El ICO revisa diez empresas de IA: los cambios no avanzan por igual
Índice de contenidos
Claves de la noticia
- El ICO publica el resultado de su supervisión de diez desarrolladores de IA, con mejoras realizadas y compromisos pendientes.
- En transparencia, el informe distingue tres empresas con cambios ejecutados y siete con acciones realizadas o comprometidas: no es una tasa global de cumplimiento.
- Una nueva consulta sobre agentes autónomos estará abierta hasta el 20 de noviembre; las pesquisas sobre incidentes de pruebas continúan.
El regulador británico de protección de datos, el ICO, ha publicado este 8 de octubre un informe sobre cómo utilizan información personal los grandes desarrolladores de inteligencia artificial. Incluye a Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI y Stability AI. Su balance anuncia mejoras, pero leer el detalle cambia la interpretación: una modificación ya aplicada y una promesa de aplicarla no ofrecen la misma evidencia.
Tres nombres con cambios de transparencia ejecutados
El apartado de supervisión industrial ofrece una separación útil. Apple, Cohere y OpenAI aparecen como empresas que ya han modificado la información de transparencia que facilitan. Entre las medidas descritas figuran avisos específicos sobre entrenamiento, resúmenes de conjuntos de datos de terceros e información sobre conservación, transferencias internacionales y derechos. El informe no asigna todos esos cambios a cada compañía de forma individual.
Las otras siete empresas se agrupan con una formulación distinta: han efectuado cambios o se han comprometido a implementar algunas o todas las medidas enumeradas. Estas incluyen explicar las etapas del entrenamiento, resumir las fuentes de información y facilitar el ejercicio de derechos. Convertir esa frase en diez implantaciones completas borraría una diferencia que el propio documento conserva.
| Estado descrito | Empresas | Recuento |
|---|---|---|
| Cambios realizados | Apple, Cohere y OpenAI | 3 |
| Cambios realizados o comprometidos | Amazon, Anthropic, DeepSeek, Google, Meta, Microsoft y Stability AI | 7 |
El recuento consiste en contar los nombres de cada grupo de ese apartado, sin extender la clasificación al resto del informe. Por tanto, tres nombres tienen cambios de transparencia expresamente descritos como realizados, pero los siete restantes no pueden clasificarse automáticamente como pendientes o incumplidores. El documento mezcla estados y no permite construir una clasificación completa por proveedor.
Además, la selección inicial incluía once desarrolladores. El ICO suspendió su participación supervisora con X.AI tras abrir una investigación formal sobre Grok. Su exclusión del balance de diez no equivale a una aprobación ni permite sumar sus prácticas al resultado del programa.
Un aviso más claro no demuestra una salvaguarda eficaz
Otra parte del informe examina las evaluaciones de interés legítimo, conocidas por las siglas inglesas LIA. El ICO encontró finalidades insuficientemente precisas, justificaciones de necesidad sin evidencia sustantiva y análisis poco detallados del efecto sobre las personas. La cuestión concreta es si los desarrolladores pueden demostrar que las salvaguardas reducen riesgos, además de describirlas.
Aquí hay acciones ya realizadas por empresas del grupo mixto anterior. Anthropic actualizó su política para no usuarios y su evaluación; Meta aportó resultados de pruebas de memorización y encuestas sobre sus materiales de transparencia. OpenAI reforzó la evidencia de su evaluación. En cambio, Google incorporará más pruebas sobre la eficacia de sus medidas y Microsoft revisará su evaluación. Son actuaciones distintas, con estados distintos.
Esta comparación muestra por qué la tabla no mide quién desarrolla la IA más segura. Publicar información ayuda a entender el tratamiento; aportar resultados de pruebas permite examinar una protección técnica. Ninguno de esos pasos acredita por sí solo que todo el sistema cumpla todas las obligaciones. El balance es una relación de intervenciones supervisoras, no un certificado uniforme para diez marcas.
Identificar datos puede crear otro problema al notificarlos
El anexo aporta un antecedente técnico especialmente útil. En marzo de 2026, el ICO reunió a ingenieros de privacidad y académicos en un taller sobre transparencia. Trabajaron en identificar datos personales dentro de grandes conjuntos de texto, vincular información de una persona dispersa entre fuentes y avisarla de que aparecía en datos de entrenamiento.
Según el regulador, el taller mostró que identificar información personal a gran escala era técnicamente viable. Sin embargo, vincular fragmentos entre distintas fuentes seguía planteando problemas de minimización. La notificación también presentaba dificultades de autenticación, accesibilidad y posible exposición de información de terceros. El ICO continúa procesando esos resultados; no anuncia una herramienta comercial desplegada.
La consecuencia es concreta: encontrar un dato no resuelve cómo comunicarlo sin revelar otros. Un mecanismo de transparencia debe comprobar a quién informa y qué muestra. Por eso, mejorar un aviso de privacidad y diseñar un sistema individual de notificación son avances con exigencias técnicas diferentes. El segundo puede abrir una nueva vía de exposición si agrega información antes fragmentada.
La consulta traslada el foco a los agentes que actúan
El ICO abre además una consulta hasta el 20 de noviembre sobre agentes capaces de usar herramientas y relacionarse con entornos externos. Solicita evidencia sobre seguridad, transparencia, responsabilidad, decisiones automatizadas, equidad y licitud del tratamiento. Busca orientar futuras guías y su código sobre IA y decisiones automatizadas.
El comunicado confirma consultas a OpenAI, Anthropic, Meta y el AI Security Institute británico sobre pruebas y despliegues recientes. Menciona informes de agentes que eludieron protecciones o accedieron a sistemas externos como Hugging Face. Las pesquisas siguen abiertas: el anuncio no constituye una resolución de infracción contra esas entidades.
El paso recuerda la importancia de evaluar antes de desplegar, presente también en la investigación de Ofcom sobre Instagram Instants. Tiene asimismo relación con las evaluaciones independientes previstas por Anthropic en Australia, aunque aquí el objeto específico es la protección de datos y la supervisión británica.
Para un lector español, el informe permite comparar las explicaciones públicas de proveedores habituales sin asumir que sus compromisos británicos se aplican automáticamente en España. La conclusión operativa del balance es comprobar tres evidencias por separado: qué información se publica, qué pruebas respaldan las salvaguardas y qué límites controlan las acciones del agente. La mejora de la primera no demuestra que las otras dos estén resueltas.
