En 2026 conviven, sin apenas diálogo explícito entre ellas, dos aproximaciones normativas a un mismo problema: la calidad de los datos que alimentan un sistema de inteligencia artificial.
Por un lado, la Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica centrada en el principio de exactitud del artículo 5.1.d) del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y su relación con la calidad del dato. Por otro, la norma ISO 42001, primer estándar internacional certificable para sistemas de gestión de Inteligencia Artificial en la que dedica un bloque específico de controles y orientación de implementación a los datos utilizados en sistemas de IA.
La propia AEPD reconoce en su nota que la calidad de los datos se define en distintos estándares como el grado en que las características de los datos satisfacen necesidades declaradas e implícitas en un contexto de uso específico. Esta base es común a la norma ISO 42001 al definir la calidad de los datos en el mismo sentido y con un punto técnicamente idéntico. Ante esta base técnica común, como Delegado de Protección de Datos lo importante será identificar el papel de cada marco normativo para poder aplicarlo en la adecuación de sistema de IA.
El eje central de la nota AEPD: exactitud-RGPD no es sinónimo de veracidad
La idea principal de la nota técnica de la AEPD es que el principio de exactitud del artículo 5.1.d) RGPD, que exige que los datos sean «exactos y actualizados», no significa que todos los datos tengan que ser necesariamente verdaderos o estar permanentemente actualizados en todo momento. La AEPD hace una distinción entre «exactitud-RGPD» frente a la «exactitud-ISO», la cual merece el siguiente detalle:
- Exactitud-ISO: el grado en que un dato representa correctamente el valor real de un atributo, concepto o evento en un contexto de uso específico.
- Exactitud-RGPD: que los datos sean adecuados para alcanzar la finalidad del tratamiento, es decir, que el tratamiento sea idóneo.
Como consecuencia práctica, la AEPD admite expresamente que un conjunto de datos con campos «inventados» (como, valores estimados estadísticamente para completar registros incompletos, o datos sintéticos, anonimizados o sometidos a técnicas de privacidad diferencial) puede cumplir el principio de exactitud-RGPD si resulta adecuado para la finalidad del tratamiento, aunque no satisfaga la exactitud-ISO a nivel de registro individual.
A modo de ejemplo, la nota técnica nos sitúa en una tabla con sueldos de varios empleados, pero a algunos les falta este dato porque no se recogió en su momento. Una forma de “rellenar los huecos” es poner, en esas casillas vacías, la media salarial del grupo o de la provincia correspondiente. Ese valor no es un sueldo real de la persona, sino que constituye una estimación. Por lo tanto, a nivel de registro individual, el dato deja de tener una “exactitud-ISO” al no reflejar fielmente la realidad, pero el conjunto de datos gana en completitud. Para la AEPD, esto no supone por sí solo un incumplimiento del artículo 5.1.d) RGPD, lo relevante es valorar si el conjunto de datos sigue siendo adecuado para la finalidad del tratamiento, sin exigir que cada valor represente literalmente la realidad.
Esto no significa que todos los datos utilizados para entrenar un sistema de IA tengan que ser literalmente verdaderos o estar permanentemente actualizados. Lo relevante será determinar si los datos son adecuados para la finalidad concreta del tratamiento y si su utilización puede afectar a los derechos y libertades de las personas.
Precisamente por ello, la AEPD advierte de que exigir veracidad y actualización absolutas de todos los datos podría responder a una interpretación extensiva del principio de exactitud, que iría más allá de lo necesario para alcanzar la finalidad del tratamiento. Esto podría generar cargas desproporcionadas y entrar en conflicto con el principio de minimización artículo 5.1.c) RGPD.
Calidad del dato individual frente a calidad del conjunto de datos (dataset)
Una de las aportaciones más destacables y/u operativas de la nota AEPD es la distinción entre calidad del dato tomado individualmente y calidad del conjunto de datos, sobre todo en tratamiento de aprendizaje automático. La nota lo refleja a través de una tabla de datos laborales que, evaluada registro a registro conforme a las características del estándar ISO 25012 (exactitud, completitud, consistencia, credibilidad, actualidad, cumplimiento, confidencialidad, eficiencia, precisión, trazabilidad y comprensibilidad), podría obtener un alto grado de calidad; sin embargo, el conjunto de datos considerado en su totalidad está claramente sesgado por género.
De tal forma que, si la finalidad del tratamiento es producir estimaciones o decisiones que afecten a todos los géneros, ese conjunto de datos no sería idóneo, por muy correctos que sean sus registros individuales.
La AEPD concluye que, en sistemas de IA, la calidad también debe evaluarse, y especialmente, a nivel de dataset, incorporando características que no figuran en los estándares clásicos de calidad del dato individual: ausencia de sesgo, propiedades estadísticas adecuadas, representatividad del contexto, poder predictivo de las variables o relevancia de las muestras para el proceso de aprendizaje.
