Una docente quiere que su grupo pruebe una herramienta de IA para preparar un trabajo. La jefa de estudios pregunta lo razonable: ¿hay que pedir autorización a las familias? En los centros suelen oírse dos respuestas, y las dos fallan. La primera es «sí, siempre, por si acaso», que llena de papeles y bloquea actividades que no los necesitaban. La segunda es «no, es educativo», que olvida que ser educativo no autoriza cualquier tratamiento de datos de menores.
La pregunta de fondo es otra: qué base legal sostiene el tratamiento de datos de cada actividad. Este artículo ordena la diferencia entre dos puertas, la función educativa del centro y el consentimiento, y explica cómo cambia el análisis según la actividad sea obligatoria u opcional. Una advertencia: esto no es asesoramiento jurídico. La decisión final corresponde al delegado de protección de datos (DPD) del centro y a su titularidad, y un centro público, uno concertado y uno privado pueden estar en situaciones distintas.
Primero, la idea clave: todo tratamiento necesita una base legal
El Reglamento general de protección de datos (RGPD) exige que cada tratamiento de datos personales se apoye en una base legal. Hay varias, y el consentimiento es solo una de ellas. Para un colegio importan sobre todo dos:
- La función educativa del centro. Cuando un centro desarrolla su misión educativa reglada (matricular, enseñar, evaluar, orientar, comunicarse con las familias), trata datos del alumnado porque esa misión lo requiere, sin necesidad de pedir consentimiento cada vez. En esencia, es el caso de los centros públicos y concertados en sus actividades curriculares; en un centro privado la base puede ser otra, y hay que confirmarlo con el DPD.
- El consentimiento. La persona afectada acepta de forma libre e informada. En el caso de menores, la edad cambia quién puede darlo.
Y un recordatorio que evita muchos errores: tener base legal es necesario, pero no suficiente. Aun con ella hay que informar a las familias, tratar solo los datos imprescindibles, proteger la información y, si interviene un proveedor externo, tener un contrato que limite lo que ese proveedor puede hacer con los datos.
El contexto invita a la prudencia. Según la Memoria 2025 de la AEPD, la Agencia recibió ese año 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior. Son datos de protección de datos en general, no solo de IA, pero describen un entorno en el que las reclamaciones crecen.
Cuándo suele bastar la función educativa: actividades obligatorias
Si una actividad forma parte de la programación y la hace todo el grupo, el centro puede apoyarse en su función educativa, siempre que se cumplan varias condiciones:
- La IA es un medio para un objetivo del currículo, no una novedad que se mete porque sí.
- Los datos son los mínimos necesarios. Y a menudo son cero, que es la mejor opción: el docente prepara el material sin incluir datos de nadie y la clase trabaja sobre ese material.
- La herramienta la elige el centro, tras revisarla con el DPD, y existe un contrato con el proveedor.
- Las familias están informadas de qué se usa y para qué.
Dos precisiones importantes. La función educativa no cubre que un proveedor reutilice los datos de los menores para sus propios fines, por ejemplo para entrenar sus sistemas: eso es otro tratamiento con otra finalidad. Y tampoco se arregla con un papel una actividad obligatoria que exija a cada alumno abrir una cuenta personal en un servicio externo. Un consentimiento obligado no es libre; lo que hay que cambiar es el diseño de la actividad.
Cuándo hace falta consentimiento: actividades opcionales y usos fuera de la misión
El consentimiento entra en escena cuando el tratamiento no es necesario para la actividad educativa reglada. Casos típicos:
- Actividades voluntarias o extraescolares que usan una herramienta externa y tratan datos del alumnado.
- Proyectos piloto fuera del currículo con proveedores que recogen datos.
- Uso de la imagen, la voz o los trabajos del alumnado, sobre todo si se publican fuera del centro.
- Cualquier tratamiento cuya finalidad decide el proveedor y no el centro.
Para que el consentimiento valga, debe ser libre (quien no participa no sufre ninguna consecuencia y tiene una alternativa equivalente), informado (qué datos, para qué, quién los recibe y durante cuánto tiempo), específico para cada finalidad y revocable.
Queda la edad. En España, el artículo 7 de la Ley Orgánica 3/2018 establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años, salvo los supuestos en que la ley exija la asistencia de quienes ejercen la patria potestad o tutela. Por debajo de esa edad, el consentimiento lo dan las familias. La Comisión Europea recuerda que este umbral varía entre 13 y 16 años según el Estado miembro. Ojo: la edad figura en el texto consolidado, y hay un proyecto de ley orgánica en tramitación que propone elevarla a 16 años, así que confirma la edad vigente con el DPD antes de redactar cualquier autorización. Y aunque un alumno mayor pueda consentir por sí mismo, muchos centros deciden informar también a las familias; es otra cuestión que conviene hablar con el DPD.
