Formadores de IA y la privacidad tras los modelos

Un modelo puede responder en un segundo. Alguien, aun así, comparó los borradores, marcó un error o escribió el ejemplo que el producto parece haber sabido siempre. El 27 de octubre de 2026 ese trabajo se convirtió en un litigio europeo de privacidad. El litigio son alegaciones y una negativa. No es una sentencia.

La pregunta útil para quien compra es más estrecha que «quién tiene razón». Los textos públicos ya describen formas distintas de seguimiento. Tratarlas como un solo sistema de vigilancia lleva a la pregunta equivocada para el siguiente proveedor. Una reclamación abre un control. Un comunicado de empresa no es una auditoría.

Cinco reclamaciones, y todavía ninguna decisión

El 27 de octubre de 2026, noyb dijo que había presentado cinco reclamaciones contra Scale AI, con Intérêt à Agir, DiPLab y Reversing.Works, en Francia, Italia, Países Bajos y Austria. La página dice que Scale AI opera Outlier, que «emplea a más de 900.000 trabajadores "freelance"». Freelance va entre comillas, y el verbo es «emplea». Es la descripción de la organización. No es un recuento auditado de personas activas, de empleos a tiempo completo, ni de personas cuyo ingreso principal viene de la plataforma.¹

El mismo anuncio nombra clientes. La apertura cita a Meta, OpenAI, Google y el gobierno de Estados Unidos. Un párrafo posterior añade xAI y Anthropic a la lista de clientes «más conocidos». Este artículo informa la lista de noyb. No revisa contratos.¹

Reuters, en un despacho del 27 de octubre, informó de las mismas cinco reclamaciones y los mismos cuatro países, y escribió que noyb pedía a los reguladores multar a Scale AI y examinar cómo la plataforma asigna las tareas. Reuters escribió que más de 900.000 personas freelance realizan tareas registradas para crear datos de entrenamiento destinados a clientes como Meta, OpenAI y Google, y que Meta posee el 49 % de Scale AI. Esas frases son de Reuters, no una línea de la página de noyb leída para este artículo. reuters.com devolvió HTTP 401: el despacho se leyó en la reproducción de Yahoo.²

Cinco reclamaciones en cuatro países piden un reparto que la página de noyb, tal como se recuperó el 5 de noviembre de 2026, no detalla. Euronews, citando el comunicado de noyb, informó de dos reclamaciones en Austria y una en Francia, una en Países Bajos y una en Italia.³

La ficha C109-04 de noyb, consultada el mismo día, dice que el caso se presentó el 27 de octubre de 2026 y está «Pending (0 - 6 months)»: pendiente, horizonte de 0 a 6 meses. El resumen de esa ficha es singular: seguimiento, verificación biométrica por Persona y falta de respuesta a la solicitud de acceso «del reclamante». Una ficha pública no es una decisión publicada sobre los cinco expedientes.⁴

Thomas Le Bonniec, descrito en la página de noyb como investigador de sociología en DiPLab, aparece citado: el trabajo de plataforma parece terreno fértil para un nuevo tipo de vigilancia laboral, que se vería inaceptable en cualquier otra forma de empleo en la Unión Europea, y ese sistema solo prospera por una falta deliberada de transparencia. La traducción condensa la cita inglesa y conserva el sentido. Reuters citó otra observación, tras dos años de estudio de la plataforma: no se trabaja cuando se quiere; se trabaja cuando la plataforma quiere, y cuando hay tareas. El despacho original usa una contracción inglesa; este artículo la parafrasea. Las entrevistas detrás de esa frase no están impresas en el cable.¹²

Tres relatos del seguimiento, no un solo sistema

La palabra «seguimiento» hace demasiado trabajo en la cobertura. Los documentos leídos aquí describen mecanismos distintos. Conviene dejarlos separados.

