IA y menores de 14 años: lo que cambia en España en septiembre de 2026

El AI Act (Reglamento UE 2024/1689) entró en vigor en agosto de 2024 con un calendario de aplicación escalonado por fases. El 2 de agosto de 2026 fue el hito de aplicación general: desde esa fecha rigen, entre otras, las obligaciones de transparencia del artículo 50 — la más relevante para el aula es que cualquier sistema de IA que interactúe con personas debe identificarse como tal. El 1 de septiembre, la mayoría de los centros educativos de España abrieron el curso sin haber cambiado nada. No es que no hayan tenido tiempo: es que nadie tradujo la norma a lo que hay que hacer el lunes por la mañana.

Este post lo hace.

La confluencia que nadie explicó bien

Hay dos normas que se aplican al mismo tiempo sobre el mismo punto: el alumno menor que usa IA en clase.

El AI Act (Reglamento UE 2024/1689, aplicable desde el 2 de agosto de 2026) dice, en su artículo 50.1, que cualquier sistema de IA diseñado para interactuar con personas debe informar a esas personas de que están hablando con una IA. No hay excepción para menores. No hay excepción para el aula. Si un alumno hace una pregunta a un chatbot, ese sistema debe identificarse.

La LOPDGDD (Ley Orgánica 3/2018), en su artículo 7, fija en 14 años la edad mínima para que un menor preste su consentimiento al tratamiento de datos personales en servicios de la sociedad de la información sin autorización parental. Una cuenta de ChatGPT con el nombre, la edad y el historial de uso de un alumno de 12 años es exactamente ese supuesto. Sin consentimiento de los padres, ese tratamiento no tiene base legal.

El cruce es el problema: no basta con que los docentes sepan que existe ChatGPT. Si un alumno de tercero de la ESO abre su cuenta personal en un chatbot en clase, y el centro no tiene nada escrito sobre cómo gestionar eso, el centro está incumpliendo las dos normas a la vez.

Lo que el AI Act cambia en el aula respecto a antes

Antes del 2 de agosto de 2026, usar IA en clase era, en términos legales, una zona gris. Las recomendaciones del INTEF eran eso: recomendaciones, sin fuerza coercitiva. Desde esa fecha hay obligaciones concretas.

Lo que cambia para los docentes:

• Obligación de informar al alumnado cuando el material de clase ha sido generado total o parcialmente con IA (art. 50.2, contenidos que puedan inducir a error sobre su origen).
• Si el centro introduce un chatbot como herramienta de apoyo, ese chatbot debe identificarse como IA ante el usuario — incluyendo los menores.

Lo que NO cambia porque ya estaba:

• El límite de los 14 años para crear cuentas personales con datos identificativos. Eso lo fijó la LOPDGDD en 2018; el AI Act no lo modifica.
• La obligación del centro de tener base legal para cualquier tratamiento de datos de los alumnos. Un email en la plataforma de IA de un menor es un dato personal.

Lo que se ha aplazado, y conviene saberlo antes de agobiarse:

• Las obligaciones de los sistemas de IA de alto riesgo del Anexo III —y la educación está en esa lista— iban a aplicarse desde agosto de 2026. El Reglamento (UE) 2026/1744, el ómnibus digital publicado en el DOUE el 24 de julio de 2026, las movió al 2 de diciembre de 2027. Si tu centro usa una herramienta que puntúa o clasifica alumnos, tienes más margen del que te habrán contado.
• Lo que no se aplazó es la transparencia del artículo 50.1, que es justamente la que te toca cada día en clase. Por eso este plan de choque va de eso y no del registro de alto riesgo.

Lo que sigue siendo zona gris:

• El uso de IA de propósito general (ChatGPT, Gemini, Claude) como herramienta de estudio por iniciativa propia del alumno fuera del horario escolar. El centro no puede gestionar lo que hace el alumno en casa, pero sí puede comunicarle a la familia cuáles son los riesgos y qué significa que su hijo menor de 14 tenga cuenta en esas plataformas.

Las cinco acciones del plan de choque

No es un plan de largo plazo. Es lo que tiene que pasar antes de que el claustro se disuelva a finales de septiembre.

1. Aprobar la política de uso de IA en el claustro de apertura

Si el centro no tiene nada escrito, necesita un documento mínimo antes de que los docentes empiecen a usar herramientas en el aula. No tiene que ser un reglamento de treinta páginas: una página con los criterios de uso docente, los criterios para el alumnado, el tratamiento de los menores de 14 y los criterios de selección de herramientas es suficiente para acreditar que el centro tiene un marco. La plantilla de política de uso de IA para centros cubre exactamente esos apartados en una página.

2. Auditar qué herramientas de IA se están usando en el aula

El coordinador TIC necesita saber, antes de fin de septiembre, qué herramientas están usando los docentes en cada grupo. No para prohibirlas: para saber cuáles requieren cuenta personal del alumno y cuáles no. Las que no requieren cuenta personal (el docente usa la herramienta y proyecta el resultado) tienen un riesgo legal mucho menor que las que piden al alumno que cree su propio perfil.

