IA y menores de 14 años: qué cambia en España en 2026

Primero de la ESO, clase de lengua. El profe pide a todo el grupo que abra una cuenta en un chatbot para la tarea de la semana. La mitad tiene 12 años y nadie ha preguntado a las familias. ¿Qué norma pesa más ahí: el AI Act o la de protección de datos?

La segunda, con diferencia. El AI Act (Reglamento UE 2024/1689) entró en vigor en agosto de 2024 con un calendario de aplicación escalonado, y desde el 2 de agosto de 2026 rigen sus obligaciones de transparencia del artículo 50. La LOPDGDD, de 2018, fija en 14 años la edad para consentir el tratamiento de los propios datos. Este post traduce las dos normas a lo que un centro puede hacer con sus alumnos menores de 14 años, y la regla corta es esta: si el alumno necesita crear una cuenta, hace falta el consentimiento de su familia antes de usarla en clase.

La confluencia que nadie explicó bien

Hay dos normas que se aplican al mismo tiempo sobre el mismo punto: el alumno menor que usa IA en clase.

El AI Act (Reglamento UE 2024/1689) dice, en su artículo 50.1, aplicable desde el 2 de agosto de 2026, que los proveedores garantizarán que los sistemas de IA destinados a interactuar con personas les informen de que están hablando con una IA. Es una obligación de quien fabrica el chatbot, no del centro que lo usa. Al centro le toca elegir herramientas que la cumplan.

La LOPDGDD (Ley Orgánica 3/2018), en su artículo 7, dice que el tratamiento de los datos de un menor «únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años». Por debajo de esa edad, el tratamiento basado en el consentimiento solo es lícito si consta el de quien tiene la patria potestad o tutela. Una cuenta de un chatbot con el nombre y el historial de uso de un alumno de 12 años entra en ese supuesto.

El riesgo para el centro está en la segunda norma. Si un docente pide a alumnos de primero de la ESO que se registren en un chatbot para una tarea de clase, y nadie ha pedido el consentimiento de las familias, el centro tiene un problema de protección de datos aunque la herramienta cumpla el AI Act.

Lo que el AI Act cambia en el aula respecto a antes

Usar IA en clase nunca fue una zona sin reglas: el RGPD y la LOPDGDD se aplican desde 2018, y las prácticas prohibidas y el artículo 4 del AI Act, desde febrero de 2025. Lo que añade el 2 de agosto de 2026 es la transparencia del artículo 50, y no todo lo que se ha contado sobre ella afecta al centro.

Lo que cambia para el centro y sus docentes:

• Si el centro genera con IA una imagen, un audio o un vídeo que se asemeja a personas, lugares o hechos reales y puede pasar por auténtico (una ultrasuplantación), tiene que decir que es artificial (art. 50.4).
• Si el centro elige un chatbot para el alumnado, conviene comprobar que avisa de que es una IA: esa obligación es del proveedor (art. 50.1), pero la elección es del centro.
• El AI Act no obliga a avisar cada vez que un docente prepara material con IA. El artículo 50.2 obliga a los proveedores a marcar el contenido sintético en un formato legible por máquina; para sistemas comercializados antes del 2 de agosto de 2026, el plazo acaba el 2 de diciembre de 2026 (art. 111.4, en la redacción del ómnibus).
• El artículo 4, tras el Reglamento (UE) 2026/1744, pide adoptar medidas para apoyar la alfabetización en IA del personal, sin exigir un nivel concreto.

Lo que NO cambia porque ya estaba:

• El límite de los 14 años para crear cuentas personales con datos identificativos. Eso lo fijó la LOPDGDD en 2018; el AI Act no lo modifica.
• La obligación del centro de tener base legal para cualquier tratamiento de datos de los alumnos. Un email en la plataforma de IA de un menor es un dato personal.

