Los datos de los niños no dejan de ser datos de niños cuando la IA comienza a utilizarlos.
Eso suena obvio. En la práctica, crea un problema mucho más complejo.
Una organización puede recopilar información personal de menores a través de un sitio web, una aplicación, un dispositivo conectado, un servicio educativo, un juego u otra experiencia digital. Dicha información puede posteriormente incorporarse a plataformas de análisis, lagos de datos, conjuntos de datos de entrenamiento de IA, sistemas de generación aumentada por recuperación, copilotos, modelos o flujos de trabajo basados en agentes.
En ese punto, dos conversaciones sobre regulación comienzan a confluir.
Las normas de privacidad infantil rigen la forma en que las organizaciones cubiertas recopilan, utilizan, divulgan, protegen, conservan y eliminan la información personal de los niños. Los requisitos de IA rigen cada vez más la forma en que las organizaciones desarrollan, implementan, supervisan y controlan los sistemas automatizados y de IA.
Las leyes no conforman un único marco regulatorio. Sin embargo, los datos subyacentes pueden quedar sujetos a varios requisitos simultáneamente.
Eso convierte los datos de los niños en un punto de conexión crítico entre la privacidad y Gobernanza de la IA.
COPPA + IA: Los datos conectan los requisitos
- La ley COPPA sigue aplicándose cuando la IA se incorpora al flujo de trabajo. El uso de la IA no elimina las obligaciones existentes en materia de información personal de los menores protegidos.
- La IA crea nuevos usos para los datos existentes. La información de los niños puede estar disponible para capacitación, recuperación, inferencia, personalización, sugerencias, decisiones automatizadas o acciones de agentes.
- El consentimiento requiere contexto de datos. Las organizaciones deben comprender si la información de los niños se incorpora a la IA y si ese uso se ajusta a los requisitos de consentimiento y finalidad aplicables.
- La retención de clientes se convierte en un problema de gobernanza de la IA. Los datos que se conservan para la experimentación con IA o el desarrollo de modelos aún requieren una razón justificable para su permanencia.
- El acceso a la IA amplía la cuestión de la exposición. Los modelos, las aplicaciones, las cuentas de servicio, los copilotos y los agentes pueden crear vías adicionales para acceder a la información de los niños.
- Un inventario de datos debe servir de base para múltiples controles. Los equipos de privacidad, seguridad, asuntos legales, datos y gobernanza de la IA necesitan comprender de forma compartida los datos de los niños que sustentan sus decisiones.
¿Cómo se relacionan la COPPA y las regulaciones sobre IA?
La ley COPPA y las regulaciones sobre IA se cruzan cuando los sistemas de IA recopilan, acceden, procesan, infieren, retienen, comparten o actúan en función de la información personal de los niños.
En Ley de Protección de la Privacidad Infantil en Línea y la Regla COPPA establecen protecciones en torno a la información personal recopilada en línea de niños menores de 13 años por operadores cubiertos. La revisión de la Comisión Federal de Comercio Regla COPPA Refuerza los requisitos en áreas como el consentimiento de los padres, la divulgación a terceros, la retención y eliminación de datos, la seguridad y ciertas categorías de información personal.
Las regulaciones y los requisitos de gobernanza de la IA abordan un conjunto diferente de riesgos. Según la jurisdicción y el caso de uso, pueden centrarse en la toma de decisiones automatizadas, la transparencia, la gobernanza de datos, la gestión de riesgos, la seguridad, la rendición de cuentas, la supervisión humana o la protección de menores.
Por lo tanto, una organización puede enfrentarse a una cuestión de privacidad infantil y a una cuestión de gobernanza de la IA en relación con el mismo conjunto de datos.
Por ejemplo:
- ¿Deberían haberse recopilado los datos de estos niños?
- ¿Obtuvo la organización el consentimiento requerido?
- ¿Por qué la organización aún lo conserva?
- ¿Puede un modelo de IA utilizarlo para este propósito?
- ¿Qué aplicaciones de IA pueden acceder a ella?
- ¿Un flujo de trabajo de IA lo divulga a un tercero?
- ¿Puede un sistema de IA inferir información adicional sobre el niño?
