IA y privacidad: ¿qué pasa con la foto que subes?

Respuesta corta: una foto que subes a una herramienta de IA normalmente se envía a un sistema remoto, un modelo la procesa y el resultado vuelve a ti. Si la foto se guarda después, durante cuánto tiempo, si se usa para mejorar los modelos y con quién se comparte, todo depende de la política de privacidad de la herramienta. Este artículo es independiente de cualquier marca: no describe la aplicación de ninguna herramienta. Te explicamos qué debes leer y la base de los derechos que te dan el RGPD y la KVKK. No es asesoramiento jurídico.

¿Qué le pasa normalmente a la foto que subes?

En la mayoría de las herramientas de IA el proceso es este (la política de cada herramienta puede cambiarlo):

1. Subida: la foto se envía, por conexión, al sistema de la herramienta o a un proveedor de modelos que esta utiliza.
2. Procesamiento: un modelo lee la foto y hace el cambio que pediste.
3. Resultado: la salida se te muestra y, en muchos casos, se guarda en tu historial.
4. Registro y revisión: el sistema puede registrar las peticiones; los registros pueden revisarse para detectar abusos.
5. Uso posterior: según la política, la foto o los resultados pueden emplearse para mejorar el servicio, o eliminarse después de un tiempo.

Por eso es importante saber si la herramienta es una empresa única o si envía las fotos a proveedores externos de modelos. En las políticas, a estos proveedores se les llama «subencargados» o «proveedores de servicios».

¿Es una foto un dato personal?

La foto de una persona reconocible suele ser un dato personal. El RGPD define el dato personal como toda información sobre una persona física identificada o identificable. Además, otros datos de la foto también dan información: en las fotos hechas con el teléfono suele haber datos incrustados (EXIF) como la hora de la toma, el modelo del dispositivo y, a veces, la ubicación. Los carteles del fondo, el interior de la casa o los rostros de otras personas también aportan información.

¿Qué debes mirar en la política de privacidad?

Pregunta	Dónde está en la política	Buena señal
¿Quién procesa mi foto?	Responsable del tratamiento y subencargados	La identidad y el contacto de la empresa están claros, y los proveedores aparecen enumerados
¿Para qué se usa?	Finalidades del tratamiento	Los fines están claros; «prestar el servicio» y «mejorar» aparecen por separado
¿Se usa para entrenar modelos?	Frases como «mejora del servicio» o «entrenamiento»	Está escrito de forma explícita y hay una opción para desactivarlo
¿Cuánto tiempo se guarda?	Sección de plazos de conservación	Hay un plazo o un criterio que lo determina
¿Con quién se comparte?	Destinatarios y transferencias	Se indican las categorías de destinatarios y las transferencias al extranjero
¿Cómo lo borro?	Derechos y ajustes de la cuenta	Hay pasos para borrar la cuenta y el historial
¿Y los menores?	Edad mínima	Hay una edad mínima y la información para padres o tutores

Si nada de esto está claro o no encuentras la política, no subas fotos sensibles a esa herramienta.

¿Qué derechos te da el RGPD?

En la UE, las organizaciones que tratan datos deben informarte: su identidad, las finalidades, los destinatarios, el plazo de conservación y cuáles son tus derechos (artículo 13 del RGPD). La página de orientación del Comité Europeo de Protección de Datos (CEPD) enumera estos derechos:

• Acceso: saber si tus datos se tratan y obtener una copia gratuita.
• Rectificación: corregir los datos incorrectos o completar los incompletos.
• Supresión: pedir que se borren en algunos casos, por ejemplo cuando ya no son necesarios para la finalidad por la que se recogieron.
• Limitación del tratamiento: la organización puede conservar los datos, pero no hacer otras operaciones con ellos.
• Portabilidad: recibir tus datos en un formato estructurado, de uso común y legible por máquina; solo en determinadas condiciones.
• Oposición: oponerte al tratamiento basado en el interés legítimo o en el interés público por motivos relacionados con tu situación particular; la oposición al marketing debe atenderse sin necesidad de justificarla.

La organización debe responder a tu solicitud en un mes; en solicitudes complejas el plazo puede ampliarse dos meses más, pero debe avisarte dentro del primer mes. Si rechaza la solicitud, debe explicarte el motivo y tu derecho a presentar una reclamación ante la autoridad de protección de datos.

¿Qué derechos te da la KVKK?

Según la Ley turca n.º 6698 de Protección de Datos Personales (KVKK), el responsable del tratamiento debe informarte, al recoger tus datos, de su identidad, de la finalidad del tratamiento, de a quién y con qué finalidad pueden transferirse, del método de recogida, de la base jurídica y de tus derechos del artículo 11 (artículo 10). Según el artículo 11, puedes solicitar al responsable lo siguiente:

• Saber si tus datos personales se tratan y pedir información al respecto.
• Conocer la finalidad del tratamiento y si se usan conforme a su finalidad.
• Conocer los terceros a los que se transfieren los datos, en el país o en el extranjero.
• Pedir la corrección de los datos si están incompletos o tratados de forma incorrecta.
• Pedir su supresión o destrucción en las condiciones previstas, y que esto se comunique a los terceros a los que se transfirieron.
• Oponerte a que se extraiga un resultado en tu contra solo por análisis automatizado de los datos.
• Reclamar la indemnización del daño si sufres un perjuicio por un tratamiento ilícito.

