Una docente prepara el informe de un alumno con necesidades de apoyo. Para ir más rápido, copia sus notas en una herramienta de IA gratuita y le pide un borrador. Funciona, y el texto queda mejor de lo que esperaba. Lo que no se pregunta es dónde ha ido a parar ese texto, quién puede leerlo, cuánto tiempo se conserva y si se usa para algo más que para contestarle.
Son preguntas que los centros educativos tienen que poder responder antes de que una plataforma de IA entre en el aula, porque hablamos de datos de menores. Este artículo las responde en lenguaje llano, sin tecnicismos, y termina con lo que el centro debería exigir a cualquier proveedor. No es asesoramiento legal: el delegado de protección de datos del centro y vuestro asesor son quienes deciden en cada caso.
El contexto tampoco invita a mirar para otro lado. Según su Memoria 2025, la AEPD recibió ese año 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior. Son datos de protección de datos en general, no solo de IA, pero muestran que la ciudadanía reclama cada vez más.
¿Qué es una transferencia internacional de datos?
Es lo que ocurre cuando datos personales salen de la Unión Europea (y del Espacio Económico Europeo) hacia una empresa o un servidor de otro país. El RGPD, el reglamento europeo de protección de datos, pone condiciones a esos movimientos, precisamente para que los datos sigan teniendo protección cuando viajan.
En una plataforma de IA suele ocurrir sin que nadie lo vea. Cuando un docente escribe un texto, este viaja a un servidor, a veces a varios. Puede haber transferencia internacional si ese servidor está fuera de la UE, si el equipo de soporte del proveedor accede desde otro país o si una empresa subcontratada procesa los datos en otro lugar. Que la web esté en español y la empresa tenga oficina en España no basta para saberlo.
¿Qué datos del alumnado son personales, aunque no lo parezcan?
Más de los que se piensa. Además del nombre, cuentan las fotos, la voz, las notas, los informes de necesidades educativas, los datos de salud y los comentarios sobre comportamiento. También cuenta una combinación de datos que, por separado, parecen inocentes: un curso, una edad, una descripción y un barrio pueden identificar a un niño concreto.
Por eso la regla práctica más segura es esta: si el texto permite reconocer a un alumno, no se escribe en una herramienta que el centro no haya validado. La AEPD publicó el 27 de enero de 2026 un decálogo, «Cuidado con lo que le confIAs», que recuerda que la infancia y la adolescencia pueden no ser plenamente conscientes de los riesgos de compartir información con una herramienta de IA. Quien debe ser consciente de esos riesgos es el adulto responsable.
¿Cómo sé dónde se almacena lo que escribe un docente?
No basta con mirar la página de inicio. Hay que pedir por escrito al proveedor, y revisar en su documentación, estas respuestas:
- Dónde se almacenan y procesan los datos: en qué países están los servidores y desde dónde accede el personal de soporte.
- Quién más interviene: la lista de empresas subcontratadas que procesan datos por cuenta del proveedor, y sus países.
- Qué garantías ofrece cuando los datos salen de la UE, y por qué mecanismo.
- Si lo que se escribe se usa para entrenar o mejorar el servicio, y si se puede desactivar.
- Cuánto tiempo se conserva y cómo se borra.
Si el proveedor no responde con claridad, esa ya es una respuesta. Si el docente usa una cuenta personal gratuita, además, el centro ni siquiera tiene contrato que mostrar.
¿Qué debe exigir el centro al proveedor?
Una lista mínima para llevar a la reunión con el delegado de protección de datos:
- Un contrato de encargo de tratamiento firmado por el centro, que diga qué hace el proveedor con los datos y solo por cuenta del centro.
- La lista de subencargados y de los países implicados, con aviso previo si cambian.
- Garantías claras para cualquier transferencia fuera de la UE, explicadas en términos que el centro entienda.
- Compromiso de no usar los datos del centro para entrenar sus modelos salvo autorización expresa.
- Medidas de seguridad descritas y aviso al centro si hay una brecha de datos.
- Borrado o devolución de los datos cuando termine el contrato o el curso.
