Exactitud y minimización en IA: qué cambia con la nota técnica de la AEPD

¿Un dato inexacto puede cumplir el RGPD? 

Sí, cuando resulta adecuado para la finalidad del tratamiento. La AEPD sostiene que el principio de exactitud del RGPD no obliga a que todo dato personal sea veraz o esté actualizado en términos absolutos, sino a que sirva al objetivo perseguido y respete los derechos de las personas afectadas cuando el resultado les afecte.

Esa frase, que parece un matiz, cambia el terreno de juego para cualquier empresa que entrene o despliegue modelos de IA con datos personales. Y llega en un documento que la propia Agencia describe como uno de los primeros en el mundo que aborda la cuestión de forma sistemática.

¿Qué ha publicado exactamente la AEPD?

El 21 de julio de 2026 la Agencia Española de Protección de Datos difundió la nota técnica Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial. Son 23 páginas dirigidas a responsables, encargados y delegados de protección de datos, con un anexo sobre cómo ha evolucionado el concepto de exactitud en la normativa española desde la Directiva 95/46/CE.

El punto de partida es sencillo de enunciar y difícil de aplicar: la calidad de los datos y el principio de exactitud del artículo 5.1.d) del RGPD no pueden entenderse en abstracto. Solo cobran sentido en relación con la finalidad del tratamiento y con su idoneidad para alcanzarla.

La Agencia insiste en una distinción terminológica que conviene retener, porque de ella cuelga todo lo demás. Cuando hablamos de "exactitud" en un estándar técnico como ISO 25012, nos referimos al grado en que un dato representa correctamente el valor real de un atributo. Cuando el RGPD habla de exactitud, se refiere a algo distinto: que el dato sea adecuado para que el tratamiento cumpla su fin. La AEPD las bautiza como exactitud-ISO y exactitud-RGPD para evitar que se confundan. La primera puede ser una condición de la segunda, pero no siempre lo es.

El giro de fondo: de la veracidad a la idoneidad

Durante años, el reflejo del sector fue equiparar "dato exacto" con "dato veraz y al día". La nota técnica desmonta esa equivalencia, y lo hace con apoyo histórico.

El anexo rastrea el origen del malentendido. La antigua Ley Orgánica 15/1999 definía la exactitud de forma casi absoluta: los datos debían responder "con veracidad a la situación actual del afectado", con independencia de si esa veracidad era necesaria para la finalidad.

El RGPD, en cambio, se alinea con la Directiva y ata la exactitud al fin del tratamiento. La AEPD llega a apuntar que arrastramos la definición vieja por un sesgo de resistencia cognitiva, la dificultad de soltar una idea aunque haya evidencia en contra.

¿Por qué importa esto en la práctica? Porque una interpretación extensiva de la exactitud, más allá de lo que pide la finalidad, entraría en conflicto directo con el principio de minimización. Exigir más veracidad, más actualización o más granularidad de la necesaria significa tratar más datos de los debidos. Y eso el RGPD no lo legitima.

Datos sintéticos, anonimización y sesgos: lo que ahora tiene cobertura

Aquí es donde la nota aporta el mayor valor operativo para quien desarrolla IA. La Agencia reconoce de forma explícita que ciertas técnicas habituales introducen valores que no reflejan la realidad individual y que, aun así, pueden ser compatibles con la exactitud-RGPD.

El documento pone ejemplos concretos:

1. Imputación de valores faltantes. Rellenar campos vacíos con la media del conjunto (o con la media por provincia, por ejemplo) introduce valores formalmente falsos. Se sacrifica exactitud-ISO a cambio de completitud. Es una técnica válida si el conjunto resultante sirve a la finalidad.

2. Corrección de sesgos. Normalizar por grupo para eliminar una diferencia sistemática (el ejemplo de la AEPD parte de un sesgo en la evaluación de historial crediticio según código postal) altera valores individuales, pero mejora la idoneidad del dataset.

3. Datos sintéticos, anonimización y privacidad diferencial. Todas pueden generar registros que no se corresponden con ninguna persona real y, pese a ello, producir un conjunto con calidad suficiente para entrenar un modelo.

La condición, en los tres casos, es la misma: que la técnica esté justificada por la finalidad, no genere efectos adversos sobre las personas y quede documentada. No es una barra libre. Es un marco.

Por qué el conjunto pesa más que el dato

Una de las ideas más útiles de la nota es la distinción entre calidad del dato individual y calidad del conjunto de datos. En aprendizaje automático, la finalidad no depende tanto de que cada registro sea impecable como de que el dataset, en su totalidad, sea representativo y esté libre de sesgos que comprometan el objetivo.

La AEPD lo ilustra con una tabla en la que cada fila cumpliría el estándar ISO a nivel de registro, pero el conjunto está claramente sesgado por género. Si la finalidad es tomar decisiones que afecten a todos los géneros, ese dataset no es idóneo por muy correcto que sea cada dato suelto.

De ahí una obligación que la Agencia vincula a la responsabilidad proactiva: documentar la trazabilidad del conjunto. Origen de los datos, transformaciones aplicadas, criterios de selección y de exclusión. No basta con que las cifras cuadren; hay que poder explicar de dónde salen.

El otro filo: pedir demasiada calidad también incumple

Conviene subrayar esto porque es contraintuitivo. La nota no solo advierte contra requisitos de calidad insuficientes. Advierte, con la misma fuerza, contra requisitos excesivos.

