15 Oct 2026 Exactitud y minimización de datos en IA: qué exige la AEPD a tu startup
Si tu startup usa inteligencia artificial con datos de personas, la AEPD ha publicado este verano una nota técnica que conviene leer. Se titula Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial.
Aclara algo que mucha gente tiene mal entendido: el RGPD no te pide datos perfectos, te pide datos adecuados para lo que quieres hacer. Y a la vez te recuerda que tener más datos no hace mejor a tu IA, y que puede ser un incumplimiento.
En este artículo te explico qué dice la guía en lenguaje llano y qué tienes que hacer en tu empresa.
¿Qué son la exactitud y la minimización en el RGPD?
Son dos principios del artículo 5 del RGPD que se aplican a cualquier tratamiento de datos personales, también cuando hay IA de por medio:
- Exactitud (art. 5.1.d): los datos personales deben ser exactos y, cuando sea necesario, estar actualizados.
- Minimización (art. 5.1.c): solo puedes tratar los datos adecuados, pertinentes y limitados a lo necesario para tu finalidad.
La novedad de la AEPD es cómo los interpreta cuando hay un modelo de IA. Su idea de fondo es que exactitud y minimización van de la mano y se miden siempre respecto a la finalidad del tratamiento.
¿Qué significa «exactitud» según la AEPD? No es lo mismo que «veracidad»
Aquí está la parte más útil para una startup. La AEPD defiende que la exactitud del RGPD no es veracidad absoluta. Es que el dato sea adecuado para la finalidad. Según el caso, eso puede implicar:
- Precisión suficiente.
- Nivel de detalle (granularidad) adecuado.
- Frecuencia de recogida razonable.
- Ausencia de sesgos que comprometan el objetivo.
- Que los datos estén completos.
Veracidad y actualidad solo son exigibles cuando hacen falta para el fin concreto, y con más rigor cuando el resultado afecta a personas concretas. No es lo mismo recomendar series que decidir si alguien accede a un crédito.
¿Y la minimización? Más datos no es mejor
La guía recuerda que el RGPD no legitima tratar datos con más precisión, detalle o frecuencia de la que necesita tu finalidad. En IA hay una tentación enorme de recoger todo «por si acaso» para entrenar mejor el modelo. La AEPD dice que eso no vale.
Lo mismo con la calidad. Exigir una calidad excesiva también puede vulnerar la minimización, encarecer el proyecto y acabar cancelándolo. Y si unos datos no tienen la calidad necesaria para desarrollar el modelo, no serán necesarios para ese tratamiento. Solo podrías acceder a ellos en la medida estrictamente necesaria para evaluar su calidad.
¿Qué es la calidad del conjunto de datos y por qué importa más que cada dato?
Este es uno de los puntos más prácticos de la nota. En aprendizaje automático, la idoneidad depende sobre todo del conjunto de datos y no de cada registro por separado.
La guía lo ilustra con un ejemplo. Una tabla puede tener todos los registros correctos y, aun así, estar sesgada por género. Si tu sistema debe funcionar igual de bien para todos los géneros, esa tabla no es adecuada.
Otro ejemplo es el de un historial de crédito. Las personas de un código postal concreto (el 28003) tenían una media de 0,65 frente a 0,85 del resto. Corregir esa diferencia sistemática puede ser necesario para que el modelo sea justo.
Ojo, porque los sesgos no son siempre malos. La AEPD reconoce que pueden ser necesarios, por ejemplo, en detección de fraude o en medicina de precisión. Lo que importa es que sean coherentes con la finalidad y estén justificados.
¿También hay que controlar lo que «dice» la IA? Sí: los resultados
Muchas empresas solo piensan en los datos de entrada. La AEPD insiste en que también debes definir métricas objetivas para los resultados (inferencias, predicciones o decisiones), sobre todo si afectan a personas.
Esto importa si tu producto puntúa clientes, filtra candidatos, calcula riesgos o personaliza precios. Un resultado erróneo sobre una persona puede ser un problema de exactitud, aunque los datos de partida fueran correctos. Y si la IA toma decisiones con efectos relevantes, tienes que plantearte supervisión humana y los derechos asociados a las decisiones automatizadas del artículo 22 del RGPD. Si usas IA en selección de personal, te lo explicamos en Usar inteligencia artificial en la selección de personal.
¿Se pueden usar datos sintéticos, anonimizados o rellenar huecos?