noyb afirma que su análisis técnico halló que, mientras las personas están en Outlier, se colocan en sus dispositivos rastreadores de empresas como TikTok, LinkedIn, Facebook, la plataforma de encuestas Sprig y la empresa de análisis Datadog. Cada pocos segundos, dice noyb, esos rastreadores envían datos personales a terceros: direcciones IP, datos de contacto, identificadores únicos e información sobre la página visitada. noyb dice que esos datos pueden usarse para publicidad segmentada y elaboración de perfiles. Lisa Steinfeld Leiser, abogada de protección de datos en noyb, es citada: un seguimiento tan constante y amplio durante el trabajo va realmente contra toda expectativa razonable. La frase siguiente del comunicado pregunta por qué LinkedIn o Facebook habrían de saber en qué tareas trabaja una persona. El original usa una contracción; esta frase es una paráfrasis.¹

Reuters, citando reclamaciones que dice haber visto, añadió otra descripción: hasta 19 rastreadores siguen a los trabajadores mientras trabajan, incluido el registro de pulsaciones y movimientos del ratón cada pocos segundos. Reuters también escribió que una investigación de DiPLab concluyó que el archivo resultante podía reconstruirse en un vídeo que reproduce una sesión de trabajo de principio a fin. Esa afirmación sobre el vídeo es el relato de Reuters sobre DiPLab. No es una frase de la página de prensa de noyb, y no se volvió a comprobar dentro de un PDF.²

The Record, el 28 de octubre, citó por correo a Mickey Manakas, portavoz de noyb: un análisis identificó 18 rastreadores de terceros usados para seguir datos de personas freelance en Francia. Manakas dijo que «hay definitivamente más», que el número varía según el país y que el recuento no es exhaustivo porque noyb se centró sobre todo en rastreadores de redes sociales y de analítica. Dieciocho en ese correo, y «hasta 19» en las reclamaciones tal como las describió Reuters, no son el mismo censo. Este artículo no los fusiona. El titular de The Record dice que noyb «demanda», y una frase habla de tribunales. La página de noyb habla de reclamaciones de RGPD y sugiere una multa administrativa. Reuters habla de reguladores. Este artículo sigue a noyb y a Reuters en ese punto.⁵

Scale AI respondió el 28 de octubre. En una declaración que Reuters informó ese día, la empresa rechazó las reclamaciones por infundadas. Dijo que las prácticas de la plataforma se habían comunicado a los trabajadores y exigían su consentimiento. La frase enviada por correo fue: «The report's claims are unfounded and inaccurate», es decir, las afirmaciones del informe son infundadas e inexactas. Scale dijo que usa herramientas habituales para verificar identidades, prevenir el fraude, proteger información confidencial de proyecto y asegurar pagos exactos, y que quienes contribuyen conocen su remuneración antes de aceptar una tarea. Un portavoz dijo que ciertos proyectos usan una herramienta distinta que registra el tiempo empleado y la actividad en pantalla, que las personas activan manualmente tras un opt-in, antes de empezar. Scale dijo que no vende los datos personales de los trabajadores a terceros ni los usa para entrenar los modelos de IA de los clientes. El relato de The Record añade que Scale discute las alegaciones sobre cómo los rastreadores de terceros vigilan a los trabajadores, considera adecuadas las prácticas biométricas y permite solicitar la supresión de los datos.⁵⁶

Una página de publicación de DiPLab fechada el 15 de octubre de 2026 anuncia un informe, Surveillance at Scale: How AI Training Platforms Gather Personal Data from European Workers, con Reversing.Works e Intérêt à Agir. La página dice que Outlier recoge datos personales, registros financieros, información biométrica y escaneos de reconocimiento facial, usados para vigilancia «y probablemente para un entrenamiento posterior de la IA». También dice que el proyecto revela una extracción de datos personales con fines que van de un entrenamiento encubierto de la IA a posibles aplicaciones militares. Son palabras del anuncio. El PDF no se leyó para este artículo: no se tratan como hallazgos demostrados. Están junto a la declaración de Scale de que la información personal no se usa para entrenar los modelos de los clientes. Este artículo no elige entre una página y una negativa.⁶⁷

