El papel del Chief Data Officer (CDO) ha dejado de ser un título aspiracional para convertirse en una figura esencial dentro de cualquier organización pública o privada que aspire a gestionar sus datos con seguridad, ética y valor.
En El Taller de Datos, nos toca vivir ese cambio desde dentro: entre normativas, algoritmos y ciudadanos digitales que exigen transparencia.
1. La nueva anatomía regulatoria de los datos
La protección de datos ya no se entiende sin un contexto europeo.
El Reglamento General de Protección de Datos (RGPD) es la columna vertebral sobre la que se asientan todas las políticas de privacidad. En España, la Ley Orgánica 3/2018 (LOPDGDD) amplía este marco e introduce los derechos digitales, un avance que reconoce la realidad de la vida conectada: el derecho a la desconexión, al testamento digital o a una educación en competencias digitales.
A este ecosistema se suman normas clave para la administración pública:
- El Esquema Nacional de Seguridad (ENS), actualizado en 2022, que obliga a garantizar la confidencialidad, integridad y disponibilidad de la información pública.
- La Directiva NIS2, que refuerza las exigencias de ciberseguridad en servicios esenciales.
- Y el Reglamento Europeo de Inteligencia Artificial (AI Act), en vigor desde agosto de 2024, que abre una nueva era de gobernanza para los algoritmos y modelos de machine learning.
2. Los guardianes del cumplimiento
La complejidad normativa ha traído también nuevos actores institucionales.
En España, la Agencia Española de Protección de Datos (AEPD) sigue siendo la autoridad de referencia.
A su lado surge la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, que actuará como supervisora nacional del cumplimiento del AI Act.
En el plano técnico, el Centro Criptológico Nacional (CCN) y el INCIBE dan soporte a las administraciones en materia de seguridad, respuesta ante incidentes y formación.
A nivel europeo, el Comité Europeo de Protección de Datos (EDPB) y la ENISA marcan las directrices comunes.
3. Breve historia de nuestros derechos digitales
Desde la Constitución de 1978, que consagró el derecho a la intimidad, hasta el AI Act de 2024, la protección de datos ha evolucionado a la velocidad de la tecnología:
- 1995 – La UE aprueba su primera Directiva sobre protección de datos.
- 1999 – España adopta su primera LOPD.
- 2016 – El RGPD introduce el principio de responsabilidad proactiva.
- 2018 – La LOPDGDD integra los derechos digitales.
- 2024 – El AI Act regula la inteligencia que procesa los datos.
Cada salto normativo ha ampliado el perímetro de la protección:
de la privacidad al dato, del dato al algoritmo, y del algoritmo al impacto ético y social.
4. IA, machine learning y responsabilidad
La inteligencia artificial ha llevado la gestión de datos a un terreno nuevo.
Hoy un modelo de machine learning no solo predice o clasifica: decide.
Por eso el cumplimiento normativo debe acompañarse de evaluaciones de impacto (DPIA), transparencia algorítmica y auditorías éticas que detecten sesgos o discriminaciones.
El AI Act introduce categorías de riesgo, registros obligatorios y requisitos de documentación.
En paralelo, la AEPD y el EDPB han dejado claro que toda IA que trate datos personales debe cumplir el RGPD, especialmente en materia de legitimación, minimización y derechos de los afectados.
5. El rol del CDO: del dato al valor
En este contexto, el CDO no es solo un gestor de bases de datos: es el arquitecto del gobierno del dato.
Debe garantizar que cada tratamiento esté justificado, cada sistema de IA sea explicable y cada brecha de seguridad se gestione con rigor.
Su trabajo une la estrategia digital con la ética pública.
El reto del CDO público se apoya en tres pilares:
- Cumplimiento: RGPD, LOPDGDD, ENS, NIS2, AI Act.
- Valor del dato: analítica, IA y reutilización.
- Confianza ciudadana: transparencia, rendición de cuentas y seguridad.
6. Hacia una cultura del dato responsable
Más allá de la norma, el futuro depende de la cultura organizativa.
La formación, la concienciación y la ética digital deben ser parte del ADN institucional.
La gobernanza del dato no es una obligación burocrática: es el camino para que la tecnología sirva a las personas.
El espejismo regulatorio: Europa y las Administraciones Públicas
Las Administraciones Públicas hablan de digitalización, pero siguen funcionando con mentalidad analógica.
Mientras redactan protocolos, reglamentos y estrategias, pierden el control efectivo de los datos que deberían custodiar y aprovechar.