Sí, con matices. La guía menciona la anonimización, la privacidad diferencial, la corrección de sesgos y los datos sintéticos como técnicas compatibles, aunque algunos valores ya no reflejen exactamente a una persona. El conjunto puede seguir siendo adecuado para su finalidad.
Con rellenar huecos (imputación) hay que tener cuidado. Sustituir campos vacíos por una media mejora la completitud, pero introduce valores formalmente inexactos. Si esos valores influyen en decisiones o perfiles sobre personas, tienes que justificarlo y documentarlo.
¿Qué debe hacer tu startup? Checklist práctica
La guía no crea obligaciones nuevas. Explica cómo aplicar la responsabilidad proactiva (art. 24 RGPD) a la IA. En la práctica, esto es lo que te recomiendo:
- Define la finalidad con precisión. Si no sabes para qué usas los datos, no puedes decidir cuáles son necesarios ni qué calidad necesitan.
- Justifica cada categoría de datos. Anota por qué necesitas cada campo para entrenar o alimentar el modelo. Si no puedes justificarlo, elimínalo.
- Fija la calidad mínima antes de recoger datos. Define qué nivel de precisión, completitud o representatividad necesitas.
- Revisa el conjunto de datos, no solo los registros. Busca sesgos, falta de representatividad y variables irrelevantes.
- Documenta el origen y las transformaciones. De dónde vienen los datos, qué limpiezas o imputaciones has hecho y qué criterios de selección o exclusión has usado.
- Mide los resultados. Establece métricas de error aceptables y revisa casos individuales cuando haya efectos sobre personas.
- Evalúa fortalezas y debilidades antes de desplegar. La AEPD aclara que no se exige un sistema perfecto, pero sí conocer sus límites.
- Monitoriza en el tiempo. Si cambian los datos o el comportamiento del modelo (lo que se conoce como data drift), revisa los requisitos.
- Pide información a tus proveedores de IA. Si usas modelos de terceros, la guía recomienda tener en cuenta los requisitos de calidad que documenta el proveedor. Incluye estos criterios en los contratos con encargados del tratamiento.
- Reparte responsabilidades. Define quién fija los requisitos de calidad. La AEPD recomienda un equipo con perfiles de datos y de protección de datos, y que el DPD entienda los flujos de datos.
Si ya tienes una política de uso de IA o hiciste una evaluación de impacto, este es un buen momento para añadir estos puntos.
¿Cómo encaja con el Reglamento de IA?
La guía es sobre el RGPD, no sobre el AI Act. Pero ambos coinciden en que los datos deben ser relevantes, representativos y estar bien gobernados, sobre todo en sistemas de alto riesgo. Si documentas bien ahora, tendrás mucho avanzado para el cumplimiento del Reglamento de IA. Si quieres ver qué te exige, lee Cómo cumplir el Reglamento IA si tienes una startup.
Preguntas frecuentes
¿La AEPD me exige tener datos 100 % exactos para usar IA?
No. Exige que sean adecuados para tu finalidad. Esa exigencia es mayor cuando el resultado afecta a personas concretas.
¿Entrenar un modelo cuenta como un tratamiento distinto de usarlo?
Sí. La guía trata el desarrollo (entrenamiento) y la explotación (uso) como tratamientos distintos, y conviene analizarlos por separado.
¿Puedo usar los datos de mis clientes para entrenar un modelo?
Depende de la finalidad, de la base jurídica y de la minimización. Esta guía no resuelve la base jurídica, por eso conviene revisarlo con tu DPD antes de empezar. Te lo explicamos en Usar datos de clientes en IA: lo que el RGPD te exige.
¿Esta guía es vinculante?
Es una nota técnica de la autoridad de control. No crea obligaciones nuevas, pero muestra cómo interpretará la AEPD el RGPD si inspecciona un tratamiento con IA.
Conclusión
La guía de la AEPD se resume en tres ideas. Define bien para qué usas los datos. Usa solo los necesarios y con la calidad justa. Y deja por escrito cómo lo has decidido.
Si tienes esa documentación, la IA deja de ser un riesgo regulatorio y pasa a ser una ventaja competitiva ante clientes e inversores.
¿No sabes si los datos que usas en tu IA cumplen con la AEPD?
En Emprender Seguro ayudamos a startups y pymes a revisar sus tratamientos con IA y a documentarlos. Escríbenos y lo vemos juntos. También puedes conocer nuestra adaptación al RGPD y el servicio de DPD externo.