Para un departamento que ya usa software para puntuar o planificar a personas, la misma cautela vale a menor escala. Un registro del proveedor, una etiqueta de analítica y una grabación de pantalla con opt-in son herramientas distintas. Preguntar «¿vigilamos al personal?» es menos preciso que preguntar qué datos, con qué fin, quién los recibe y quién puede impugnar una puntuación. Esa es la pregunta de quién supervisa al manager algorítmico. El tiempo de revisión es otro problema, tratado en por qué la revisión humana se vuelve el cuello de botella cuando los agentes son rápidos.

Controles de identidad, acceso y una frase retirada

noyb dice que Scale AI obliga a las personas a repetir una verificación biométrica de una empresa llamada Persona, con grabaciones de vídeo del rostro y la carga de un documento de identidad. noyb dice que las razones declaradas por Scale AI son prevenir el fraude de identidad y «verificar las habilidades de los trabajadores», y que la recogida va más allá de lo necesario. noyb también dice que Persona se reserva el derecho de recoger direcciones IP, información del dispositivo, geolocalización, direcciones y datos de crédito al consumo. Es la descripción de noyb de las condiciones de Persona. Este artículo no leyó esas condiciones.¹

Un control de identidad no es impropio solo porque exista. Una plataforma que paga a personas tiene razones para resistir el fraude, la suplantación y las cuentas duplicadas. La pregunta abierta es si cada categoría es necesaria, si se informa de para qué sirve y si existe una base jurídica. Llamar a una práctica «seguridad» no responde a eso.

Reuters, citando las reclamaciones, escribió que cuatro trabajadores pidieron a Outlier copias de sus datos entre diciembre de 2025 y mayo de 2026 y que ninguno recibió respuesta. noyb dice que la falta de respuesta viola el derecho de acceso. Si ese relato se confirma, es una cuestión distinta de si un rastreador era lícito. Sigue siendo una alegación. The Record atribuye las mismas cuatro solicitudes a noyb.¹²⁵

Hay además una frase que no debe circular. El 29 de octubre de 2026 noyb actualizó el comunicado. Dijo que el texto había afirmado de forma incorrecta que en octubre de 2025 unos intrusos expusieron aproximadamente 70.000 fotos de documentos de identidad oficiales almacenadas en Persona. Esa afirmación está retirada. No se informa aquí como un hecho ocurrido. La corrección no cierra las reclamaciones sobre rastreadores, controles de identidad o solicitudes de acceso.¹

Qué pide el texto del RGPD, y qué no decide

Esta sección no es asesoramiento jurídico. EUR-Lex devolvió HTTP 202 y un cuerpo vacío el 5 de noviembre de 2026. El texto siguiente sigue el reglamento tal como se reprodujo ese día en gdpr-info.eu, no una descarga nueva de EUR-Lex.

El artículo 5, apartado 1, letra c, dice que los datos personales serán adecuados, pertinentes y limitados a lo necesario para los fines. Es el principio de minimización que noyb dice vulnerado. El artículo 6 dice que el tratamiento solo es lícito si se cumple al menos una condición, incluido el consentimiento, un contrato, una obligación legal, intereses vitales, una misión de interés público o intereses legítimos que no queden desplazados. El consentimiento es una base, no la única. noyb dice que no hay base jurídica válida para colocar rastreadores en los dispositivos de los reclamantes sin consentimiento. Scale dice que las prácticas se comunicaron y exigían consentimiento, y que la herramienta de pantalla es de opt-in y se inicia a mano. Si un consentimiento fue específico y libre corresponde a las autoridades, no a un intercambio de comunicados.⁸⁹