La ISO 42001 recoge esta misma preocupación, aunque con un enfoque de gestión de riesgo. El control de Calidad de los datos para sistemas de IA exige a la organización considerar el impacto de los sesgos en el desempeño del sistema y en su equidad, “fairness”, realizando los ajustes necesarios en modelo y datos. El control de adquisición de datos exige documentar la demografía y características de los sujetos de los datos, «incluyendo posibles sesgos o errores sistemáticos».
Ahora bien, que puedan utilizarse valores estimados no significa que cualquier inexactitud sea admisible. Cuando el dato se refiere a una persona identificada o identificable y puede producir efectos sobre ella, siguen siendo relevantes las exigencias del RGPD y las garantías que correspondan.
La conclusión es que, el sesgo a nivel de conjunto, no de registro, es coincidente entre ambos marcos, simplemente lo que cambia es el fundamento. Para la AEPD, evitar determinados sesgos puede ser necesario para que el tratamiento cumpla su finalidad y, cuando lo es, ese requisito pasa a formar parte del análisis de exactitud-RGPD. Esto no excluye que, además, puedan resultar aplicables otros principios y obligaciones como, el de lealtad o las relativas a categorías especiales de datos. La ISO 42001, en cambio, trata el sesgo como un control de gestión de riesgo del sistema documentable y auditable en una certificación, pero sin estar anclado en un derecho subjetivo del interesado.
Lo que aporta la ISO 42001: un bloque de controles específico para datos
La norma ISO 42001 dedica a los datos un apartado propio, tanto en sus controles normativos, sujetos a declaración de aplicabilidad como en su guía de implementación de esos mismos controles.
La norma establece la necesidad de desarrollar y documentar los distintos aspectos relacionados con los datos utilizados en un sistema de IA, así como de garantizar su correcta implementación. Entre estos aspectos se incluyen los procesos de gestión, adquisición y selección de datos; los requisitos de calidad; los procedimientos para registrar su procedencia durante todo el ciclo de vida; y los criterios y métodos empleados para su preparación.
¿Qué puede aportar el Anexo B de ISO 42001 a un DPD? En la práctica, ofrece una referencia estructurada sobre qué aspectos relacionados con los datos deberían documentarse en las distintas fases de su ciclo de vida. Esto puede resultar especialmente útil para auditar o asesorar proyectos de IA.
- Al adquirir los datos: exige que quede documentado de dónde vienen (fuentes internas, compradas, compartidas, abiertas o sintéticas), cuántos y de qué tipo son, cómo se han tratado antes de llegar a la organización y qué derechos existen sobre ellos (propiedad intelectual, derechos de autor). Como DPD, esto te da un punto de partida para verificar la legitimación de esos datos.
- Al evaluar su calidad: exige que la calidad de los datos de entrenamiento, validación, prueba y producción esté «claramente definida, medida y mejorada en la medida de lo posible». Es decir, no basta con decir que los datos son buenos, sino que tiene que haber una métrica y una evidencia detrás, algo que puedes pedir ver.
- Al rastrear su origen: exige un registro de la creación, actualización, transmisión, validación y cambio de control de los datos, incluso cuando se comparten sin transferir su titularidad. En la práctica se refiere a tener un historial de vida del dato, muy útil para reconstruir de dónde viene un dato concreto si surge una incidencia
- Al prepararlos para el modelo: exige documentar qué criterios se siguieron para elegir cómo tratar los datos (limpieza de valores ausentes, normalización, etc.) y qué transformaciones se aplicaron realmente. Esto te permite comprobar si esas transformaciones han podido introducir o corregir sesgos.
Un punto de fricción explícito: los estándares no sustituyen al RGPD
La nota AEPD es clara ante cualquier proyecto de certificación ISO 42001: las definiciones de los estándares «sirven de orientación técnica, y no sustituyen ni modifican las exigencias jurídicas derivadas del RGPD». Y, añade que «sería un error emparejar» exactitud-ISO con exactitud-RGPD. En definitiva, no se limita a citar los estándares técnicos como referencia neutra.
Esta consideración nos aporta directamente un mensaje y es que, obtener la certificación ISO 42001 o incluso cumplir escrupulosamente sus controles no equivale, por sí solo, a cumplir con los principios de exactitud y minimización del artículo 5.1 RGPD.
La propia definición de calidad de los datos que ofrece la norma ISO 42001 lo deja claro: «característica de los datos que indica que cumplen los requisitos de la organización para un contexto específico». Es una definición que mira hacia dentro, es decir, los requisitos que la propia organización se fija, no hacia la finalidad del tratamiento ni hacia los derechos de las personas afectadas, que es justo el eje sobre el que la AEPD construye la exactitud-RGPD.
