¿Quién es el propietario de sus datos de IA? Lo que los usuarios y las empresas africanas necesitan saber
Cada mensaje escrito en un chatbot de IA sale del dispositivo del usuario y llega a un servidor, generalmente en otro país. Para un contador de Lagos que pega números de clientes, o para una clínica de Nairobi que redacta cartas a pacientes, la cuestión de quién controla posteriormente ese texto es práctica. La respuesta depende de la herramienta utilizada, el plan en el que se utiliza y la legislación aplicable del país.
Propiedad es la palabra equivocada y control es la palabra correcta
La ley de protección de datos rara vez habla de “poseer” datos. Habla de derechos. Según la Ley de Protección de Datos de Nigeria (NDPA), firmada en junio de 2023, los individuos conservan derechos sobre sus datos personales, mientras que las empresas que los recopilan asumen obligaciones. Por tanto, la disputa práctica gira en torno a quién decide cómo se utilizan los datos, durante cuánto tiempo se conservan y si se pueden recuperar.
Los términos de servicio deciden gran parte de esta competencia. Un estudio de Stanford publicado a finales de 2025 revisó las políticas de privacidad de seis importantes desarrolladores estadounidenses y descubrió que todos utilizan conversaciones con los consumidores para entrenar sus modelos, y varios lo hacen de forma predeterminada, a menos que el usuario opte por no participar. Los investigadores también señalaron largos períodos de retención y poca transparencia sobre cómo se utilizan los datos de las conversaciones.
Las cuentas de consumidores y las cuentas comerciales reciben un tratamiento diferente
La división que más importa es entre planes personales y comerciales. Cuando Anthropic cambió su política de consumo en 2025, comenzó a capacitarse en chats a menos que los usuarios optaran por no participar, y extendió la retención a cinco años para aquellos que lo permitieran. Los clientes empresariales, educativos y API quedaron fuera del cambio, un patrón que también sigue OpenAI.
El pago no cambia esto en una cuenta personal. Una comparación de configuración de junio de 2026 señaló que ChatGPT, Gemini y Claude se entrenan en chats de consumidores de forma predeterminada, y un plan de consumo pago no lo desactiva. Los niveles Enterprise y API generalmente asumen el patrón inverso.
Esto es importante en los lugares de trabajo africanos, donde los empleados suelen utilizar cuentas personales gratuitas para tareas laborales porque las herramientas aprobadas por la empresa tardan en llegar. Un gerente de ventas que resuma un contrato en una cuenta de chatbot personal podría estar entregando el texto del contrato a un canal de capacitación sin que nadie en la empresa lo haya aprobado.
La desactivación también tiene límites. La configuración normalmente impide que futuras conversaciones entren en el entrenamiento, pero no necesariamente retira los datos que ya se utilizaron en una ejecución de entrenamiento completa. Eliminar un chat no es lo mismo que eliminar su influencia en un modelo.
Las fugas son un riesgo aparte del entrenamiento
La formación es un riesgo político. El fallo de seguridad está operativo. En febrero de 2026, una aplicación de chat de IA llamada Chat & Ask AI expuso más de 300 millones de mensajes de alrededor de 25 millones de usuarios, según informes de incidentes. Las aplicaciones de terceros que empaquetan plantillas populares y prometen comodidad a menudo tienen protecciones mucho más débiles que los proveedores detrás de ellas, y los usuarios rara vez verifican quién creó el contenedor.
Lo que ya dice la ley nigeriana
Una suposición común es que Nigeria no tiene reglas que abarquen la inteligencia artificial y los datos personales. Los abogados lo cuestionan. Los profesionales señalan que la NDPA ya exige una base legal para el procesamiento, notificación sobre la toma de decisiones automatizada y la elaboración de perfiles, y una evaluación de impacto antes del procesamiento de alto riesgo, todo lo cual se aplica cuando se introducen datos personales en sistemas de inteligencia artificial.
El regulador también está intentando dejar esto explícito. La Comisión de Protección de Datos de Nigeria (NDPC) dijo que revisará la ley para abordar la inteligencia artificial, la robótica y los big data. En marzo de 2026, afirmó que los resultados de las auditorías de cumplimiento de los controladores de datos clave servirían como punto de referencia para determinar si la IA se utiliza de manera responsable en el procesamiento de datos personales. El informe del mismo mes señalaba que la Comisión abrió una investigación sobre Temu sobre los datos personales de unos 12,7 millones de usuarios nigerianos.
Las empresas nigerianas no pueden tratar a un proveedor extranjero de IA como un escudo legal. La empresa que decide enviar los datos de sus clientes a una herramienta offshore generalmente sigue siendo responsable de esa decisión.
El problema transfronterizo
La mayoría de las herramientas de inteligencia artificial procesan datos fuera de África, lo que pone en juego reglas de transferencia. La sección 41 de la NDPA restringe la transferencia de datos personales al extranjero a menos que el destino ofrezca una protección adecuada o se aplique otra base legal. La Ley de Protección de Datos de Kenia y la POPIA de Sudáfrica establecen condiciones comparables, cada una de las cuales requiere salvaguardias en el país receptor o el consentimiento del individuo.
La aplicación tiene fuerza. En 2024, el NDPC multó a MultiChoice Nigeria con aproximadamente 766 millones de naira, en parte debido a transferencias transfronterizas ilegales. El mismo análisis señala que, según la directiva de implementación NDPC, la transferencia transfronteriza cuenta como procesamiento de alto riesgo, lo que hace obligatoria una evaluación de impacto antes de que comience.
La cobertura es desigual en todo el continente. POPIA solo se aplica al procesamiento en Sudáfrica y, a diferencia del GDPR europeo, no llega a operadores extranjeros en sus propios términos. Los comentarios académicos sostienen que se relaciona poco con las capacidades específicas de la IA. El proyecto de ley de soberanía digital y compensación justa de datos de Nigeria, aún pendiente en la Asamblea Nacional, abordaría la cuestión del pago cuando los datos locales entrenan modelos extranjeros, pero no es ley.
¿Qué significa esto en la práctica?
Para las personas, lo más sensato es verificar la configuración de privacidad de cualquier herramienta de inteligencia artificial antes de usarla para cualquier asunto personal y evitar ingresar números de identidad, detalles médicos o registros financieros en las cuentas de los consumidores.
Para las empresas, la lección es la adquisición. Los planes a nivel empresarial que excluyen la capacitación por defecto, un acuerdo escrito de procesamiento de datos, una evaluación de impacto documentada para cualquier herramienta que maneje datos de clientes y una regla interna clara sobre qué herramientas puede usar el personal cuestan mucho menos que una investigación regulatoria. Las empresas más pequeñas, que tienen menos probabilidades de tener un equipo de cumplimiento, son las que tienen más probabilidades de omitir estos pasos.
El control sobre los datos de IA en África actualmente se basa en tres capas que no siempre están alineadas: los términos del proveedor, el plan del usuario y una ley nacional que aún acompaña a la tecnología. Hasta que se establezca el nivel legal, los usuarios y las empresas asumen más responsabilidad de lo que sugiere el marketing en torno a estas herramientas.