El artículo 9, apartado 1, prohíbe tratar datos biométricos con el fin de identificar de manera unívoca a una persona física, salvo excepción. El artículo 9, apartado 2, letra a, incluye el consentimiento explícito. La letra b cubre un tratamiento necesario para cumplir obligaciones o ejercer derechos en el Derecho laboral y de la seguridad social, cuando el Derecho de la Unión o de un Estado miembro, o un convenio colectivo, lo autorice y prevea garantías. Un vídeo del rostro no está automáticamente dentro del artículo 9, ni automáticamente fuera. El eje es el fin de identificación unívoca, y después la excepción. Este artículo no ha visto el diseño de la verificación.¹⁰

El artículo 15 da derecho a obtener confirmación de si se tratan datos personales y, en tal caso, acceso a los datos y a información prevista: fines, categorías, destinatarios y, cuando sea posible, el plazo de conservación, entre otros puntos. Una solicitud sin respuesta, si las reclamaciones tienen razón, importa aunque la recogida se declare después lícita.¹¹

Estos expedientes son reclamaciones de RGPD. No son una decisión del Reglamento de IA, y este artículo no clasifica Outlier como sistema de alto riesgo. Otra norma puede importar para el software del propio empleador. El anexo III, punto 4, letra b, del Reglamento europeo de IA enumera sistemas destinados a tomar decisiones que afecten a las condiciones de una relación laboral, a un ascenso o a una extinción, a asignar tareas según el comportamiento o rasgos personales, o a vigilar y evaluar el rendimiento y el comportamiento. El servicio de asistencia de la Comisión dice que las normas del anexo III se aplican a partir del 2 de diciembre de 2027. Las prácticas prohibidas, ciertos deberes de transparencia y las normas para los modelos de IA de uso general son exigibles desde el 2 de agosto de 2026. Una pregunta en un formulario de compra no es, por esa sola descripción, un sistema de ese tipo. La clasificación depende de la finalidad prevista.¹²¹³

noyb enlaza una infografía del Consejo de la UE para una afirmación de que más de 40 millones de personas ya tienen el trabajo organizado por plataformas. Esa página del Consejo devolvió HTTP 403 el 5 de noviembre de 2026, así que este artículo no adopta la cifra.

Quien compra puede preguntar antes de cualquier fallo

Imagine a una persona contratada para revisar una explicación médica producida por un modelo. Se detiene más tiempo en una frase incierta. Un reloj que solo cuenta minutos puede tratar ese cuidado como retraso. La escena es hipotética. No es una tarea documentada de Outlier ni un hallazgo de las cinco reclamaciones.

La respuesta práctica, para una pequeña empresa, una organización social o un departamento, es una lista de preguntas a cualquier proveedor que organice el trabajo o registre la actividad del personal. Ninguna sustituye a un jurista.

• ¿Qué categorías de datos personales se recogen, con qué fin, durante cuánto tiempo, y qué subencargados los reciben? Incluya etiquetas de analítica y empresas de verificación de identidad, no solo la pantalla que ve la persona.
• ¿Cuál es la base jurídica de cada categoría, y qué obtiene de verdad una persona cuando pide una copia?
• Si una herramienta graba una pantalla o una puntuación, ¿es de opt-in, y una persona con nombre puede revertir una marca que bloquea un pago o un acceso?
• ¿Los objetivos de velocidad hacen irracional una revisión cuidadosa? Si el trabajo exige juicio, la medida debe poder mostrar exactitud y escalado, no solo ritmo.

Esas preguntas no dan por bueno el relato de noyb ni el de Scale. Dan por supuesto que quien compra no sabrá cuál encaja hasta que alguien escriba el rastro de datos. Las organizaciones que ya viven con herramientas de turnos y de puntuación pueden empezar ahí, sin esperar una decisión sobre una plataforma estadounidense. Cubrir esa supervisión con personas es otro problema de contratación, tratado en en qué consiste de verdad el trabajo de supervisión de la IA.

¿Una autoridad ha declarado que Scale AI infringió el RGPD?