- ¿Puede un agente actuar basándose en información relacionada con el niño?
- ¿Puede la organización rastrear y eliminar la información cuando sea necesario?
Estas cuestiones abarcan la privacidad, la seguridad, la gobernanza, el ciclo de vida, la identidad y la inteligencia artificial.
Los programas regulatorios pueden permanecer separados. Los datos no.
¿Qué cambió con la ley COPPA?
La FTC finalizó las enmiendas a la Norma de protección de la privacidad infantil en internet que refuerzan la protección de la información personal de los niños, incluidos los cambios relacionados con el consentimiento de los padres, la seguridad de la información, la retención y la eliminación, y la definición de información personal.
Entre otros cambios, la norma revisada exige el consentimiento verificable de los padres para ciertas divulgaciones de información personal de menores a terceros, incluso para publicidad dirigida. Asimismo, limita la conservación de los datos al período razonablemente necesario para el propósito específico para el que se recopiló la información y exige una política escrita de retención de datos. La definición revisada de información personal también incluye identificadores biométricos que permiten el reconocimiento automatizado o semiautomatizado.
Estos cambios son importantes para la IA porque los programas de IA pueden generar presión para retener más datos, combinar conjuntos de datos, desarrollar nuevos propósitos y hacer que la información sea accesible a sistemas adicionales.
Un conjunto de datos recopilado para una experiencia de producto puede resultar atractivo posteriormente como datos de entrenamiento. Las interacciones históricas pueden ser útiles para mejorar el modelo. Los datos de voz, imagen, comportamiento, ubicación o identificación pueden convertirse en entradas para nuevas funciones de IA.
El valor de la IA no elimina la necesidad de justificar la recopilación, el uso, la divulgación y la retención de la información de los niños.
Por qué la IA cambia el ciclo de vida de los datos de los niños
Los programas de privacidad tradicionales suelen seguir un ciclo de vida reconocible: recopilar datos, utilizarlos con fines comerciales, compartirlos cuando esté permitido, conservarlos mientras sea necesario y eliminarlos cuando finalice dicho propósito.
La IA puede dificultar el seguimiento de ese ciclo de vida.
Los datos pueden incorporarse a conjuntos de entrenamiento, almacenes de características, bases de datos vectoriales, registros de mensajes, entornos de desarrollo de modelos, índices RAG, repositorios de análisis o aplicaciones de IA. Los equipos pueden copiarlos y transformarlos. Los sistemas de IA pueden obtener nuevo contexto a partir de ellos. Los agentes pueden recuperarlos mediante los permisos existentes.
Eso plantea una importante cuestión de gobernanza:
¿Podrá la organización seguir haciendo un seguimiento de los datos de los niños una vez que la IA se convierta en otro consumidor de los mismos?
El ciclo de vida de los datos infantiles y la IA
La IA añade nuevos usos sin eliminar las obligaciones de privacidad existentes.
Recolectar
¿Qué información personal de los niños ingresa en la organización?
Clasificar
¿Qué información requiere controles de privacidad para los niños?
Usar
¿El uso previsto de la IA se ajusta al consentimiento, la finalidad y las políticas establecidas?
Acceso
¿Qué personas, aplicaciones, modelos y agentes pueden alcanzarlo?
Retener
¿Aún justifica su conservación el propósito documentado de dicha conservación?
Borrar
¿Puede la organización eliminar los datos que ya no pertenecen al flujo de trabajo?
El principio de control: Los datos de los niños necesitan ser gestionados a lo largo de todo su ciclo de vida, incluso cuando la IA se convierte en otro ámbito donde se utilizan esos datos.
El entrenamiento con IA no crea una excepción de retención ilimitada.
Una de las áreas de convergencia más importantes tiene que ver con la retención.
La norma COPPA revisada limita la retención de información personal de menores al período razonablemente necesario para cumplir con el propósito específico para el que la organización la recopiló. Los operadores sujetos a la normativa también deben mantener una política de retención por escrito que aborde la necesidad comercial y el cronograma de eliminación.
Esto es importante cuando las organizaciones acumulan datos históricos para análisis futuros, desarrollo de modelos, experimentación o entrenamiento de IA.