Las dos puertas, de un vistazo
La siguiente tabla es orientativa y sirve para empezar la conversación, no para sustituirla.
| Situación | Base más probable | Qué conviene hacer |
|---|---|---|
| Actividad obligatoria que no usa datos del alumnado | No hay tratamiento de datos personales | Es la opción más sencilla: diseñar así la actividad |
| Actividad obligatoria que sí trata datos con una herramienta del centro | Función educativa | Contrato con el proveedor, información a las familias, revisión del DPD |
| Actividad opcional con herramienta externa que trata datos | Consentimiento | Pedirlo por escrito a las familias (o al alumno si procede por edad) y ofrecer alternativa |
| Imagen, voz o trabajos publicados fuera del centro | Consentimiento específico | Autorización concreta para cada uso, revocable |
| Cuenta personal del alumno en un servicio externo | No se resuelve con un papel | Evitarla o revisarla a fondo con el DPD |
Lo que ninguna base legal arregla
Tener una buena base legal no convierte en aceptable cualquier uso de la IA en un colegio. Hay dos límites que van por otro lado.
Lo prohibido. El Reglamento europeo de IA prohíbe nueve prácticas, entre ellas el reconocimiento de emociones en lugares de trabajo y en centros educativos, con las excepciones que prevé el propio reglamento. Las ocho primeras prohibiciones son efectivas desde febrero de 2025. Ni consentimiento ni función educativa lo permiten.
Lo de alto riesgo. El anexo III del Reglamento incluye, en educación, los sistemas de IA destinados a determinar el acceso o la admisión a centros, a evaluar resultados de aprendizaje, a evaluar el nivel de educación al que accederá una persona y a vigilar y detectar comportamientos prohibidos de los alumnos durante las pruebas. No es una prohibición, sino una clasificación con obligaciones para proveedores y para quienes los usan; tras el Digital Omnibus, esas obligaciones se aplican desde el 2 de diciembre de 2027. En la práctica, la calificación sigue siendo una decisión del docente: la IA no la toma.
A esto se suma una recomendación de sentido común. En enero de 2026, la AEPD publicó un decálogo sobre el uso de herramientas de IA que recuerda que la infancia y la adolescencia pueden no ser plenamente conscientes de los riesgos de compartir información con una herramienta de IA. Son recomendaciones, no obligaciones legales por sí mismas, pero marcan el tono: ante la duda, menos datos.
Un orden de preguntas para decidirlo en el centro
- ¿Hace falta algún dato del alumnado? Si se puede rediseñar la actividad para que no, el problema desaparece.
- ¿La actividad es obligatoria o voluntaria? De ahí sale la base legal probable.
- ¿Qué datos, de quién y para qué? Escríbelo en una frase. Si no cabe en una frase, la actividad es demasiado difusa.
- ¿Quién es el proveedor y qué hace con los datos? Si no lo sabes, no se usa.
- ¿Están informadas las familias? Antes de empezar, no cuando preguntan.
- ¿Lo ha revisado el DPD? Es quien conoce el tipo de centro y la normativa que le aplica; no inventes normas autonómicas ni las des por supuestas.
- ¿Qué revisa el docente antes de que algo llegue al alumno o a una calificación? Todo.
Para ver cómo se traduce esto en el aula de cada etapa, tienes una comparativa en qué trabajar de IA en cada uno de los tres ciclos de Primaria, y un repaso de precauciones en AI Act y menores: precauciones de la IA en educación.
Fuentes
- BOE (2025): Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
- Comisión Europea (2026): Are there any specific safeguards for data about children?
- Comisión Europea (2026): AI Act | Shaping Europe's digital future
- Comisión Europea (2026): ANNEX III | AI Act Service Desk
- AEPD (2025): La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
Conclusión
La función educativa y el consentimiento no son intercambiables. Lo obligatorio y necesario para el currículo se apoya, en general, en la función educativa, con información a las familias, datos mínimos y contrato con el proveedor; lo opcional o ajeno a la misión pide consentimiento libre, informado y, por debajo de la edad legal, de las familias. Y ninguna base legal permite lo que el Reglamento europeo de IA prohíbe ni exime de revisar con cuidado lo de alto riesgo. La mejor protección sigue siendo diseñar actividades que no necesiten datos del alumnado.
En MG Solutions damos masterclasses de IA a alumnos de ESO y Bachillerato: tres días en el colegio con herramientas para su día a día, para estudiar mejor y para usar la IA de forma responsable.
Puedes ver cómo lo planteamos en nuestra formación en IA para colegios.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.