Neurotecnología e Inteligencia Artificial: Fronteras legales y de gobernanza

68 Neurotecnología e Inteligencia Artificial: Fronteras legales y de gobernanza 4. VACÍOS NORMATIVOS EN LA PROTECCIÓN DE NEURODATOS 4.1. Límites del RGPD y del RIA frente a los neurodatos La creciente capacidad de las neurotecnologías para captar, analizar e inter- pretar señales cerebrales plantea una tensión evidente con los marcos jurídicos actuales de protección de datos. A pesar de su especial sensibilidad, los neu- rodatos no están específicamente reconocidos ni categorizados en el RGPD ni en el RIA, lo que genera una zona gris jurídica especialmente preocupante en contextos no clínicos. El RGPD no contiene una categoría expresa para los neurodatos. En consecuen- cia, su calificación jurídica queda abierta a interpretaciones: podrían considerarse datos biométricos, datos de salud o incluso datos personales genéricos, dependiendo del contexto de uso. Sin embargo, como advierten Ienca y Andorno (2017), esta cla- sificación resulta insuficiente, ya que los neurodatos permiten inferencias de altísima sensibilidad sobre estados mentales, creencias íntimas, intenciones o recuerdos, sin necesidad de que el sujeto los exteriorice. Tal como indican la AEPD y el EDPS, la indefinición actual facilita que actores públicos o privados traten neurodatos bajo marcos jurídicos poco exigentes, lo cual debilita las garantías que deberían proteger el foro interno de la persona (AEPD–EDPS, 2024). Además, el RGPD se basa en el principio de consentimiento informado como principal herramienta de protección del titular de los datos. No obstante, en el caso de los neurodatos, este principio entra en crisis por dos motivos fundamentales: (a) la recolección de datos cerebrales puede producirse sin que el usuario sea plenamente consciente, especialmente en contextos pasivos o automatizados; y (b) la opacidad técnica de los sistemas de IA impide entender con claridad qué inferencias cognitivas se extraen, con qué propósito y mediante qué procedimientos, lo que limita la posi- bilidad de prestar un consentimiento válido y revocable. Por su parte, el RIA aborda de forma más explícita algunos riesgos relacionados con los efectos psicológicos de la IA. El artículo 5.1, en su apartado a), prohíbe los sistemas que utilicen técnicas subliminales o manipulación conductual para distor- sionar el comportamiento de una persona de manera que pueda causarle perjuicios considerables 4 . Sin embargo, esta prohibición se limita a supuestos extremos y no 4 Art. 5.1.a): “Quedan prohibidas las siguientes prácticas de IA: […] a) la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que se sirva de técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas con el objetivo o el efecto de alterar de manera sustancial el comportamiento de una persona o un colectivo de personas, mermando de manera apreciable su capacidad para tomar una decisión informada y haciendo que tomen una decisión que de otro modo no habrían