No. noyb presentó cinco reclamaciones el 27 de octubre de 2026. La ficha C109-04 seguía pendiente el 5 de noviembre de 2026. Una reclamación abre un control. Scale AI dijo a Reuters el 28 de octubre que las acusaciones son infundadas, que las prácticas se habían comunicado y que grabar la pantalla en ciertos proyectos es opt-in. Ni la presentación ni la negativa es una decisión.¹⁴⁶

¿«Más de 900.000» significa 900.000 empleos?

No. noyb dice que Outlier emplea a más de 900.000 trabajadores «freelance», con la palabra entre comillas. Reuters describe una plataforma en la que más de 900.000 personas freelance realizan tareas. Ninguna de las dos cifras es un recuento auditado de cuentas activas, de empleos a tiempo completo o de personas cuyo ingreso principal está ahí. Un registro, una tarea ocasional y un medio de vida son medidas distintas.¹²

¿Unos intrusos expusieron unas 70.000 fotos de identidad en Persona?

No hay que tratarlo como un hecho. El 29 de octubre de 2026 noyb dijo que su comunicado había afirmado de forma incorrecta que en octubre de 2025 unos intrusos expusieron aproximadamente 70.000 fotos de documentos de identidad oficiales almacenadas en Persona. La frase se retiró. La actualización no decide las alegaciones restantes sobre rastreadores, controles de identidad o solicitudes de acceso sin respuesta.¹

Cómo puede ayudar hilighter

hilighter no audita los rastreadores de un proveedor, no resuelve una reclamación de RGPD y no registra pulsaciones. La pregunta que este litigio deja a un empleador es qué tareas de un puesto siguen dependiendo de una persona, y cómo esa persona puede mostrar un juicio que un reloj no captura.

hilighter ayuda a los equipos a mapear competencias por puesto, a comparar a las personas con esos requisitos en Competencias y talento, a registrar una prueba de capacidad en Reconocimiento de logros y a definir planes de desarrollo. Su vista de impacto de la IA en los puestos es indicativa. No es una predicción de que un puesto desaparecerá, ni una lectura del riesgo de vigilancia de nadie. Un plan gratuito cubre hasta tres puestos, con un número ilimitado de personas.