Europa ha construido el marco normativo más avanzado del mundo —RGPD, LOPDGDD, ENS, AI Act—, pero paradójicamente es el continente más regulado y el menos soberano.
7. La burocracia digital: mucho papel, poco dato
Las AAPP están obligadas a cumplir la ley, pero no asumen sanciones económicas cuando la vulneran.
Si un ayuntamiento expone datos personales, no paga una multa: se abre un expediente interno.
Esa “impunidad presupuestaria” desincentiva el cumplimiento real.
Los DPO y CDO públicos trabajan con recursos escasos, sin apoyo político ni estrategia clara.
Las leyes se anuncian con solemnidad, pero no se aplican con rigor.
El cumplimiento es más cosmético que operativo.
8. La paradoja de la eliminación: cuando proteger es olvidar
El principio de limitación del plazo de conservación, pensado para evitar abusos, ha vaciado de valor la información pública.
Por miedo al incumplimiento, muchas administraciones eliminan registros en lugar de anonimizarlos.
Esa práctica destruye series históricas esenciales para entender la evolución del empleo, la pobreza o la educación.
Europa, obsesionada con evitar el daño, ha renunciado al conocimiento.
Protegemos tanto la privacidad que bloqueamos la evidencia que podría mejorar la vida de las personas.
9. Los datos que se van: regulados aquí, explotados fuera
Mientras Europa duda en reutilizar datos anónimos, las grandes plataformas de EE. UU. y China procesan información generada por ciudadanos europeos.
Resultado:
- Nosotros regulamos, ellos entrenan modelos.
- Nosotros limitamos el acceso, ellos monetizan la información.
- Nosotros borramos por precaución, ellos aprenden a escala global.
Los datos que aquí se desechan acaban entrenando modelos ajenos.
Europa se protege en el papel, pero cede poder en la práctica.
10. Datos económicos y sociales: el tabú del progreso
El marco actual trata como “datos personales” casi toda información socioeconómica.
Eso impide que las AAPP crucen datos de renta, energía o movilidad para diseñar políticas más efectivas.
En cambio, los datos de salud o genéticos circulan con más libertad dentro del sistema sanitario, bajo la bandera del interés público.
Podemos analizar el ADN para investigar enfermedades raras,
pero no podemos cruzar datos sociales para combatir la pobreza o el desempleo.
Europa protege el genoma, pero ignora la desigualdad que los datos podrían ayudar a corregir.
11. El espejismo de la ética europea
Europa ha hecho de la ética su bandera, pero la ética sin eficacia es solo retórica.
El AI Act es un avance, pero sin capacidad de cómputo propia, sin acceso a datos amplios y sin voluntad política, el cumplimiento será simbólico.
Las AAPP actúan como notarios digitales: certifican, supervisan, pero no generan valor.
Y mientras tanto, los sistemas siguen obsoletos, los datos aislados y la innovación bloqueada por miedo o desconocimiento.
12. Del cumplimiento al propósito: otro camino es posible
No se trata de abolir la protección de datos, sino de reequilibrar el modelo.
Europa necesita pasar de una ética del miedo a una ética de la responsabilidad inteligente.
Esto implica:
- Cumplir las normas con visión estratégica, no defensiva.
- Anonimizar, no destruir.
- Compartir con condiciones, no ocultar por defecto.
- Construir soberanía tecnológica, no depender de infraestructuras ajenas.
- Evaluar riesgos éticos y beneficios sociales con igual peso.
Los datos no son un riesgo: son un derecho colectivo.
Mal gobernados, nos exponen; bien gobernados, nos empoderan.
13. El papel del CDO público: de custodio a arquitecto
El Chief Data Officer público debe ser mucho más que un guardián del cumplimiento.
Debe liderar una nueva visión: la del dato como servicio público esencial.
- Capaz de auditar, pero también de innovar.
- De proteger, pero también de crear valor.
- De decir “no” cuando es necesario, y “sí, si se hace bien”.
El futuro de la Administración no se juega en una nueva ley, sino en la capacidad de gobernar los datos con confianza, transparencia y propósito.
14. Regular no es gobernar
Europa ha elegido proteger antes que innovar.
Ha blindado la privacidad, pero no ha convertido ese blindaje en soberanía ni competitividad.
Las Administraciones Públicas, llamadas a ser ejemplo, son hoy el eslabón más débil: ni cumplen plenamente ni innovan con valentía.
Regular no es gobernar.
Gobernar es usar la norma como marco, no como excusa.El día que las Administraciones entiendan que los datos no son un riesgo, sino un derecho colectivo, habremos dado el salto de la regulación a la inteligencia.
El taller de datos 
Deja un comentario