La posibilidad de que la información pueda resultar útil para la IA no constituye automáticamente una razón para conservarla indefinidamente.
Las organizaciones deben poder vincular los datos infantiles conservados con su finalidad aprobada, la política aplicable, la propiedad, los requisitos del ciclo de vida y el uso de la IA.
“Podríamos necesitarlo para la IA más adelante” no es una estrategia de ciclo de vida de los datos.
El consentimiento debe acompañar a los datos en la IA.
La IA también complica el consentimiento, ya que el uso previsto cuando se recopilaron los datos puede diferir del uso que proponga posteriormente un equipo de IA.
Según la COPPA, los operadores cubiertos generalmente necesitan el consentimiento verificable de los padres antes de recopilar, usar o divulgar información personal de los niños, a menos que se aplique alguna excepción. La norma revisada también exige un consentimiento por separado para ciertas divulgaciones a terceros.
Por lo tanto, una organización necesita más que pruebas de que el consentimiento se produjo en algún punto del recorrido del cliente.
Es necesario contar con el contexto suficiente para comprender qué abarca el consentimiento, a qué datos se aplica, cómo se utiliza esa información y si los flujos de trabajo de IA posteriores siguen siendo coherentes con los requisitos aplicables.
Esto cobra especial importancia cuando la información se incorpora al entrenamiento del modelo, al ajuste fino, a RAG, a los servicios de IA externos, a la personalización o a otros flujos de trabajo secundarios.
El enfoque de BigID para Consentimiento para la IA Conecta la inteligencia del consentimiento con el uso de datos de IA para que los equipos de privacidad puedan identificar dónde pueden divergir las opciones de consentimiento y el procesamiento de IA.
El consentimiento no puede regir el uso de datos de IA si la organización pierde el contexto del consentimiento cuando los datos entran en la IA.
La verificación de edad crea su propio problema de gobernanza de datos.
Las organizaciones pueden necesitar indicadores relacionados con la edad para aplicar medidas de protección a niños o menores. Sin embargo, determinar la edad puede requerir información personal.
En febrero de 2026, la FTC emitió una declaración de política de cumplimiento que aborda ciertas cuestiones. tecnologías de verificación de edad De conformidad con la COPPA, la declaración describe las condiciones relativas a la limitación de la finalidad, la eliminación inmediata, las salvaguardas de terceros, la notificación, la seguridad y las medidas razonables en torno a la exactitud de la información recopilada exclusivamente para determinar la edad.
Eso crea un principio de diseño importante:
No convierta la verificación de edad en otro depósito innecesario de datos sensibles.
Las organizaciones deben comprender qué información recopila un proceso de verificación de edad, por qué la recopila, adónde va, quién puede acceder a ella, cuánto tiempo permanece almacenada y si los sistemas de IA o análisis posteriores pueden reutilizarla.
La biometría conecta la privacidad de los niños y la IA de forma aún más directa.
La versión revisada Regla COPPA Amplía la definición de información personal para incluir identificadores biométricos que puedan respaldar el reconocimiento automatizado o semiautomatizado de un individuo.
Esto puede incluir tecnologías que involucren características como huellas dactilares, huellas de manos, patrones de retina, patrones de iris, datos genéticos, huellas de voz, forma de andar, plantillas faciales o huellas faciales cuando se utilizan para el reconocimiento según lo contemplado en la Regla.
La inteligencia artificial hace que la información biométrica sea cada vez más útil para la autenticación, la personalización, el reconocimiento, la seguridad, la prevención del fraude y las aplicaciones relacionadas con la edad.
Esa utilidad aumenta la importancia de saber dónde existe la información biométrica y si un sistema de IA puede acceder a ella.
Para las organizaciones que manejan información infantil, los datos biométricos no deberían desaparecer en una clasificación genérica de "conjunto de datos de IA".
La confidencialidad de la información subyacente debe transmitirse junto con los datos a la IA.
La IA puede ampliar quién o qué puede acceder a los datos de los niños.
Es posible que los datos de los niños ya cuenten con controles de acceso humano.
La IA añade vías de acceso no humanas.