Fijar un listón de precisión, granularidad o frecuencia por encima de lo que la finalidad necesita contradice el principio de minimización, encarece la gobernanza del dato y, en el peor de los casos, lleva a descartar iniciativas empresariales o de investigación por asumir, erróneamente, que no se dispone de datos con calidad suficiente. La Agencia lo dice sin rodeos: unos requisitos mal calibrados pueden cancelar proyectos que eran perfectamente viables.

El mensaje para los equipos de cumplimiento es que la calidad de los datos no es un valor que se maximice. Es un rango que se calibra contra la finalidad.

¿Dónde queda el margen y dónde el riesgo?

A mi juicio, el mayor acierto de la nota es dar cobertura jurídica a prácticas de ciencia de datos que hasta ahora se movían en una zona gris. Un DPD que aprobara el uso de datos sintéticos para entrenar un modelo lo hacía, con frecuencia, sin un respaldo interpretativo claro de la autoridad. Ahora lo tiene, y eso reduce fricción entre los equipos legales y los técnicos.

Dicho esto, la flexibilidad que introduce la Agencia está condicionada a tres cosas que son fáciles de enunciar y difíciles de acreditar: justificación por la finalidad, ausencia de efectos adversos y documentación. La tentación será quedarse con la primera parte del mensaje ("los datos no tienen que ser veraces") y olvidar la segunda ("cuando el resultado afecta a una persona concreta, la exigencia se endurece"). La nota es muy clara en que el rendimiento agregado de un modelo puede ocultar errores en inferencias individuales, y que eso obliga a controles adicionales cuando hay personas concretas en juego.

Mi recomendación operativa es tratar esta nota como lo que es: un criterio interpretativo que reparte la carga entre libertad de diseño y prueba documental. Quien quiera beneficiarse del margen tendrá que ganárselo con gobernanza real, métricas sobre los resultados de salida y un equipo que reúna, como pide la propia Agencia, ciencia de datos y protección de datos en la misma mesa.

El ángulo Andorra: una divergencia que conviene tener en el radar

Para las empresas con operativa en las dos jurisdicciones como España y Andorra, hay un matiz que no debe pasarse por alto. Este criterio es de la AEPD y se mueve dentro del marco del RGPD y de la LOPDGDD española. No es directamente trasladable a Andorra.

La protección de datos en el Principado se rige por la Llei 29/2021, qualificada de protecció de dades personals, y su reglament d'aplicació, con la APDA como autoridad de control. La ley andorrana se construyó sobre una base equivalente al RGPD, pero la interpretación de principios como la exactitud corresponde al APDA, no a la AEPD, y no existe todavía un pronunciamiento andorrano equiparable a esta nota. Un tratamiento de IA con datos personales que cruce ambas jurisdicciones tendrá que aplicar el criterio español donde aplique el RGPD y verificar de forma independiente la posición andorrana. Trasladar sin más el razonamiento de la AEPD a un tratamiento sujeto a la LQPD sería un error de encuadre.

Es, además, un buen ejemplo de por qué la doble jurisdicción exige asesoramiento diferenciado y no una plantilla común.

¿Qué hacer a partir de aquí?

Si su empresa desarrolla o despliega IA con datos personales, la nota técnica se traduce en cinco tareas concretas: definir los requisitos de calidad a partir de la finalidad y no de un estándar abstracto, documentar la trazabilidad del conjunto de datos y no solo de los registros, establecer métricas sobre los resultados de salida, no únicamente sobre los datos de entrada, reforzar los controles cuando las inferencias afecten a personas concretas y revisar que sus requisitos de calidad no estén sobredimensionados hasta el punto de vulnerar la minimización.

La exactitud, en el mundo de la IA, ha dejado de ser una cuestión de veracidad para convertirse en una cuestión de idoneidad. Adaptar la gobernanza a esa idea es el trabajo que empieza ahora.

Preguntas frecuentes

¿La nota técnica de la AEPD es de obligado cumplimiento? No es una norma con rango legal ni una sanción. Es un criterio interpretativo que orienta cómo aplicar los principios de exactitud y minimización del RGPD en tratamientos con IA. Su valor está en ofrecer un marco de referencia que la Agencia previsiblemente seguirá al valorar casos concretos.

¿Puedo usar datos sintéticos para entrenar un modelo sin vulnerar el RGPD? Según la nota, sí es posible, incluso cuando esos datos no reflejan la realidad individual, siempre que la técnica esté justificada por la finalidad del tratamiento, no genere efectos adversos sobre las personas y quede debidamente documentada.

¿Qué diferencia hay entre exactitud-ISO y exactitud-RGPD? La exactitud-ISO mide si un dato representa correctamente el valor real de un atributo. La exactitud-RGPD mide si el dato es adecuado para que el tratamiento cumpla su finalidad. La primera puede ser una condición de la segunda, pero no siempre es necesaria.

¿Este criterio se aplica también en Andorra? No de forma automática. La nota emana de la AEPD y opera dentro del marco del RGPD y la LOPDGDD. En Andorra rige la Llei 29/2021 (LQPD) bajo la supervisión de la APDA, y la interpretación de la exactitud corresponde a esa autoridad. Un tratamiento transfronterizo exige un análisis diferenciado por jurisdicción.

¿Exigir la máxima calidad posible a los datos es siempre lo más seguro? No. La AEPD advierte que requisitos de calidad excesivos contradicen el principio de minimización, encarecen la gobernanza y pueden llevar a descartar proyectos viables. La calidad debe calibrarse contra la finalidad, no maximizarse.