Fuentes

1. noyb, AI training platform Outlier illegally surveils European platform workers, 27 de octubre de 2026, actualizado el 29 de octubre de 2026. Cinco reclamaciones con Intérêt à Agir, DiPLab y Reversing.Works, en Francia, Italia, Países Bajos y Austria. Más de 900.000 trabajadores «freelance». Clientes nombrados en la página. Rastreadores, entre ellos TikTok, LinkedIn, Facebook, Sprig y Datadog. Vídeo del rostro y documentos de identidad vía Persona. Solicitudes de acceso. Corrección del 29 de octubre que retira la afirmación de unas 70.000 fotos de documentos oficiales almacenadas en Persona. El título de la página afirma ilicitud: es el marco de quien reclama, no una decisión.
2. Reuters, Leo Marchandon, «Privacy group files complaints against Scale AI over alleged worker surveillance», 27 de octubre de 2026. Leído en la reproducción de Yahoo porque reuters.com devolvió HTTP 401: copia de Yahoo. Cinco reclamaciones; reguladores; más de 900.000 personas freelance; clientes como Meta, OpenAI y Google; Meta posee el 49 % de Scale AI. Reclamaciones vistas por Reuters: hasta 19 rastreadores, incluidas pulsaciones y ratón. Relato de DiPLab sobre la reconstrucción en vídeo, tal como lo informa Reuters. Cuatro trabajadores, de diciembre de 2025 a mayo de 2026, sin respuesta, «the complaints said».
3. Euronews, Why should Big Tech know what you are working on? Scale AI accused of spying on AI trainers, Jonathan Benton con AP, 27 de octubre de 2026. Dos reclamaciones en Austria y una en Francia, una en Países Bajos y una en Italia, atribuidas al comunicado de noyb. La URL del titular contiene una contracción inglesa; el texto del enlace está reformulado. El resto del contexto político del artículo no se usa.
4. noyb, expediente C109-04, presentado el 27 de octubre de 2026, estado «Pending (0 - 6 months)» al consultarlo el 5 de noviembre de 2026. Reclamante en singular en esa ficha.
5. The Record, Suzanne Smalley, European digital rights nonprofit noyb sues Scale AI for "invasive" worker surveillance, 28 de octubre de 2026. Manakas: 18 rastreadores de terceros para personas freelance en Francia, «definitivamente más», varía por país, no exhaustivo. Portavoz de Scale sobre rastreadores, biometría, actividad de pantalla y duración con opt-in, supresión, y ausencia de venta de datos o de uso para entrenar modelos de clientes. El «sues» del titular y una frase sobre tribunales no se siguen aquí. El «900,00» de la página se trata como una errata, no como una segunda estadística.
6. Reuters, «Scale AI rejects claims it illegally surveils AI-training workers», 28 de octubre de 2026. Leído en la reproducción de Yahoo: copia de Yahoo. Reclamaciones rechazadas por infundadas; prácticas comunicadas y consentimiento exigido; cita inglesa «The report's claims are unfounded and inaccurate». Herramientas de identidad, fraude, información confidencial de proyecto, pagos exactos, remuneración conocida antes de la tarea. Herramienta distinta en ciertos proyectos: tiempo y actividad de pantalla; opt-in y activación manual. Datos no vendidos a terceros y no usados para entrenar modelos de IA de clientes.
7. DiPLab, New DiPLab Report: Surveillance at Scale, página de publicación de Stella Lopez, 15 de octubre de 2026. Título y autores tal como figuran (Thomas Le Bonniec, Antonio A. Casilli, Mathilde Abel, Simone Robutti, Gaetano Priori, Donatella D., Paul S.), con Reversing.Works e Intérêt à Agir. El «probably» de un entrenamiento posterior, y la fórmula sobre entrenamiento encubierto y posibles aplicaciones militares, son el texto del anuncio. El PDF no se leyó.
8. Reglamento (UE) 2016/679, artículo 5, apartado 1, letra c, minimización. Texto leído en gdpr-info.eu, artículo 5 el 5 de noviembre de 2026, tras un HTTP 202 de cuerpo vacío de EUR-Lex. No es asesoramiento jurídico.
9. Reglamento (UE) 2016/679, artículo 6, apartado 1, licitud. Texto leído en gdpr-info.eu, artículo 6 el mismo día, con la misma limitación.
10. Reglamento (UE) 2016/679, artículo 9, apartados 1 y 2, letras a y b. Texto leído en gdpr-info.eu, artículo 9.
11. Reglamento (UE) 2016/679, artículo 15, apartado 1, derecho de acceso. Texto leído en gdpr-info.eu, artículo 15.
12. Comisión Europea, AI Act Service Desk, anexo III, punto 4, letra b. Leído el 5 de noviembre de 2026.
13. Comisión Europea, AI Act Service Desk, When does enforcement start?. Prácticas prohibidas, cierta transparencia y normas de los modelos de IA de uso general: exigibles desde el 2 de agosto de 2026. Normas del anexo III: a partir del 2 de diciembre de 2027.

Fuentes revisadas el 5 de noviembre de 2026. Las cinco reclamaciones son alegaciones. La declaración de Scale del 28 de octubre es una negativa, no una absolución. El correo de los 18 rastreadores y la línea «hasta 19» de Reuters no son un solo recuento. El PDF de DiPLab y las condiciones de Persona no se leyeron. La infografía del Consejo detrás de una cifra de trabajo de plataforma devolvió HTTP 403, así que la cifra no se adopta. EUR-Lex no devolvió el texto del RGPD ese día. Las fechas de la UE siguen el servicio de asistencia de la Comisión. Este artículo no es asesoramiento jurídico. Ni una puntuación de detector de IA ni la ausencia de penalizaciones de Google pueden garantizarse. La traducción requiere revisión nativa.