Privacidad y fotos con IA: adónde van tus selfis

Cuando subes selfis a un servicio de retratos con IA, tus imágenes viajan a un servidor y allí se usan para entrenar un modelo con los rasgos de tu cara. No es una metáfora ni una simplificación comercial: es literalmente lo que ocurre, y por eso la pregunta «¿dónde acaban mis fotos?» tiene respuesta técnica, no tranquilizadora.

Este artículo responde a esa pregunta con precisión: qué necesita hacer el servicio con tus fotos, qué diferencia hay entre entrenar un modelo y aplicar un filtro, qué dice el RGPD sobre tu cara y qué seis preguntas conviene resolver antes de pulsar «subir». Donde no tenemos un dato verificado sobre nuestro propio servicio, lo decimos y te mandamos a la política de privacidad en lugar de rellenar el hueco.

Qué necesita hacer un servicio con tus fotos

Un generador de retratos que promete parecido tiene que aprender tu cara. No hay atajo: un modelo genérico sabe dibujar «una persona con gafas», pero no sabe dibujarte a ti. Para eso hace falta un proceso de ajuste sobre un conjunto de imágenes tuyas.

El recorrido, paso a paso:

1. Subida. Tus archivos salen de tu móvil y se guardan en un almacenamiento en la nube. Aquí importa en qué país está ese almacenamiento.
2. Preparación. Se recortan, se normalizan y a veces se descartan automáticamente las que no sirven —desenfocadas, con varias caras, demasiado oscuras—.
3. Entrenamiento. Un modelo base aprende tus rasgos a partir de esas imágenes. El resultado es un conjunto de pesos: un archivo que representa tu cara para ese modelo. Este paso se ejecuta en GPUs, que a menudo pertenecen a un proveedor distinto del que te vendió el servicio.
4. Generación. Con ese modelo entrenado se producen los retratos en los distintos estilos.
5. Entrega y conservación. Los resultados quedan disponibles en algún sitio durante algún tiempo. Cuánto, y qué pasa con las selfis originales y con los pesos del modelo, es la parte que casi nadie lee.

De los cinco pasos, los que generan riesgo real son el 1, el 3 y el 5: dónde se almacena, quién ejecuta el entrenamiento y qué se borra al final. Todo lo demás es procesamiento efímero.

Entrenar un modelo no es lo mismo que aplicar un filtro

La distinción parece técnica y es la más útil de todo el artículo, porque cambia el perfil de riesgo por completo.

El matiz que hay que llevarse: en un servicio que entrena por persona, borrar tus fotos no basta. Si el modelo entrenado sobrevive, sigue existiendo la capacidad de generar imágenes tuyas. Por eso la pregunta correcta no es «¿borráis mis selfis?» sino «¿borráis mis selfis y el modelo?».

Y la contrapartida honesta: un modelo dedicado a una sola persona, que se borra tras la entrega, es en general preferible a un sistema que agrega las fotos de todos los usuarios a un modelo compartido, porque en el segundo caso tu cara deja de ser separable.

Tu cara, según el RGPD

El artículo 9 del RGPD define una lista de categorías especiales de datos personales —salud, origen étnico, convicciones, orientación sexual— y en esa lista están los datos biométricos cuando se tratan con la finalidad de identificar de manera unívoca a una persona física. Una foto en sí misma no convierte a nadie en dato biométrico; el tratamiento técnico dirigido a caracterizar tus rasgos faciales, sí.

Las consecuencias prácticas son tres, y son las que te dan poder de negociación como cliente:

• Hace falta consentimiento explícito. No un consentimiento implícito por usar el producto, sino un acto afirmativo previo. Si un servicio te deja subir la cara sin pedírtelo de forma clara y separada, algo va mal en su diseño legal.
• Puedes retirarlo. Con efecto para el futuro, en cualquier momento y sin justificarte.
• Tienes derecho de acceso, supresión, limitación, portabilidad y oposición, y derecho a reclamar ante la autoridad de control. En España es la AEPD; si el responsable está establecido en otro Estado miembro, puedes presentar la reclamación igualmente ante la AEPD o ante la autoridad de ese país.

El responsable del tratamiento no siempre está en tu país, y eso no es en sí una señal de alarma: dentro del Espacio Económico Europeo se aplica el mismo reglamento. Lo que sí conviene comprobar es que el responsable esté identificado con nombre, dirección y número de registro, y no solo con un formulario de contacto.

Las seis preguntas que hay que hacer antes de subir nada

Esta es la parte para guardar. Todas tienen respuesta localizable en un documento público; si no la encuentras en dos minutos, ya sabes algo.