3. Informar a las familias con la lista de herramientas y la base legal

El AI Act (art. 50.1) y la LOPDGDD (art. 7 combinado con el principio de transparencia del RGPD, art. 5) no exigen un procedimiento complejo. Una carta de media página al inicio del curso que liste las herramientas de uso habitual en el aula, para qué se usan y si requieren o no cuenta personal del alumno, es suficiente para acreditar cumplimiento del deber de información. Eso cierra el riesgo de que una familia alegue que no sabía que su hijo de 12 años estaba creando cuentas en plataformas de IA en clase.

4. Verificar que ningún menor de 14 tiene cuenta personal en plataformas de IA sin consentimiento parental

Este es el punto más delicado. Si la práctica habitual en el centro es pedir a los alumnos de primero de la ESO que se registren en una plataforma de IA para hacer tareas, eso requiere consentimiento parental explícito antes de que empiece el curso. No es suficiente con la firma general de la matrícula: tiene que ser un consentimiento específico para ese tratamiento concreto. Si el centro no tiene esos consentimientos, la alternativa más sencilla es operar solo con herramientas que no requieran cuenta individual del alumno.

5. Revisar si alguna herramienta usa datos de alumnos para entrenar modelos

Es el punto que menos centros comprueban y el que más riesgo legal tiene. Si una plataforma de IA usa las consultas de los alumnos para mejorar su modelo, y no hay un opt-out explícito firmado, el centro está transfiriendo datos de menores a un sistema de entrenamiento sin base legal. La verificación es sencilla: consultar la política de privacidad de cada herramienta y buscar específicamente qué dice sobre el uso de datos para entrenamiento. Si no está claro, preguntar al proveedor por escrito. Si no hay respuesta satisfactoria, no usarla con menores.

Qué pasa si no se hace nada

La AEPD puede iniciar un procedimiento de oficio o a raíz de una denuncia. En los procedimientos publicados por la AEPD relacionados con protección de datos en entornos educativos, la resolución habitual ha sido un apercibimiento con requerimiento de corrección, no una multa directa — especialmente cuando el responsable del tratamiento no tenía historial previo y el incumplimiento era de procedimiento, no de filtración masiva de datos. Pero eso no significa que el riesgo sea cero.

Tres consecuencias realistas:

• Carta de la AEPD requiriendo un plan de corrección: el centro tiene que redactar e implementar un plan en el plazo que marque la resolución, con seguimiento. El coste en tiempo y gestión es real aunque no haya sanción económica.
• Queja de una familia ante el centro o ante la inspección educativa: si hay un caso concreto (un alumno de 11 años que creó cuenta en ChatGPT en clase sin que sus padres lo supieran), la gestión del conflicto consume energía que no estaba prevista.
• Riesgo reputacional en el entorno local: en centros concertados o privados, un episodio de este tipo con difusión en medios locales puede afectar a las matrículas del curso siguiente.

El plan de choque de arriba no elimina todos los riesgos. Elimina los riesgos más fáciles de eliminar con menos esfuerzo.

La diferencia entre "usar IA en clase" y "hacer que los alumnos usen IA en clase"

Esta distinción no es burocrática: es lo que cambia el régimen jurídico.

Cuando el docente usa una herramienta de IA para preparar material, corregir exámenes o generar variantes de preguntas, los datos que procesa son suyos o del centro, no de los alumnos. El marco legal es diferente y el riesgo es mucho menor.

Cuando el docente pide a los alumnos que usen ellos directamente la herramienta — que hagan una cuenta, que hagan consultas, que guarden historial — el alumno se convierte en usuario de la plataforma y sus datos quedan en manos del proveedor. Ahí es donde entran la LOPDGDD, los consentimientos parentales y los contratos de tratamiento de datos con el proveedor.

La regla práctica más sencilla para este curso: si el alumno menor de 14 necesita crear una cuenta para usar la herramienta, esa herramienta requiere consentimiento parental antes de usarse en clase. Si el docente puede usar la herramienta y mostrar el resultado sin que el alumno tenga cuenta, el riesgo es radicalmente menor.

Para los centros que quieren ir más allá del cumplimiento mínimo

El cumplimiento normativo es el suelo, no el techo. Los centros que están gestionando bien la IA en el aula en 2026 no solo tienen la política escrita: tienen al claustro formado para poder tomar decisiones informadas sobre qué herramientas usar y cuándo.

La formación oficial con acreditación — incluyendo opciones bonificadas por la Fundae para el personal del centro — es la vía más sólida para que el centro pueda demostrar no solo que cumple, sino que lo hace con criterio pedagógico. El catálogo con las opciones disponibles para este curso está en academy.hacktheteacher.com/catalogo.

Para los directores que necesitan el marco normativo completo antes de la primera reunión del claustro, el contexto del AI Act y su impacto en los centros está en qué implica el AI Act para profesores. Y si el centro usa Moodle para evaluaciones online, el post sobre cómo configurar Safe Exam Browser en Moodle es el complemento técnico natural.

En resumen

Septiembre de 2026 es el primer mes en que el AI Act está en plena aplicación al mismo tiempo que los centros abren el curso. La confluencia con la LOPDGDD crea cinco obligaciones concretas que se pueden resolver en media jornada: política aprobada, auditoría de herramientas, información a familias, verificación de cuentas de menores y revisión del uso de datos para entrenamiento. Los riesgos de no hacerlo son reales pero gestionables si se actúa ahora. La distinción práctica más importante: si el alumno menor de 14 necesita crear una cuenta para usar la herramienta, requiere consentimiento parental antes del primer día de clase.