Datos personales en corpus de entrenamiento bajo licencia

Un archivo con el que una empresa ha trabajado de verdad contiene personas: nombres en las firmas, direcciones en las facturas, un gestor en una nota de expediente. Si el corpus que recibe un comprador sigue estando sujeto al RGPD se decide antes de la entrega, no después.

La regla que lo decide: Considerando 26: el RGPD no se aplica a los datos anónimos
El umbral: Singularización, vinculación e inferencia deben fallar las tres
En The General Data Company: Barreras en cada lote, un informe en cada entrega

Qué derecho alcanza a una venta de datos

Cuatro normas afectan a la misma operación y plantean preguntas distintas.

RGPD (Reglamento (UE) 2016/679) rige todo lo que siga siendo dato personal. Exige una base jurídica, una finalidad y constancia de ambas.
Reglamento de IA (Reglamento (UE) 2024/1689) pide al comprador documentar con qué se entrenó el modelo. Las obligaciones para modelos de uso general se aplican desde el 2 de agosto de 2025, con una plantilla publicada para el resumen de los contenidos de entrenamiento; los deberes de gobernanza de datos para sistemas de alto riesgo llegan el 2 de agosto de 2026.
Reglamento de Datos (Reglamento (UE) 2023/2854), aplicable desde el 12 de septiembre de 2025, regula quién puede usar los datos generados por productos y servicios conectados. De ahí depende que un proveedor pueda vender siquiera.
Reglamento de Gobernanza de Datos (Reglamento (UE) 2022/868), aplicable desde el 24 de septiembre de 2023, encuadra a los intermediarios entre titulares y usuarios de datos.

Junto a ellas está el derecho de autor: el artículo 4 de la Directiva sobre derechos de autor en el mercado único digital permite la minería de textos y datos salvo reserva del titular, y el derecho sui generis sigue protegiendo las extracciones sustanciales. Esa parte se trata en la trazabilidad bajo el Reglamento de IA.

Cuándo un corpus deja de ser dato personal

El considerando 26 del RGPD sitúa los datos anónimos por completo fuera del reglamento. El umbral no es una pasada de tachado. La interpretación europea pregunta si una persona todavía puede singularizarse en los datos, si los registros sobre ella pueden vincularse a lo largo del conjunto y si cabe inferir un atributo suyo. Un corpus es anónimo cuando las tres fallan, atendiendo a los medios que razonablemente podría emplear cualquiera, no solo el comprador.

Los datos seudonimizados no alcanzan ese umbral. Un nombre sustituido por un identificador sigue siendo dato personal, porque el identificador apunta a una sola persona y el patrón que la rodea a menudo la identifica. Confundir seudonimización con anonimización es la vía más habitual por la que una venta de datos se convierte en un tratamiento que nadie documentó.

Qué acompaña a una entrega

La autorización de origen, por escrito, desde el mandato o el consentimiento que permitió que el material saliera de donde nació hasta la licencia que firma el comprador.
Barreras antes del envío, aplicadas a cada lote y no a una muestra por proveedor, y que bloquean en lugar de advertir.
Un informe por lote que dice qué se encontró y qué se retiró, en cifras contrastables con los archivos entregados.

Las barreras están documentadas por su efecto, no por su construcción. El comprador recibe los recuentos, las categorías y el residuo, que es lo que pide una auditoría. La detección que hay detrás es trabajo propio y así se queda; además, describirla no diría nada sobre si una entrega concreta está limpia.

Dónde estamos

The General Data Company cumple el RGPD. Tratamos cada corpus conforme al derecho europeo de protección de datos, desde la base jurídica documentada en el origen hasta la anonimización que se verifica antes de cualquier envío, y conservamos la constancia lote a lote en lugar de promesa a promesa. Lo mismo rige para nuestra propia actividad: los datos de las personas con las que trabajamos se tratan bajo el reglamento, y las solicitudes al amparo de este se responden.

Conviene trazar una línea con claridad, y protege a usted, no a nosotros. Un proveedor no puede asumir sus deberes. Usted entrena el modelo, así que las obligaciones del entrenamiento siguen siendo suyas, y ningún texto de licencia las traslada. Nuestra parte es volverlas contestables: la fuente jurídica está nombrada, las retiradas están mostradas, y ambas llegan en una forma que resiste una auditoría.

Cuatro preguntas antes de comprar un corpus

¿Qué permitió que este material saliera de la empresa que lo produjo?
¿Se verificó la anonimización lote a lote y puede usted ver las cifras?
¿Seguiría siendo anónimo el resultado para alguien que tenga otro conjunto de datos sobre las mismas personas?
Si dentro de un año le escribe una autoridad de control, ¿qué documento envía?

Si un corpus no responde a esto, entrenar con él no cierra la brecha. Háganos las mismas preguntas: hello@thegeneraldata.com.