Lo que se ha aplazado, y conviene saberlo antes de agobiarse:

• Las obligaciones de los sistemas de IA de alto riesgo del Anexo III —y la educación está en esa lista— iban a aplicarse desde agosto de 2026. El Reglamento (UE) 2026/1744, el ómnibus digital publicado en el DOUE el 24 de julio de 2026, las movió al 2 de diciembre de 2027. Si tu centro usa una herramienta que puntúa o clasifica alumnos, tienes más margen del que te habrán contado.
• Lo que no se aplazó es la transparencia del artículo 50, salvo ese plazo del marcado del 50.2. Pero lo que más afecta a un centro con alumnos menores de 14 años es la protección de datos, y por eso este plan de choque va de eso y no del registro de alto riesgo. Lo que el AI Act pide al centro en conjunto está en AI Act agosto 2026: qué deben hacer los centros educativos.

Lo que sigue siendo zona gris:

• El uso de IA de propósito general (ChatGPT, Gemini, Claude) como herramienta de estudio por iniciativa propia del alumno fuera del horario escolar. El centro no puede gestionar lo que hace el alumno en casa, pero sí puede comunicarle a la familia cuáles son los riesgos y qué significa que su hijo menor de 14 tenga cuenta en esas plataformas.

Las cinco acciones del plan de choque

No es un plan de largo plazo. Es lo que conviene tener hecho en el primer trimestre del curso.

1. Aprobar la política de uso de IA en claustro

Si el centro no tiene nada escrito, necesita un documento mínimo antes de que los docentes empiecen a usar herramientas en el aula. No tiene que ser un reglamento de treinta páginas: una página con los criterios de uso docente, los criterios para el alumnado, el tratamiento de los menores de 14 y los criterios de selección de herramientas basta para que el centro tenga un marco. La plantilla de política de uso de IA para centros cubre exactamente esos apartados en una página.

2. Auditar qué herramientas de IA se están usando en el aula

El coordinador TIC necesita saber cuanto antes qué herramientas están usando los docentes en cada grupo. No para prohibirlas: para saber cuáles requieren cuenta personal del alumno y cuáles no. Las que no requieren cuenta personal (el docente usa la herramienta y proyecta el resultado) tienen un riesgo legal mucho menor que las que piden al alumno que cree su propio perfil.

3. Informar a las familias con la lista de herramientas y la base legal

El RGPD obliga a informar a las personas cuyos datos se tratan (arts. 13 y 14). Con alumnos menores de 14 años, lo sensato es que esa información llegue también a la familia. No hace falta un procedimiento complejo. Una carta de media página al inicio del curso con las herramientas de uso habitual en el aula, para qué se usan, qué datos tratan y si requieren cuenta personal del alumno es una forma sencilla de hacerlo. Eso reduce el riesgo de que una familia alegue que no sabía que su hijo de 12 años estaba creando cuentas en plataformas de IA en clase.

4. Verificar que ningún menor de 14 tiene cuenta personal en plataformas de IA sin consentimiento parental

Este es el punto más delicado. Si la práctica habitual en el centro es pedir a los alumnos de primero de la ESO que se registren en una plataforma de IA para hacer tareas, eso requiere el consentimiento de las familias antes de empezar. Una firma general en la matrícula difícilmente vale: el RGPD define el consentimiento como una manifestación de voluntad «libre, específica, informada e inequívoca» (art. 4.11). Si el centro no tiene esos consentimientos, la alternativa más sencilla es operar solo con herramientas que no requieran cuenta individual del alumno.

5. Revisar si alguna herramienta usa datos de alumnos para entrenar modelos

Si una plataforma de IA usa las consultas de los alumnos para mejorar su modelo, y el centro no lo ha desactivado ni lo ha regulado en el contrato con el proveedor, puede estar cediendo datos de menores para un fin que nadie ha autorizado. La verificación es sencilla: consultar la política de privacidad de cada herramienta y buscar específicamente qué dice sobre el uso de datos para entrenamiento. Si no está claro, preguntar al proveedor por escrito. Si no hay respuesta satisfactoria, no usarla con menores.