Las aplicaciones, las API, las cuentas de servicio, las identidades de las máquinas, los copilotos, los sistemas RAG, los modelos y los agentes pueden formar parte de la cadena de acceso.
Un usuario puede tener acceso legítimo a un conjunto de datos, mientras que una aplicación de IA que opera a través de ese usuario hereda el mismo alcance. Un agente puede recibir autoridad delegada. Un sistema RAG puede indexar un repositorio que contiene información personal de menores. Una cuenta de servicio puede conectar una aplicación de IA con una base de datos.
El resultado es una cuestión de seguridad más amplia:
¿Quién o qué puede acceder a los datos de los niños, y dicho acceso se ajusta al propósito aprobado de la IA?
Gobernanza del acceso a la IA Ayuda a conectar las identidades de IA y las vías de acceso con datos empresariales confidenciales para que las organizaciones puedan identificar alcances excesivos o inapropiados.
Los datos de los niños pueden convertirse en datos de IA sin necesidad de moverse.
Las organizaciones no deben asumir que la información de los niños se convierte en un problema de gobernanza de la IA solo cuando alguien la copia en un conjunto de datos de entrenamiento.
Los sistemas, copilotos y agentes de RAG pueden incorporar la IA a los repositorios empresariales existentes.
Un documento puede permanecer en la misma plataforma de colaboración. Un registro de cliente puede permanecer en la misma base de datos. Una transcripción de soporte puede permanecer en la misma aplicación.
Lo que cambia es que ahora un sistema de IA puede recuperarla o actuar en consecuencia.
Por eso, la gobernanza de datos de IA requiere visibilidad tanto del movimiento como del alcance.
Los datos no tienen por qué integrarse en la IA para que esta genere un nuevo riesgo de datos.
¿Qué ocurre con las regulaciones sobre IA que protegen específicamente a los menores?
La COPPA no es el único marco normativo que las organizaciones deben tener en cuenta.
Los requisitos de IA y seguridad digital abordan cada vez más la protección de menores, la verificación de edad, la IA conversacional, la toma de decisiones automatizada, la transparencia y la seguridad. Los requisitos exactos dependen de la jurisdicción, el sistema, el grupo de edad y el caso de uso.
Por ejemplo, Colorado promulgó en 2026 una Ley de Seguridad de Chatbots que incluye requisitos relacionados con la estimación de edad, la divulgación de información sobre IA conversacional, la privacidad y las herramientas de gestión de cuentas para menores, así como medidas de protección para usuarios adolescentes. Sus disposiciones entraron en vigor el 1 de enero de 2027. Colorado también revisó su ley de toma de decisiones automatizada, que establece requisitos para los sistemas automatizados utilizados en decisiones trascendentales y entró en vigor en la misma fecha.
Fuera de Estados Unidos, las organizaciones también deberán tener en cuenta la protección de la privacidad de los niños en virtud de leyes como el RGPD, junto con los requisitos de IA aplicables.
La lección práctica es no reducir estas leyes a una sola lista de verificación.
Relacione las regulaciones con los datos, el sistema de IA, la persona, el propósito, la jurisdicción y la decisión que realmente rigen.
Comience con los datos de los niños.
Sepa lo que tiene antes de que la IA le dé otro uso.
Descubra cómo BigID ayuda a las organizaciones a conocer la información personal de los niños, comprender el acceso y el intercambio de datos, aplicar controles de retención y eliminación, y generar pruebas para el cumplimiento de la ley COPPA.
La convergencia se produce en la capa de datos.
Los equipos de privacidad pueden ser responsables del cumplimiento de la COPPA. Los equipos de seguridad pueden ser responsables de la exposición de datos. Los equipos de gobernanza de IA pueden ser responsables del riesgo de los modelos y agentes. Los equipos de identidad pueden gestionar el acceso. Los equipos de datos pueden ser responsables del linaje y la calidad. Los equipos de producto pueden ser responsables de la experiencia del cliente.
La información sobre los niños puede estar presente en todos esos programas.
Si cada equipo mantiene un inventario, una clasificación, un modelo de propiedad o una comprensión del uso de la IA por separado, la organización puede crear lagunas precisamente donde se cruzan las regulaciones.
Un enfoque más eficaz comienza con el intercambio de información basada en datos.