Según el artículo 13, el responsable debe resolver la solicitud, según su naturaleza, lo antes posible y como máximo en treinta días, de forma gratuita; puede aceptarla o rechazarla explicando el motivo. Si rechaza tu solicitud, si la respuesta te parece insuficiente o si no responde a tiempo, puedes presentar una reclamación ante la Autoridad de Protección de Datos Personales de Turquía (Kişisel Verileri Koruma Kurulu) (artículo 14).

Modelos de IA y datos personales: el debate

Qué datos personales pueden quedar dentro de un modelo una vez entrenado es un tema que abordan los reguladores. El CEPD adoptó el 18 de diciembre de 2024 su dictamen 28/2024 sobre algunos aspectos de protección de datos relacionados con los modelos de IA; el dictamen se elaboró a petición de la autoridad de control de Irlanda y trata la base jurídica y la anonimización, entre otros temas. La ICO británica también dedica secciones separadas a la licitud y la transparencia en su guía sobre IA y protección de datos. En la práctica, si una empresa usa tu foto para el entrenamiento, se espera que lo diga de forma clara; si no lo dice, no tengas reparo en preguntar.

Pasos prácticos para proteger tu foto

1. No subas lo que no sea necesario: evita las fotos sensibles, como documentos de identidad, carnés, fotos de niños o las intimidades de otra persona.
2. Quita la ubicación: el teléfono tiene una opción para desactivar la ubicación al compartir.
3. Recorta: saca de encuadre los carteles y documentos del fondo.
4. Pide permiso a otras personas: si hay otra persona en la foto, pregúntale antes.
5. Revisa los ajustes: busca la opción para desactivar el uso en el entrenamiento y para borrar el historial.
6. Limpia el historial: cuando termines, borra los resultados y las subidas.
7. Usa tus derechos: envía una solicitud de acceso o de supresión y apunta la fecha para hacer seguimiento de la respuesta.

Ejemplo de solicitud: «Hola, quisiera saber si tratan mis datos personales vinculados a mi cuenta, que me informen de las finalidades del tratamiento y de los destinatarios de los datos, y que supriman las fotos que subí.»

Transferencias al extranjero y subencargados

Muchas herramientas de IA pueden enviar la foto a servidores o a proveedores de modelos situados en otros países. En la KVKK, la transferencia de datos personales al extranjero tiene un artículo propio (artículo 9) y asigna las obligaciones al responsable; además, el artículo 11 da derecho a conocer los terceros a los que se transfieren los datos, en el país o en el extranjero. En la UE también existen normas específicas del RGPD para las transferencias. Por eso, en la política busca las secciones de «destinatarios», «transferencias» y «subencargados».

Si esas secciones no están claras, la pregunta que debes hacer es sencilla: ¿a qué empresas va mi foto y con qué fin? Si la respuesta de la herramienta no es clara, piénsalo dos veces antes de subir tus fotos sensibles. La respuesta también puede llegar por un correo breve; guarda la respuesta por escrito.

Errores frecuentes

• Subir sin leer la política: allí se explica la conservación y el uso para el entrenamiento.
• Pensar que, si es gratis, la foto no tiene valor: los datos pueden ser parte de los ingresos de algunos servicios; lee la política.
• Subir la foto de otra persona sin permiso: surgen problemas de consentimiento y de datos personales.
• Olvidar la ubicación: los datos incrustados pueden seguir en el archivo compartido.
• Creer que, al borrar, desaparece de todas partes: para las copias de seguridad y los registros del proveedor, mira el plazo de la política.

¿Qué fotos no deberías subir nunca?

Hay fotos tan sensibles que no dejan margen para el error: documentos como el DNI, el carné de conducir o el pasaporte; imágenes con tarjetas bancarias, direcciones o matrículas; fotos de niños; imágenes con datos de salud y los recuerdos íntimos de otra persona. Si tienes que procesar una imagen así, primero tapa o recorta las partes sensibles. En lugar de subir tu foto más personal a una herramienta que estás probando por diversión, empieza con una foto de prueba normal y observa cómo se comporta.

Resumen

• La foto suele procesarse en un sistema remoto; la conservación, el entrenamiento y el reparto dependen de la política.
• Una foto reconocible puede ser un dato personal y también contiene datos incrustados, como la ubicación.
• En la política busca al responsable, las finalidades, el uso para el entrenamiento, el plazo, los destinatarios y los pasos para borrar.
• El RGPD y la KVKK te dan derechos de acceso, rectificación, supresión y oposición; el plazo de respuesta es de un mes en el RGPD y de treinta días como máximo en la KVKK.
• No subas fotos sensibles, quita la ubicación, pide permiso a las personas que aparecen y usa tus derechos cuando haga falta.