditoría ahora, no después de que empiece una investigación. Cuando una autoridad de protección de datos toque a tu puerta—y la naturaleza coordinada de esta declaración significa que probablemente lo harán—debes demostrar a qué datos accedió tu IA, qué consentimiento existía en ese momento y qué salvaguardas se aplicaron. Kiteworks proporciona un registro de auditoría consolidado que rastrea cada interacción con los datos en todos los canales, generando registros de procesamiento del Artículo 30 del GDPR, EIPD para casos de uso de IA de alto riesgo y notificaciones de brechas automáticamente—para que las pruebas existan antes de necesitarlas.

Controla los datos de entrada, no solo los resultados. La declaración conjunta se centra en prevenir el daño desde el origen, no en detectar problemas después. Controlar a qué datos puede acceder la IA desde el principio es más efectivo que intentar filtrar cada resultado. Es la diferencia entre cerrar el botiquín y esperar que un niño pequeño tome decisiones responsables. Kiteworks bloquea el acceso de IA a imágenes que puedan permitir deepfakes no consentidos o replicación de identidad, con aplicación de políticas en tiempo real que evalúa continuamente las solicitudes de acceso de IA a datos según consentimiento, propósito y criterios de riesgo.

Extiende la gobernanza a todos los proveedores de IA. Ya uses OpenAI, Google, un modelo open-source o algo desarrollado internamente, tus políticas de gobernanza de datos deben aplicarse de forma coherente. Las brechas de cumplimiento entre diferentes herramientas de IA son una demanda esperando ocurrir. Kiteworks aplica gobernanza independiente del proveedor con políticas consistentes en cada sistema de IA que implementes—sin brechas de cumplimiento ni puntos ciegos.

La trayectoria regulatoria: lo que viene después

La declaración del 23 de febrero es el pistoletazo de salida, no la meta. Varias tendencias indican que la aplicación solo se intensificará a partir de ahora.

La coordinación transfronteriza se acelera. El hecho de que 61 jurisdicciones se alinearan en una sola declaración significa que las empresas pueden enfrentar investigaciones simultáneas de múltiples reguladores. Un solo fallo de cumplimiento podría desencadenar investigaciones en decenas de países. La legislación específica de IA está alcanzando a la aplicación. La Ley de IA de la UE entra en vigor para sistemas de alto riesgo en agosto de 2026. La Ley de IA de Colorado entra en vigor en junio de 2026. Los requisitos de transparencia en datos de entrenamiento de California ya están en vigor. Nueva York ha promulgado requisitos de transparencia de IA para publicidad y ha ampliado las protecciones para réplicas digitales. Estas nuevas leyes se suman a la aplicación de privacidad ya en marcha.

Los datos biométricos reciben atención especial en todas partes. Las protecciones de categoría especial del Artículo 9 del GDPR para imágenes faciales se están aplicando con fuerza en contextos de IA. Existen protecciones similares en la BIPA de Illinois, la CUBI de Texas y otras leyes estatales de privacidad biométrica. Si tu IA procesa rostros, huellas dactilares o registros de voz, el listón de cumplimiento es mucho más alto que para otros datos personales. Italia ya multó a OpenAI con 15 millones de euros por violaciones del GDPR relacionadas con el procesamiento de datos de entrenamiento—un precedente que animará a reguladores en la UE y más allá.

La gobernanza de IA es un reto de gobernanza de datos—y exige una solución de gobernanza de datos

La declaración coordinada de 61 autoridades de protección de datos valida una verdad que la comunidad de gobernanza de datos lleva años defendiendo: no puedes gobernar la IA centrándote solo en los modelos. Gobiernas la IA gobernando los datos a los que accede la IA.

La mayoría de las herramientas de gobernanza de IA se centran en el comportamiento del modelo—filtrado de resultados, detección de sesgos, monitoreo de alucinaciones. Todo esto importa. Pero abordan el síntoma, no la causa. La declaración de la DPA lo deja claro: las violaciones empiezan en la capa de datos. Extraer imágenes personales sin consentimiento. Entrenar con datos biométricos sin base legal. No reducir la recopilación de datos a lo estrictamente necesario. Permitir que los sistemas de IA accedan indiscriminadamente a contenido sensible.

Kiteworks resuelve esto aplicando principios de protección de datos en el origen: acceso a datos consciente del consentimiento que se integra con plataformas de gestión de consentimiento, vinculación de propósito que restringe la IA a clasificaciones y casos de uso autorizados, minimización de datos que limita el acceso de IA a lo mínimo necesario para los objetivos definidos y registros de auditoría integrales que demuestran a qué datos accedió la IA, qué consentimiento existía y qué salvaguardas se aplicaron. Ya sea que implementes IA generativa para marketing, herramientas de RRHH impulsadas por IA, reconocimiento facial para seguridad o cualquier otro caso de uso, Kiteworks asegura que tus sistemas de IA cumplan con los requisitos globales de protección de datos—protegiendo tu organización de las investigaciones regulatorias que ahora apuntan activamente a implementaciones de IA.

La era de tratar la gobernanza de IA como un problema futuro terminó. Sesenta y una autoridades de protección de datos acaban de decirle al mundo que las reglas ya existen, que las herramientas para hacerlas cumplir ya están en sus manos y que las investigaciones ya están en marcha. Las empresas que lo traten como un reto de gobernanza de datos—implementando controles en cómo la IA accede y procesa datos personales desde el principio—podrán operar con confianza a medida que aumente la aplicación. Las que lo vean como un problema ajeno aprenderán por las malas que «no lo sabíamos» dejó de ser una respuesta aceptable en el momento en que 61 reguladores les dijeron lo contrario.

La pregunta no es si tus sistemas de IA enfrentarán escrutinio regulatorio. La pregunta es si estarás listo cuando ocurra.