- Que la plataforma no incluya funciones prohibidas. El Reglamento europeo de IA prohíbe, entre otras prácticas, el reconocimiento de emociones en centros educativos. Según la Comisión Europea, las ocho primeras prohibiciones son efectivas desde febrero de 2025. Tiene excepciones por razones médicas o de seguridad, así que pregunta y no lo supongas.
Para entender qué suelen implicar este tipo de cláusulas, puedes consultar IA y exportación de datos fuera de la UE: qué exige el RGPD y Acuerdo de servicio con un proveedor de IA: qué exigir por escrito. Están escritos pensando en empresas, pero la lógica es la misma.
¿Puede un docente usar por su cuenta una herramienta de IA?
Con datos de alumnos, no. Y con sus propios materiales, sí, siempre que no incluyan datos personales y que el centro lo permita. Conviene que el claustro tenga una regla sencilla:
- Verde: se puede usar sin consultar para textos propios sin datos de alumnado (ideas de actividades, borradores de circulares generales).
- Ámbar: requiere visto bueno del equipo directivo o del delegado de protección de datos (cualquier herramienta nueva).
- Rojo: no se hace nunca fuera de una plataforma validada (nombres, notas, informes, imágenes o voces de alumnos).
Y el uso es siempre acompañado: el docente decide qué se pide, revisa lo que sale y responde de ello.
¿Qué dice la normativa sobre menores y sobre IA en educación?
Dos referencias útiles, sin entrar en detalle legal:
- Edad de consentimiento. Según la Ley Orgánica 3/2018 (LOPDGDD, artículo 7), el tratamiento de datos de un menor solo puede basarse en su consentimiento cuando es mayor de catorce años, salvo los casos en que la ley exija la asistencia de quienes ejercen la patria potestad o tutela. La Comisión Europea indica que ese umbral varía entre 13 y 16 años según el Estado miembro. En un colegio, la base legal de cada tratamiento la determina el centro con su delegado de protección de datos; no la decide una plataforma ni un docente.
- IA de alto riesgo en educación. El anexo III del Reglamento europeo de IA incluye entre los usos de alto riesgo los sistemas destinados a determinar el acceso o la admisión a centros educativos, a evaluar resultados de aprendizaje y a vigilar comportamientos prohibidos durante las pruebas. Es una clasificación con obligaciones, no una prohibición. Según la Comisión, tras el «AI Omnibus», esas obligaciones se aplican desde el 2 de diciembre de 2027. Dicho en práctica: evaluar al alumnado es una decisión del docente; la IA no sustituye su criterio.
¿Quién decide si una plataforma entra en el centro?
El equipo directivo, con el delegado de protección de datos y, si procede, la titularidad del centro o la administración educativa. No lo decide el proveedor, ni una persona por su cuenta. Un procedimiento razonable: el docente propone, el delegado revisa contrato, subencargados y transferencias, y la dirección aprueba. El resultado se comunica al claustro con una regla clara de uso.
Y hay otro aspecto que suele olvidarse: las familias. Informarles de qué herramientas se usan, para qué y con qué cautelas genera confianza. Si quieres una propuesta para hacerlo, en Escuela de familias sobre IA: cómo organizarla paso a paso hay una guía.
Fuentes
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
- AEPD (2025): La Agencia recibió más de 30.000 reclamaciones en 2025, un 64 % más que el año anterior
- BOE (2025): Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales
- Comisión Europea, protección de datos (2026): Are there any specific safeguards for data about children?
- Comisión Europea (2026): AI Act, Shaping Europe's digital future
- Comisión Europea, AI Act Service Desk (2026): Anexo III
Conclusión
Los datos del alumnado pueden viajar fuera de la UE sin que nadie lo note, sobre todo con herramientas gratuitas o cuentas personales. Saber dónde se guardan, quién interviene y qué garantías hay es responsabilidad del centro, que debe exigir al proveedor un contrato, una lista de subencargados y compromisos claros, y tener reglas sencillas para el claustro. La decisión final sobre cada plataforma es del centro con su delegado de protección de datos, nunca del proveedor.
En MG Solutions damos masterclasses de IA a alumnos de ESO y Bachillerato: tres días en el colegio con herramientas para su día a día, para estudiar mejor y para usar la IA de forma responsable.
Puedes ver más sobre nuestra formación en IA para colegios.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.