🔍 Historiales médicos. Antecedentes penales. En Japón, si el propósito es entrenar un modelo de inteligencia artificial, puede que ya no haga falta preguntarle a la persona. Leído como titular suena a escándalo, y así se debatió en el Parlamento. Leído como texto legal, el diseño resulta más deliberado de lo que sugiere el titular, y no se parece a nada que esté vigente en otro país.

Qué se aprobó

La reforma de la Ley de Protección de la Información Personal salió adelante en la Cámara Alta japonesa el 10 de julio de 2026. El recuento publicado por la propia cámara registra 240 votos emitidos, 146 a favor y 94 en contra. Por grupos, votaron a favor el Partido Liberal Democrático, el Partido Democrático para el Pueblo, Ishin y Team Mirai. Votaron en contra el Partido Democrático Constitucional, Komeito, Sanseito, el Partido Comunista, Reiwa, Okinawa no Kaze y el Partido Socialdemócrata, mientras que el Partido Conservador de Japón y los diputados sin grupo se dividieron. La línea divisoria no coincidió ni con la de gobierno y oposición ni con la de izquierda y derecha.

Su pieza central es lo que los juristas llaman la excepción estadística. Cuando la finalidad es elaborar estadísticas o desarrollar modelos de IA, las empresas pueden obtener datos personales y cederlos a terceros sin el consentimiento de las personas afectadas. Las categorías sensibles, como el historial médico, los antecedentes penales, la raza o las convicciones, quedan dentro de esa excepción y no fuera de ella. Un documento de la secretaría de la comisión publicado en abril de 2026 ya señalaba que la elaboración de estadísticas comprende el desarrollo de IA que pueda clasificarse como tal. Eso no significa que cualquier proyecto de IA encaje. La definición legal impone condiciones, entre ellas que el resultado final no sea información sobre personas.

La norma entrará en vigor en un plazo de dos años desde su promulgación, antes de julio de 2028. La mayor parte del contenido todavía está por escribir. En una rueda de prensa del 31 de julio de 2026, la Comisión de Protección de la Información Personal anunció que en agosto publicará el panorama completo de los puntos que abordarán sus reglamentos y directrices, y que abrirá una consulta pública. Kiyoshi Sawaki, secretario general del organismo, dijo que expondrán los casos previstos con la mayor claridad posible y que también quieren publicar los criterios de aplicación de las nuevas órdenes de multa.

Lo que la excepción realmente abre: rastreo web y cruce de registros

"Quien desarrolle IA podrá usar cualquier cosa" está muy lejos de lo que dice el articulado. Yoichiro Itakura, abogado del despacho Hikari Sogoh especializado en protección de datos, divide la excepción en dos funciones. Él mismo participó dos veces en las audiencias previas al proyecto de ley y advierte que eso no lo convierte ni en un observador externo ni en alguien completamente neutral.

La primera función es el rastreo de sitios web. Con la ley actual, obtener información personal sensible sin consentimiento es ilegal, salvo cuando la propia persona o un medio de comunicación la ha hecho pública. Pero cuando un compañero publica que alguien está de baja por enfermedad, recoger esa publicación ya es una obtención sin el consentimiento del interesado. Al rastrear la web abierta para entrenar un modelo generativo, no hay forma fiable de filtrar todas las publicaciones de ese tipo. La primera mitad de la excepción existe para dar una vía legal a ese acto.

La segunda función es el cruce de registros entre empresas. Es la parte que más se malinterpreta. Según Itakura, buena parte del desarrollo de IA ya era legal. Una empresa que trabaja sola puede construir estadísticas o entrenar un modelo con sus propios datos sin siquiera comunicarlo a las personas implicadas, y las estadísticas terminadas o el modelo entrenado quedan en general fuera de la ley de protección de datos mientras no sean información sobre individuos identificables, de modo que ya podían cederse a otras compañías.

Lo que estaba bloqueado era que dos empresas cotejaran sus registros para establecer que el cliente de A y el cliente de B son la misma persona y construyeran estadísticas o datos de entrenamiento a partir de esa vista combinada. La restricción a la cesión a terceros lo impedía. La segunda mitad de la excepción abre esa puerta.