Por eso, cuando hay datos personales de por medio, cumplir la ISO 42001 no basta por si sola, los requisitos de calidad tienen que ser compatibles con la finalidad del tratamiento y con los principios del artículo 5 RGPD. Un sistema de gestión de IA puede superar la auditoría de certificación 42001 y, aun así, no ofrecer por sí mismo la evidencia de cumplimiento que exige el principio de responsabilidad proactiva del artículo 24 RGPD, si esos requisitos no se han definido también con criterios de finalidad e idoneidad.
Puntos de convergencia aprovechables
Aunque parten de fundamentos distintos, la AEPD y la ISO 42001 coinciden en varios criterios que un experto que asesore en proyectos de IA puede usar de forma conjunta, sin tener que elegir entre uno u otro marco:
- Puedes apoyarte en las mismas normas técnicas para ambos análisis, tanto la AEPD como la ISO 42001 recurren a la misma familia de estándares (ISO 25012, 25024, 5259) para definir qué hace que un dato sea de calidad. Esto significa que un mismo análisis técnico de calidad de datos te sirve tanto para justificar el cumplimiento RGPD como para preparar una certificación 42001, no hace falta duplicar el trabajo
- La calidad de los datos no se revisa una sola vez, hay que vigilarla todo el tiempo. La AEPD habla de «gobierno del dato» es decir, establece una revisión y actualización de los datos según cambian el contexto o el sistema. La ISO 42001 exige lo mismo a través de su ciclo de mejora continua (Plan-Do-Check-Act). En la práctica, un mismo proceso de revisión periódica puede contribuir a demostrar el cumplimiento de ambos marcos.
- El sesgo hay que buscarlo en el conjunto de datos, no dato a dato, es decir,revisar registro por registro no basta, porque el sesgo solo se ve al mirar el dataset completo. Es el mismo chequeo el que te piden ambos marcos, el mismo análisis puede aportar evidencia útil para ambos marcos.
- Documentar es, en la práctica, la mejor defensa en ambos marcos, el artículo 24 RGPD exige poder demostrar el cumplimiento al igual que el Anexo A de la ISO 42001 ya que en esencia, se trata de un catálogo de cosas que hay que tener documentadas. Si documentas bien un proyecto de IA para superar una auditoría 42001, gran parte de esa documentación puede servir también como evidencia de responsabilidad proactiva ante el RGPD.
- Piensa en dos fases separadas: desarrollar el sistema y usarlo después. La AEPD distingue el tratamiento de desarrollo del sistema de IA del tratamiento de explotación, una vez el sistema ya está en marcha. La ISO 42001 hace la misma distinción, separando sus controles de ciclo de vida de sus controles de datos. Tenerlo claro te ayuda a saber en qué fase del proyecto estás exigiendo qué requisitos.
Conclusión
Para un responsable o encargado del tratamiento que desarrolle o despliegue sistemas de IA, a través de ambos documentos se obtiene la siguiente hoja de ruta:
- La ISO 42001 aporta la arquitectura de gobierno y gestión de tal forma que te aporta una estructura organizativa de procesos, controles, roles y documentación que te ayudan a la gestión sistemática de los datos y del sistema de IA a lo largo de todo su ciclo de vida, y es lo que se audita y certifica
- El RGPD determina una serie de obligaciones jurídicas, es decir, fija qué exige la ley cuando esos datos son personales y qué derechos hay que respetar, con independencia de si existe o no una certificación de por medio.
- Los controles y procesos que exige la ISO 42001 no eximen por sí solos de realizar el juicio jurídico que exige el RGPD. Esos requisitos de calidad, definidos por la organización, tienen que estar además anclados en la finalidad del tratamiento y en la idoneidad del resultado respecto a los derechos y libertades de las personas físicas. No basta con que respondan únicamente a los requisitos de la organización, que es como los define la propia norma ISO.
- La evaluación de sesgos a nivel de dataset, es relevante tanto para el análisis de exactitud e idoneidad exigido por el RGPD como para los controles de calidad de datos de ISO 42001.
En definitiva, ISO 42001 y la nota técnica de la AEPD no compiten entre sí: la primera aporta la estructura de gestión y documentación de un sistema de IA; la segunda aporta el criterio jurídico (exactitud e idoneidad respecto a la finalidad) con el que esa estructura debe rellenarse cuando hay datos personales de por medio. Ignorar esta distinción es el riesgo más probable para cualquier organización que trate la certificación ISO 42001 como un sustituto, y no como un complemento, del análisis RGPD.
Por ende, no basta con en verificar la calidad del dataset utilizado para desarrollar o explotar el sistema. En el contexto de la IA, un tratamiento idóneo debe contrastarse a través de la calidad de los resultados que genera. Es decir, no basta con demostrar que los datos de entrada han sido seleccionados, preparados, documentados y evaluados conforme a determinados criterios, sino que debe poder acreditarse que el sistema produce resultados adecuados para la finalidad perseguida y que las condiciones de calidad relevantes se mantienen durante su funcionamiento.
Si te interesa conocer más información sobre IA puedes leer otras entradas de nuestro blog pinchando aquí y aquí.
