El archivo de vídeo de tu empresa en una plataforma ajena ya es material de entrenamiento de IA
Las licencias que firmaste hace una década con plataformas de vídeo ya son lo bastante amplias para cubrir el entrenamiento de modelos de IA sin cambiar una coma. Si el archivo de tu empresa vive en una plataforma que no controlas, la exposición legal va mucho más allá de lo que dice el contrato.
En algún punto de las condiciones que aceptaste hace años hay una licencia lo bastante amplia como para convertir todo el archivo de vídeo de tu empresa en material de entrenamiento de IA, y nadie tiene que avisarte antes de usarlo. Ese es el repricing silencioso de la era de los modelos. El vídeo grabado para vender un producto, formar a un equipo o rellenar un hueco en un webinar se ha convertido en justo lo que los modelos generativos más necesitan, y el papel que las plataformas te hicieron firmar hace una década se redactó deliberadamente ancho para que nadie tuviera que volver a pedir permiso. Amazon es dueña de Twitch desde 2014, cuando compró una comunidad de vídeo en directo; una década después, ese mismo activo se lee como un corpus de entrenamiento. La biblioteca de webinars de tu empresa es una entrada más pequeña en el mismo libro de cuentas.
Esto no es un problema exclusivo de los streamers. Las empresas han hecho depósitos equivalentes en todas partes: webinars, intervenciones de directivos, demostraciones de producto, sesiones de soporte grabadas, todo alojado en plataformas cuyas condiciones se pueden reescribir sin que nadie vuelva a firmar nada. El valor de esos archivos estaba latente hasta que la era de los modelos lo hizo legible, y el valor latente en el balance de otro tiene la costumbre de materializarse sin llamada de cortesía.
La mecánica del consentimiento indica hacia dónde va esto, y un párrafo basta para explicarlo. Cuando las plataformas activan controles de entrenamiento de IA, lo habitual es un interruptor de exclusión, no una petición de adhesión: un operador convencido de que los usuarios dirían que sí simplemente lo preguntaría, así que la inscripción casi total es el objetivo de diseño. Horas de vídeo de alguien hablando a cámara son el sustrato más rico que existe para sintetizar a un humano convincente, lo que convierte un archivo así en un activo de imagen personal, al margen de por qué se grabó. Y cuando todos los modelos de vanguardia ya se han comido la misma web pública, un corpus cerrado de vídeo exclusivo es un foso defensivo, así que espera que las condiciones sigan derivando hacia la captura. Ese es el contexto. La pregunta más afilada es qué dice realmente el papel que ya firmaste, y la ley a la que ya estás sujeto.
¿Puede una plataforma usar tus vídeos como datos de entrenamiento de IA?
Lee la licencia que cediste al subir el vídeo. Las condiciones de servicio de Twitch toman un derecho «sin restricciones, mundial, irrevocable, totalmente sublicenciable, no exclusivo y libre de regalías» para «usar, reproducir, modificar, adaptar, publicar, traducir, crear obras derivadas, distribuir, ejecutar y mostrar» lo que publicas. Las condiciones de YouTube son más educadas pero no más estrechas donde importa: una licencia «mundial, no exclusiva, libre de regalías, sublicenciable y transferible» para usar tu contenido «en relación con el Servicio y con el negocio de YouTube (y el de sus sucesores y filiales)». Ninguna cláusula menciona el entrenamiento de modelos, y ambas son anteriores a que la pregunta importara. Ese es precisamente el problema: un lenguaje tan amplio no necesita enmendarse para cubrir un proceso de entrenamiento, solo necesita un abogado dispuesto a argumentar que entrenar mejora el servicio. Frente a esto, un interruptor de exclusión es una función de producto, no una cláusula contractual. Las funciones se pueden mover. La licencia se queda.
Que los tribunales acaben acotando esas cesiones es una incógnita, y no apostaría el negocio de nadie a ningún resultado. La posición de triaje es más simple: si el dueño de la plataforma construye modelos, asume que el contenido depositado es candidato a entrenamiento salvo que las condiciones digan lo contrario, y comprueba después qué cubre realmente el mecanismo de exclusión y cuándo se cierra el plazo. Ninguna plataforma publica un inventario de lo que los modelos de su dueño ya han ingerido, y ninguna lo promete. Da por hecho que no podrás averiguarlo.
¿Es el rostro de un directivo un dato biométrico según el RGPD?
Aquí está el argumento que el debate sobre condiciones de servicio se salta, y para una empresa que opera bajo normativa europea es el más afilado. El vídeo de una persona identificable es un dato personal, sin matices. Según el artículo 4.14 del RGPD británico (la versión que el Reino Unido conservó tras el Brexit, con la misma numeración que el reglamento europeo que aplica la AEPD en España), las imágenes faciales se convierten en datos biométricos cuando pasan por un «tratamiento técnico específico» que permite «la identificación única» de una persona. Alojar un webinar no lo es. Entrenar un sistema hasta que reconozca o reproduzca a una persona concreta, cara y voz incluidas, es un candidato serio a serlo, y los datos biométricos usados para identificar de forma única a alguien son categoría especial según el artículo 9, donde el tratamiento está prohibido salvo excepción tasada. La excepción operativa aquí es el consentimiento explícito, y la Data Protection Act 2018 (la ley británica que desarrolla el reglamento) mantiene el resto de puertas cerradas. Ningún tribunal ha resuelto esto para el entrenamiento de modelos todavía; no afirmo lo contrario. Afirmo que una empresa cuyos directivos se vuelven sintetizables tiene entre manos una cuestión viva de artículo 9, y «las condiciones de la plataforma lo permitían» no aparece en la lista de excepciones, ni en el RGPD británico ni en el europeo que rige en España.