Lo que hace distinto a Japón, primera parte: la ley de datos se alinea con la de derechos de autor

El artículo 30-4 de la Ley de Propiedad Intelectual japonesa, introducido en la reforma de 2018 y vigente desde el 1 de enero de 2019, permite explotar una obra con fines como el análisis de información cuando el objetivo no es disfrutar, ni hacer que otros disfruten, de los pensamientos o sentimientos expresados en ella. No distingue entre uso comercial y no comercial, y suele describirse como una de las limitaciones al derecho de autor más permisivas del mundo en lo relativo al aprendizaje automático.

Itakura señala que el rastreo plantea el mismo problema en materia de derechos de autor, que el artículo 30-4 ya lo resuelve, y que la respuesta de la ley de protección de datos al rastreo va en sintonía con ese razonamiento.

Esa sola observación identifica lo más japonés de toda la reforma. Un mismo acto, rastrear la web abierta de forma indiscriminada, ha quedado legalizado por vía legislativa tanto en el terreno del derecho de autor como en el de los datos personales, y con la misma lógica de fondo: la máquina no consume esto como lo consume una persona. La ley de propiedad intelectual lo llama uso sin disfrute. La de protección de datos lo llama elaboración de estadísticas. Ninguna otra jurisdicción relevante ha cerrado ambas mitades del círculo por ley.

Europa está en otro sitio. En su Dictamen 28/2024, adoptado el 17 de diciembre de 2024, el Comité Europeo de Protección de Datos confirmó que el interés legítimo puede servir de base jurídica para desarrollar y desplegar modelos de IA, pero dejó la valoración a un análisis caso por caso en lugar de concederla como categoría. La ley surcoreana permite tratar datos seudonimizados sin consentimiento para estadísticas e investigación científica, pero es la seudonimización la que abre la puerta. Japón traza la línea por la finalidad, Corea por la técnica y Europa caso por caso.

Lo que hace distinto a Japón, segunda parte: publicidad y contratos en lugar de tecnología

El segundo rasgo propio es cómo se construyó el freno.

La empresa que use la excepción no puede destinar los datos a nada que no sea la finalidad estadística. Debe publicar su denominación y el contenido de lo que está haciendo. Cuando los datos cambian de manos, tanto quien cede como quien recibe publican esos elementos, quien cede publica además el nombre del receptor, y ambas partes deben firmar un acuerdo por escrito que limite la finalidad. Las obligaciones de seguridad se extienden más allá de los datos personales organizados en bases de datos y alcanzan a la información personal en general. Incumplir cualquiera de estos puntos expone a la compañía a la nueva orden de multa.

Dicho de otro modo, lo que ata es la publicidad y el contrato. No es la tecnología. Ni las medidas técnicas que permitirían producir estadísticas sin que una persona vea nunca los registros en bruto, ni la intervención de un proveedor de tecnologías de refuerzo de la privacidad como el cálculo seguro, se convirtieron en obligatorias.

Itakura lleva años defendiendo que esas tecnologías merecen incentivos adecuados y, durante las audiencias, propuso una alternativa inspirada en los intermediarios acreditados de la ley japonesa de infraestructura sanitaria de nueva generación, limitando quién puede realizar el tratamiento. Lo que salió adelante canaliza la información personal desde la empresa A y la empresa B hacia la empresa X, que elabora las estadísticas, con la publicidad y el contrato como única garantía. El propio Itakura escribe que el diseño quizá aflojó más de lo necesario.

La Asociación Japonesa de Informática Médica, en un escrito del 19 de junio de 2026, sostuvo que nada en el esquema evalúa de antemano si el tercero receptor puede manejar realmente los datos con seguridad. La réplica de Itakura es que tampoco existe esa evaluación previa para el tratamiento por encargo ni para la excepción de investigación académica, muy utilizada en el ámbito sanitario.

¿La discusión es sobre perfilado o sobre aplicación?

