Dos exposiciones legales distintas recaen sobre cualquier equipo que entrena un modelo de IA, y provienen de dos direcciones diferentes. La primera es regulatoria: a partir del 2 de agosto de 2026, el artículo 10 de la Ley de IA de la UE exige a los proveedores de sistemas de IA de alto riesgo documentar sus conjuntos de datos de entrenamiento, validación y prueba, incluidos los procesos de recopilación de datos y el origen de los datos. La segunda es civil: un titular de derechos de autor puede alegar que su obra fue utilizada sin permiso, y la carga recae sobre la empresa de IA, que debe demostrar qué datos utilizó realmente y cómo los obtuvo.
Ambas exposiciones plantean una versión de la misma pregunta: qué contiene el conjunto de datos, de dónde proviene y cuándo se obtuvo. Esa pregunta es lo que significa "procedencia" en la práctica, y vale la pena ser precisos sobre lo que un registro con marca de tiempo puede y no puede demostrar.
Lo que realmente exige el artículo 10
El artículo 10 se aplica a los sistemas de IA de alto riesgo y establece las prácticas de gobernanza de datos que un proveedor debe tener implementadas. Las obligaciones abarcan las decisiones de diseño tomadas al recopilar los datos, el propio proceso de recopilación de datos y el origen de los datos, las etapas de preparación como la anotación, el etiquetado y la limpieza, una evaluación de si el conjunto de datos es pertinente y suficientemente representativo para su finalidad prevista, y un examen de posibles sesgos. Cuando un proveedor identifica lagunas que impiden el cumplimiento, eso también debe documentarse.
Nada de esto exige a una empresa demostrar que ha resuelto cada cuestión de derechos de autor en un conjunto de entrenamiento. El artículo 10 es un régimen de calidad y gobernanza de datos, no un régimen de autorización de derechos de autor. Pero responder bien a ello requiere el mismo registro subyacente que necesita una defensa en materia de derechos de autor: qué datos se incorporaron, de dónde procedían y cuándo.
La exposición civil independiente
Las reclamaciones por derechos de autor contra las prácticas de entrenamiento de IA son un ámbito de litigio activo y en curso en múltiples jurisdicciones, con casos presentados por editoriales, autores, titulares de derechos musicales y bancos de imágenes contra los principales desarrolladores de IA. Las teorías jurídicas difieren según la jurisdicción y el caso, y los tribunales aún están resolviendo cuestiones fundamentales como si el entrenamiento con material protegido por derechos de autor constituye un uso transformador y cómo interactúan las obligaciones de licencia con las excepciones de minería de datos. No vamos a predecir cómo se resolverá ningún caso específico, y un registro de datos de entrenamiento tampoco resuelve esa cuestión.
Lo que realmente determina una reclamación de este tipo, en la práctica, es la evidencia. Si un titular de derechos alega que su obra fue extraída sin permiso, la respuesta de la empresa de IA depende de poder demostrar, con un registro que no escribió después de los hechos, qué recopiló, de dónde y en qué condiciones. Una empresa que no puede reconstruir su propia cadena de suministro de datos está argumentando de memoria frente a un demandante con una queja específica.
Qué significa "procedencia" para un conjunto de datos, en la práctica
La cadena de custodia de un conjunto de datos de entrenamiento se divide en tres elementos que vale la pena rastrear por separado:
- Registro de adquisición. Cuándo se añadió una fuente al corpus, desde qué URL, API, licenciante o proveedor, y bajo qué versión de los términos de esa fuente en ese momento.
- Registro de licencias. Qué acuerdo, si existe alguno, cubre el uso, ya sea una licencia directa, una concesión mediante los términos de servicio de una plataforma, una licencia abierta, o la aplicación de una excepción de minería de textos y datos como el artículo 4 de la Directiva de la UE sobre derechos de autor en el mercado único digital, y si el titular de los derechos había reservado derechos frente a esa excepción de forma legible por máquina.
- Registro de integridad. Prueba de que el conjunto de datos al que una empresa hace referencia hoy es el mismo con el que realmente entrenó, y no una reconstrucción ensamblada posteriormente para los fines de una disputa.
De estos tres, el registro de integridad es aquel para el que la mayoría de los equipos no tiene una buena respuesta. Los registros de adquisición y de licencias suelen encontrarse dispersos en correos electrónicos, contratos con proveedores y wikis internas. Incluso cuando existen, a menudo no hay manera de demostrar que el conjunto de datos referenciado en esos documentos sea el mismo conjunto de archivos con el que el modelo se entrenó realmente, meses o años después.
Lo que una marca de tiempo cualificada demuestra, y lo que no
Sellar un hash criptográfico de un conjunto de datos en el momento de la adquisición, con una marca de tiempo cualificada, crea un registro defendible que demuestra que un conjunto específico de bytes existía y estaba en su posesión en un momento específico. Se trata de una afirmación limitada pero genuinamente útil. Significa que pueden demostrar ante un tribunal, meses o años después, exactamente cómo era el conjunto de datos cuando lo recopilaron, sin depender únicamente de su palabra o de un documento que podría haberse editado con posterioridad.
Es importante ser precisos sobre los límites de esta afirmación, porque exagerarla es peor que no hacerla. Un hash sellado demuestra existencia y posesión en un momento determinado. No demuestra que tuvieran permiso para usar el contenido, ni demuestra que el contenido se obtuviera legalmente en primer lugar. Las licencias y el permiso son cuestiones jurídicas independientes que una marca de tiempo no puede responder por sí sola. Lo que sí hace es eliminar toda una categoría de disputa, es decir, si siquiera pueden demostrar qué tenían y cuándo, de modo que el argumento real sobre los términos de licencia pueda desarrollarse sobre los hechos y no sobre a cuál de los relatos de los hechos esté dispuesto a creer un tribunal.
Para una empresa que se enfrenta a un regulador que pregunta sobre la gobernanza de datos del artículo 10, o a un titular de derechos que alega un uso no autorizado, la diferencia entre "aquí tiene un hash con marca de tiempo del conjunto de datos exacto, sellado en la fecha en que lo adquirimos, junto con nuestros registros de licencias" y "creemos que esto es aproximadamente lo que utilizamos" es la diferencia entre una posición defendible y una que no se puede verificar.
Dónde encaja esto en un flujo de trabajo práctico
Los equipos que desarrollan productos de IA y necesitan defender tanto la cuestión de la gobernanza del artículo 10 como la cuestión subyacente de derechos de autor se benefician de tratar la adquisición del conjunto de datos como un evento discreto y sellado, en lugar de una carpeta continua y modificable. Calculen el hash y sellen una instantánea del conjunto de datos en el momento de la adquisición, adjunten los términos de licencia vigentes en ese momento, y mantengan ese registro separado de cualquier limpieza o filtrado posterior que ocurra a continuación. Si más adelante surge una disputa, sobre una fuente específica, una fecha específica o una licencia específica, el registro ya existe en lugar de tener que reconstruirse bajo presión.
Nuestra página de procedencia de conjuntos de datos de IA explica cómo funciona esto para los equipos que necesitan un registro con marca de tiempo, admisible ante los tribunales, de qué contenía un conjunto de datos y cuándo se adquirió, junto con la documentación de licencias que responde a la cuestión independiente del permiso.