Donde convergen la COPPA y la gobernanza de la IA
Requisitos diferentes. Contexto de datos compartido.
Datos de los niños
¿Qué información posee la organización?
Consentimiento + Finalidad
¿Por qué la organización puede recopilar y utilizar esta información?
Identidad + Acceso
¿Qué humanos y sistemas de IA pueden lograrlo?
Uso de IA
¿Cómo recupera, procesa, infiere o actúa la IA sobre esa información?
Ciclo vital
¿Debería la organización conservar la información?
Evidencia
¿Pueden los equipos demostrar qué controles aplicaron?
¿Cómo deberían las organizaciones gestionar los datos de los niños en el contexto de la IA?
1. Descubrir información personal de los niños
Genere visibilidad en entornos estructurados y no estructurados, en lugar de limitar el inventario a la aplicación donde la organización recopiló originalmente la información.
2. Clasifícalo con suficiente especificidad.
Identifique los tipos de información infantil involucrada, incluidos los identificadores, los identificadores persistentes, la geolocalización, las imágenes, el audio, la información de la cuenta y los datos biométricos aplicables.
3. Conectar el consentimiento con el propósito.
Comprenda por qué la organización recopiló la información, qué consentimiento u otros requisitos se aplican y si el uso propuesto de la IA se mantiene dentro de esos límites.
4. Mapear el acceso humano y de IA
Identificar usuarios, grupos, aplicaciones, cuentas de servicio, terceros, identidades de máquinas, modelos, copilotos y agentes que puedan acceder a los datos de los niños.
5. Rastrear el uso de la IA
Determinar si la información de los niños se introduce en conjuntos de datos de entrenamiento, sistemas RAG, almacenes de vectores, indicaciones, resultados, flujos de trabajo de desarrollo de modelos, análisis o procesos de agentes.
6. Minimizar datos
Identificar la información infantil innecesaria, duplicada, obsoleta o que se conserva en exceso y determinar si la organización aún tiene una necesidad justificable de conservarla.
7. Aplicar retención y eliminación
Vincula las reglas de retención con los datos reales y crea flujos de trabajo para la eliminación segura cuando la información ya no cumpla con el propósito aprobado.
8. Evaluar el riesgo de la IA
Evaluar los sistemas de IA en el contexto de los datos sensibles que utilizan, las políticas aplicables, las personas afectadas, el acceso, el propósito y los resultados potenciales.
9. Monitorear el cambio
Los sistemas de IA, los conjuntos de datos, el acceso, los proveedores, los modelos y los propósitos cambian. La gobernanza debe detectar los cambios sustanciales en lugar de basarse únicamente en la aprobación original.
10. Preservar las pruebas
Mantener evidencia de descubrimiento, clasificación, contexto de consentimiento, gobernanza de acceso, retención, eliminación, evaluación de riesgos, remediación y otros controles requeridos por las obligaciones de la organización.
Cómo BigID ayuda a conectar el cumplimiento de la ley COPPA con la gobernanza de la IA
BigID aborda la protección de datos infantiles desde la perspectiva del usuario.
BigID ayuda a las organizaciones a descubrir información personal de niños en la nube, SaaS, bases de datos, aplicaciones, archivos, plataformas de análisis y repositorios no estructurados; clasificar información confidencial; comprender el acceso y el intercambio con terceros; identificar datos innecesarios o retenidos en exceso; aplicar políticas de retención y eliminación; y generar evidencia que respalde el cumplimiento de la COPPA.
BigID también puede conectar los datos empresariales con los sistemas de IA, las identidades, los permisos, el linaje, la actividad, las políticas y los riesgos, de modo que las organizaciones puedan comprender dónde se cruza la información confidencial con la IA.
Eso crea un modelo de control conectado:
Datos de menores → Consentimiento → Finalidad → Identidad → Acceso → Uso de IA → Retención → Acción → Evidencia
El valor no reside en combinar diferentes regulaciones en una sola norma.
El valor reside en proporcionar a las diferentes decisiones regulatorias y de gobernanza una comprensión compartida de los datos que las sustentan.
Conectar los datos y la IA
Proteja los datos de los niños allá donde la IA los lleve.