La objeción más ruidosa es que los modelos construidos al amparo de esta excepción terminarán clasificando personas. Ryoji Mori, abogado que participó en el panel de revisión de la comisión, apunta al volumen de inferencias estadísticas que el enfoque generará: fragmentos como las compras de madrugada, el historial de navegación o la frecuencia con que alguien bebe, agrupados en la conclusión de que esa persona tenderá a retrasarse en los pagos, y producidos por millares. Entre los atributos que alimentan esas inferencias hay algunos poco evidentes y otros que la propia persona desconoce. La propuesta de Mori es que, salvo en los usos claramente beneficiosos para el interesado, se prohíba por ahora aplicar esas inferencias a personas concretas. Endurecer las normas sobre perfilado fue un asunto vivo mientras se redactaba la reforma, pero Masaharu Koda, profesor emérito de la Universidad de Kanagawa, sostiene que, pese a que numerosos expertos pidieron incluirlo, desapareció sin llegar a debatirse en la comisión.

Itakura considera que la crítica se apoya en varios malentendidos. En cuanto se aplica un modelo o una estadística terminada a datos personales reales, la excepción deja de operar y vuelven las reglas ordinarias: publicación de la finalidad, prohibición de usarlos para otra cosa y restricción de la cesión a terceros. Las normas sobre perfilado se introdujeron en la reforma de 2020, incluida la prohibición del uso indebido, así que afirmar que no hay regulación es sencillamente inexacto. Y Sawaki declaró ante una comisión especial de la Cámara Baja el 12 de mayo de 2026 que construir y difundir un modelo de IA usando información personal, previendo que puede inducir discriminación ilegal, sería en sí mismo ilícito, dado que solo pueden considerarse elaboración de estadísticas los usos con escaso riesgo de dañar los derechos e intereses individuales.

Los dos acaban confluyendo. Que algo de esto funcione depende de la aplicación.

La multa administrativa es una novedad en el derecho japonés de protección de datos. Exige que haya más de 1.000 personas afectadas y que la empresa haya obtenido dinero u otro beneficio patrimonial a cambio de la infracción. El importe equivale al beneficio indebido, aumenta una vez y media en caso de reincidencia y se reduce a la mitad si la compañía se autodenuncia. Las filtraciones derivadas de fallos de seguridad quedaron deliberadamente excluidas. El instrumento apunta al lucro intencionado, no al error operativo.

Lo incómodo es que las obligaciones que crea la excepción son justamente las que la comisión casi nunca ha hecho cumplir. Según las cifras que cita Itakura, de 88 actuaciones de orientación administrativa en el cuarto trimestre del año fiscal 2025, 84, el 95 por ciento, se referían a fallos en las medidas de seguridad o en la supervisión de encargados. Tres tenían que ver con cesiones ilícitas a terceros y una con obtención indebida. Las órdenes formales son aún más raras: una en el primer semestre del año fiscal 2025 y ninguna en 2024 ni en 2023. Prometer vigilar la limitación de finalidad y los deberes de publicidad tiene poco respaldo histórico.

La cláusula 14 de la resolución complementaria de la Cámara Baja pidió reforzar la plantilla y el presupuesto de la comisión ante la carga de trabajo que la reforma genera. La conclusión de Itakura es que ganarse la confianza depende de si llega a construirse una capacidad de supervisión que atrape de verdad las infracciones.

Qué se sabrá en agosto

El texto legal está cerrado. Lo que sigue siendo móvil es el conjunto de puntos que la comisión publique en agosto y los reglamentos y directrices que nazcan de ahí.

Conviene vigilar tres cosas. Primera, qué se designa como elaboración de estadísticas y si el límite legal a los usos de escaso riesgo resulta ser una frontera real. Segunda, el nivel de detalle del deber de publicidad, porque publicar el nombre de una empresa y una descripción significa muy poco o bastante según cuánto detalle se exija. Tercera, si los criterios de la multa llegan con suficiente concreción como para compensar lo poco que la comisión ha usado sus poderes actuales.

Para las empresas que desarrollan IA en Japón, y para las organizaciones de fuera que manejan datos de personas en Japón, el documento de agosto es donde arranca un plan de cumplimiento que llega hasta 2028.

Japón se ha convertido en uno de los poquísimos países que ha respondido por ley a qué significa que una máquina lea, tanto en el terreno del derecho de autor como en el de la privacidad. Si esa respuesta fue acertada no lo decidirá el texto, sino dos años de desarrollo reglamentario. ¿Cómo se resuelve en tu país: con consentimiento, con anonimización obligatoria o con una decisión caso por caso?

Referencias