Dos avisos sobre cómo leer las respuestas. Primero: una condición de uso que te pide una licencia amplia sobre tus imágenes no es lo mismo que una política de privacidad; hay que mirar los dos documentos, porque el permiso comercial suele vivir en las condiciones. Segundo: desconfía de la palabra «anonimizado» aplicada a una cara. Una cara identificable no se anonimiza recortándola.

Qué dice la política de privacidad de Fotoklar

Lo que sigue está tomado de nuestra propia política de privacidad, que es el documento que manda. Si algo aquí y allí no coincidiera, vale lo que dice la política.

• Base jurídica. Las selfis se tratan como datos biométricos del artículo 9 del RGPD y la única base es tu consentimiento explícito, otorgado antes de subir nada. Puedes retirarlo en cualquier momento.
• Uso. Tus fotos se usan exclusivamente para crear tus imágenes. Sin entrenamiento de IA de terceros, sin cesión con fines publicitarios y sin uso para otros clientes.
• Conservación. Las selfis subidas y el modelo entrenado se borran automáticamente 7 días después de la entrega. Los resultados generados, 30 días después —descárgalos antes—. Los datos de facturación se conservan mientras lo exijan las obligaciones legales.
• Borrado inmediato. Hay un botón «Borrar todos mis datos ahora» en tu galería, que no depende de que nadie atienda un correo.
• Dónde. Base de datos y almacenamiento en la UE, región de Fráncfort. El entrenamiento y la generación se ejecutan en la infraestructura GPU de fal.ai, y ahí la política incluye una nota de transparencia: ese tratamiento puede realizarse en servidores fuera de la UE, incluido EE. UU., con cláusulas contractuales tipo como garantía. Las selfis se transfieren solo durante el tratamiento y no se almacenan allí de forma permanente.
• Responsable. Conscious Innovation Lab OÜ, Tallin, Estonia, con número de registro y NIF-IVA publicados en el aviso legal. La autoridad de control es la estonia, y también puedes reclamar ante la tuya.

Y la parte incómoda, que preferimos escribir a omitir: no vamos a afirmar aquí ninguna certificación ni sello de seguridad. Si en algún momento necesitas un documento formal para el departamento de compras o de cumplimiento de tu empresa, pregúntalo por escrito a hello@fotoklar.com antes de contratar, en lugar de deducirlo de un icono en una página de ventas —la nuestra o la de cualquiera—.

Cómo reducir tu propia exposición

Al margen del proveedor, hay decisiones que dependen solo de ti y que reducen el riesgo sin coste:

1. Sube selfis hechas para esto, no fotos sacadas de tu galería personal. Evitas arrastrar contextos —tu casa, tus hijos, tu coche con la matrícula— que no tienen nada que ver con un retrato.
2. Mira los metadatos. Muchas fotos llevan coordenadas GPS. Compartir tu cara es una decisión; compartir tu domicilio no debería ir de propina. En el móvil puedes desactivar la ubicación de la cámara antes de la sesión.
3. Descarga los resultados pronto y borra desde el producto cuando termines. Un plazo automático es una red de seguridad, no una razón para dejarlo ahí.
4. No subas caras de otras personas. El consentimiento que das es el tuyo. Una foto de grupo mete en el tratamiento a gente que no ha consentido.
5. Usa un correo que controles y guarda el enlace de la galería. Ese enlace suele ser la vía de borrado inmediato.

Si el motivo por el que estás leyendo esto es que dudas entre generar la foto o hacerla tú, el criterio está en cómo hacer una foto de CV con IA, y la cuestión de hasta dónde es honesto retocar, en ¿es aceptable una foto hecha con IA?.

Lo que este artículo no puede decirte

Una guía de privacidad honesta tiene que marcar sus propios límites. Tres:

• No podemos auditar a nadie más. Lo que hace otro proveedor con tus imágenes solo lo sabes leyendo sus documentos; cualquier afirmación nuestra sobre un competidor concreto sería una suposición.
• Las políticas cambian. La versión que leíste hace un año puede no ser la vigente. Fíjate en la fecha de versión al final del documento.
• Esto no es asesoramiento jurídico. Es una descripción de cómo funcionan estos sistemas y de qué exige el RGPD en términos generales. Para un caso concreto —un tratamiento en tu empresa, una reclamación— pregunta a quien corresponda.

Para seguir leyendo

• Foto de CV con IA — el proceso completo y qué selfis subir.
• ¿Es aceptable una foto hecha con IA? — dónde está la línea entre mejorar y engañar.
• Foto profesional de LinkedIn con IA — el uso más común de estos retratos.
• Prompts para foto de CV — útil si prefieres generarla tú con una herramienta general.