Descubra cómo BigID conecta la información personal de los niños con el consentimiento, el acceso, el ciclo de vida, el uso de la IA, las políticas, los riesgos y las medidas correctivas para ayudar a los equipos de privacidad, seguridad y gobernanza de la IA a convertir los requisitos en controles medibles.
Preguntas frecuentes sobre la COPPA y la IA
¿Se aplica la ley COPPA a la inteligencia artificial?
La COPPA se aplica cuando un operador sujeto a la normativa recopila, utiliza o divulga información personal en línea de menores de 13 años. El uso de inteligencia artificial en este entorno no exime de las obligaciones de la COPPA. Las organizaciones deben evaluar los datos, el servicio, el uso y las circunstancias específicas para determinar los requisitos aplicables.
¿Se pueden utilizar los datos de los niños para entrenar la IA?
Las organizaciones no deben asumir que poseer información personal de menores autoriza automáticamente su uso para el entrenamiento de IA. Las organizaciones afectadas deben evaluar el propósito original, el consentimiento parental aplicable, la divulgación, la retención, la seguridad y otros requisitos legales antes de utilizar la información de menores en un flujo de trabajo de IA.
¿Cómo afecta la revisión de la norma COPPA a la retención de datos de IA?
La versión revisada de la norma COPPA limita la retención de información personal de menores al período razonablemente necesario para cumplir con el propósito específico para el que se recopiló dicha información y exige a los operadores cubiertos que mantengan una política de retención por escrito. El posible valor futuro de la IA no elimina por sí solo estos requisitos.
¿La ley COPPA cubre la información biométrica de los niños?
La versión revisada de la norma COPPA amplía la definición de información personal para incluir identificadores biométricos que permitan el reconocimiento automatizado o semiautomatizado de una persona. Las organizaciones que utilicen información biométrica en sistemas de IA o relacionados con la edad deben determinar si la norma COPPA y demás requisitos aplicables les son de utilidad.
¿Cómo afecta la verificación de edad a la privacidad de los niños?
Los procesos de verificación y confirmación de edad pueden recopilar información personal para determinar la edad del usuario. Las organizaciones deben limitar el uso de dicha información al fin necesario, protegerla, restringir su reutilización, controlar su divulgación a terceros y eliminarla cuando ya no sea necesaria, de acuerdo con la normativa aplicable.
¿Cómo generan los agentes de IA riesgos adicionales para los datos de los niños?
Los agentes de IA pueden combinar el acceso a datos con herramientas y autoridad para actuar. Un agente puede recuperar información de menores mediante permisos existentes, enviarla a otro sistema, modificar registros o activar flujos de trabajo posteriores. Las organizaciones deben comprender las identidades, los permisos, los datos, las herramientas, los destinos y las políticas involucradas.
¿Son la COPPA y las regulaciones sobre IA lo mismo?
No. La COPPA establece requisitos específicos de privacidad en línea para menores en EE. UU. para los operadores cubiertos. Las leyes y regulaciones sobre IA abordan diferentes riesgos y varían según la jurisdicción y el caso de uso. Pueden superponerse cuando un sistema de IA procesa o actúa sobre información personal de menores.
¿Qué controles ayudan a las organizaciones a gestionar los datos infantiles utilizados por la IA?
Las organizaciones pueden descubrir y clasificar la información personal de los niños, vincular el consentimiento con la finalidad, mapear el acceso humano y de la IA, rastrear el uso de la IA, minimizar los datos innecesarios, hacer cumplir la retención y la eliminación, evaluar el riesgo de la IA, monitorear los cambios, remediar la exposición y mantener evidencia de los controles.
¿Cómo ayuda BigID con la ley COPPA y la gobernanza de la IA?
BigID ayuda a las organizaciones a descubrir y clasificar la información personal de los niños, comprender el acceso y el intercambio de datos, identificar datos innecesarios o que se conservan en exceso, respaldar la retención y la eliminación, y generar evidencia de cumplimiento. BigID también conecta los datos empresariales con sistemas de IA, identidades, permisos, linaje, actividad, políticas y riesgos para respaldar la seguridad y la gobernanza de la IA.
Autor