Qué pasa si no se hace nada

La autoridad de protección de datos puede iniciar un procedimiento de oficio o a raíz de una denuncia, y la AEPD publica sus resoluciones. Suele ser la AEPD; para el sector público de las comunidades que tienen la suya, la autoridad autonómica (art. 57 LOPDGDD). Lo que puede pasar depende del tipo de centro:

• Centro público. Forma parte de la administración educativa. La autoridad declara la infracción y ordena las medidas para corregirla, pero no impone multa (art. 77.2 LOPDGDD).
• Centro privado o concertado. Sí cabe multa. Si el tratamiento no tiene base legal o el consentimiento no cumple sus condiciones (arts. 6 y 7 del RGPD), el tope es de 20 millones de euros o el 4 % de la facturación (art. 83.5 RGPD).

Más allá de la multa, hay tres consecuencias que cuestan tiempo:

• Resolución con medidas de corrección: el centro tiene que aplicarlas en el plazo que marque la resolución. El coste en tiempo y gestión es real aunque no haya sanción económica.
• Queja de una familia ante el centro o ante la inspección educativa: si hay un caso concreto (un alumno de 11 años que creó cuenta en ChatGPT en clase sin que sus padres lo supieran), la gestión del conflicto consume energía que no estaba prevista.
• Riesgo reputacional en el entorno local: en centros concertados o privados, un episodio de este tipo con difusión en medios locales puede afectar a las matrículas del curso siguiente.

El plan de choque de arriba no elimina todos los riesgos. Elimina los riesgos más fáciles de eliminar con menos esfuerzo.

La diferencia entre "usar IA en clase" y "hacer que los alumnos usen IA en clase"

Esta distinción no es burocrática: es lo que cambia el régimen jurídico.

Cuando el docente usa una herramienta de IA para preparar material o generar variantes de preguntas sin meter datos de alumnos, lo que procesa la herramienta son datos suyos o del centro. El marco legal es diferente y el riesgo es mucho menor. Si le pasa exámenes o notas de alumnos para corregir, ya está tratando datos del alumnado y vuelve a necesitar base legal y una herramienta con contrato de encargo de tratamiento.

Cuando el docente pide a los alumnos que usen ellos directamente la herramienta — que hagan una cuenta, que hagan consultas, que guarden historial — el alumno se convierte en usuario de la plataforma y sus datos quedan en manos del proveedor. Ahí es donde entran la LOPDGDD, los consentimientos parentales y los contratos de tratamiento de datos con el proveedor.

La regla práctica más sencilla para este curso: si el alumno menor de 14 necesita crear una cuenta para usar la herramienta, esa herramienta requiere consentimiento parental antes de usarse en clase. Si el docente puede usar la herramienta y mostrar el resultado sin que el alumno tenga cuenta, el riesgo es radicalmente menor.

Para los centros que quieren ir más allá del cumplimiento mínimo

El cumplimiento normativo es el suelo, no el techo. Tener la política escrita ayuda poco si el claustro no sabe decidir qué herramienta usar y cuándo.

La formación externa con diploma y registro de sesiones —que un centro privado o concertado puede bonificar con su crédito de la Fundae (Ley 30/2015, art. 9.4)— es una forma sencilla de dejar constancia de que el centro ha formado a su personal. Te cuento cómo funciona en formación para centros educativos.

Para los directores que necesitan el marco normativo completo antes de la primera reunión del claustro, el contexto del AI Act y su impacto en los centros está en qué implica el AI Act para profesores. Y si el centro usa Moodle para evaluaciones online, el post sobre cómo configurar Safe Exam Browser en Moodle es el complemento técnico natural.

En resumen

Con alumnos menores de 14 años, la norma que más pesa en el aula es la LOPDGDD, no el AI Act. Si el alumno necesita crear una cuenta para usar la herramienta y el tratamiento se basa en el consentimiento, hace falta el de su familia antes de empezar. Esta semana, revisa qué herramientas piden cuenta personal en primero y segundo de la ESO.