Ahora aplica el ángulo laboral. La empresa que sube el vídeo es responsable del tratamiento y necesita su propia base jurídica. El consentimiento parece obvio y no lo es: la guía de la ICO (el regulador británico de protección de datos, equivalente funcional de la AEPD) es tajante en que el consentimiento debe ser libre, y el desequilibrio de poder entre empleador y empleado hace que el consentimiento del empleado sea sospechoso por defecto. Un equipo de marketing que grabó al director de producto para vídeos explicativos tiene, como mucho, consentimiento para vídeos explicativos. Nadie consintió convertirse en materia prima.
Y aquí está la parte que convierte esto en un agujero de gobernanza y no en un simple papeleo pendiente. Cuando externalizas un tratamiento, el RGPD espera un encargado vinculado por un contrato de artículo 28, actuando según tus instrucciones documentadas. Una plataforma que aloja tu vídeo bajo sus propias condiciones no es nada de eso. Es un responsable independiente, que trata los datos para sus propios fines, y subir contenido a una empresa estadounidense es una transferencia restringida bajo el capítulo V, un régimen pensado para relaciones de externalización, no para una contraparte con sus propios planes. Tu marco de protección de datos, sencillamente, no viaja con el archivo. Y si el vídeo ya se ha usado para entrenar un modelo, los derechos que normalmente te respaldan, supresión y oposición, chocan con que el desaprendizaje automático a esa escala está entre lo difícil y lo no resuelto. La ICO ya ha visto esta figura antes. En 2017 concluyó que el Royal Free NHS Foundation Trust incumplió la normativa de protección de datos al ceder 1,6 millones de historiales de pacientes a Google DeepMind para probar una aplicación. La sanción recayó sobre el hospital que dejó salir los datos de su organización, no sobre la empresa que los recibió. Datos distintos, riesgo menor, misma lógica de responsabilidad: quien cede, responde.
Cómo poner precio a la exposición
Trátalo como riesgo de contraparte sin tasar, porque eso es lo que es. La auditoría no tiene nada de exótico: inventaría qué has subido y dónde; lee cada cláusula de cesión de derechos y cada mecanismo de exclusión, y anota en el calendario los avisos de cambio de condiciones; decide, plataforma por plataforma, si el alcance sigue compensando la exposición; conserva tus propios masters; negocia excepciones donde tu cuenta tenga peso suficiente para conseguirlas. El vídeo de directivos identificables merece su propia línea, con una base jurídica documentada, porque ahí es donde vive el riesgo de cola del artículo 9. Esto es exactamente lo que debería salir a la luz en una revisión de preparación para la IA antes de firmar con cualquier plataforma nueva, y merece un hueco fijo en tu estrategia técnica, no una reacción de pánico puntual.
Cambiaría de opinión con pruebas reales: una gran plataforma pasando a una adhesión genuina y publicando la tasa real de aceptación que consigue, o condiciones que separen operar el servicio de entrenar modelos. Los incentivos anteriores son la razón por la que no pienso esperar a verlo. Auditar lo que has depositado cuesta una tarde. La imagen de un directivo dentro de un modelo que no puedes inspeccionar ni retirar cuesta una cantidad desconocida durante un tiempo sin límite. Ya hemos escrito antes sobre mantener el control humano sobre los sistemas de IA; el corolario es negarse a convertirse en materia prima anónima de la IA de otro. Una pequeña prima frente a una pérdida grande y sin techo, en una ventana que se está cerrando. Ese es el trato.
Preguntas frecuentes
¿Cómo sé si una plataforma está entrenando IA con mi contenido?
Lee las condiciones de servicio vigentes y cualquier anexo sobre IA o aprendizaje automático, buscando expresiones como «entrenar», «aprendizaje automático» o «mejorar nuestros servicios», y revisa los ajustes de tu cuenta, donde suele estar el interruptor de exclusión si existe. Pon un recordatorio para revisarlo cada vez que la plataforma anuncie un cambio de condiciones, porque la inscripción suele llegar así, con un plazo de oposición corto.
¿Excluirme retira mis vídeos de los modelos de IA que ya se entrenaron?
Casi seguro que no. Excluirse detiene, como mucho, la ingesta futura; retirar un contenido concreto de un modelo ya entrenado (el llamado desaprendizaje automático) es técnicamente difícil y ninguna plataforma se compromete a hacerlo. Ninguna gran plataforma publica un inventario de lo que sus modelos ya han absorbido, lo que dice bastante sobre la visibilidad que puedes esperar. El momento en que audites importa más que lo minucioso que sea tu oposición posterior.
¿Es el vídeo de un directivo un dato biométrico según el RGPD?
No por defecto. Las imágenes faciales solo cuentan como dato biométrico según el artículo 4.14 cuando pasan por un «tratamiento técnico específico» que permite la identificación única, y alojar un webinar no cumple ese requisito. Entrenar un modelo para que reconozca o sintetice a una persona concreta sí es un candidato serio, y en ese punto se activa el régimen de categoría especial del artículo 9, con el consentimiento explícito como puerta realista. Trata el vídeo de directivos como dato personal de alto riesgo y documenta una base jurídica antes de que salga de tu organización.
Relacionado
- Los bonos de retención no reducen el riesgo de persona clave: la doctrina, sí
- El tráfico de bots reparte tu presupuesto de publicidad, y lo firmó un humano
- Tu proveedor de nube también financia sus ingresos de IA: hazle due diligence financiera antes de firmar
- Data & Strategy
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.