La carrera por tus datos cerebrales: los cascos EEG de consumo alimentan IA sin tu consentimiento

Un artículo de investigación en la revista Science ha revelado que empresas de neurotecnología están recopilando decenas de millones de horas de datos cerebrales de consumidores y utilizándolos para entrenar sistemas de inteligencia artificial — sin informar explícitamente a los usuarios sobre esta finalidad. El informe, realizado durante un año, examina las políticas de privacidad de 57 empresas que recogen señales electroencefalográficas (EEG) y demuestra que la mayoría opera en un vacío regulatorio.

El caso de Adnan Jinnah

Adnan Jinnah, profesor de neurología en la Universidad de California, adquirió un headset Muse de la empresa canadiense Interaxon hace cinco años, cuando comenzó a tener dificultades para dormir. El dispositivo, que se ajusta a la frente y utiliza entre uno y seis electrodos para monitorizar la actividad eléctrica de la región frontal del cerebro, prometía ayudar a los usuarios a mejorar la concentración y el sueño mediante feedback en tiempo real. Jinnah usó el dispositivo todas las noches durante años, generando un volumen sustancial de datos. Lo que no sabía — y no se le informó — es que sus señales cerebrales pueden haber sido utilizadas para entrenar un sistema de inteligencia artificial que nunca conoció.

La Interaxon está construyendo un "modelo fundamental cerebral" (brain foundation model), concepto análogo a los grandes modelos de lenguaje como ChatGPT, pero entrenado en datos neurales en vez de texto. Cuando se alimentan con enorme cantidad de información, estos modelos reconocen patrones clave de la actividad cerebral, permitiendo inferir estados emocionales, niveles de atención e incluso características del sueño. Hasta el momento, la Interaxon ha entrenado su modelo con unas 50.000 horas de datos EEG de usuarios del headset Muse.

"Supongo que es muy parecido a cuando las empresas de tecnología consumen tus datos", comentó Jinnah tras ser informado. "Pero creo que los usuarios deberían ser consultados antes."

La escala del fenómeno

La Interaxon no es la excepción. Una investigación de un año de la revista Science examinó decenas de políticas de privacidad de empresas orientadas al consumidor y escuchó a expertos en neurotecnología, representantes de empresas y usuarios para entender cómo los datos cerebrales de los consumidores están siendo utilizados en todo el mundo. El resultado es un ecosistema global amplamente desregulado, en el que decenas de millones de horas de datos EEG ya han sido recopiladas por empresas de neurotecnología de consumo.

Nueve empresas de neurotecnología e inteligencia artificial reconocieron públicamente estar construyendo un modelo fundamental cerebral; otras pueden estar haciendo esto en silencio. Al revisar las políticas de privacidad de las 57 empresas, los autores detectaron que cuatro no poseen ninguna política, lo que puede constituir violación de leyes de privacidad de datos. Onze tenían políticas enfocadas solo en datos de visitantes del sitio web. Entre las 42 que poseían política amplia, cerca del 64% mencionaba explícitamente la recopilación de datos cerebrales. De las que lo mencionaban, aproximadamente el 69% permitían transferencias corporativas de datos en caso de que la empresa fuera adquirida, y el 88% permitían que los datos fueran compartidos con autoridades, como policía, gobierno o tribunales, mediante solicitud. Solo cerca del 14% prohibían explícitamente la venta de datos cerebrales; el resto no especificaba.

Inicialmente, ninguna de las empresas de consumo construyendo un modelo cerebral divulgaba explícitamente esta finalidad en sus políticas de privacidad, aunque los esfuerzos habían sido revelados en comunicados a la prensa. Tras la Science señalar el problema, la Interaxon actualizó su política de privacidad. "Concordamos que los usuarios deben ser informados explícitamente", afirmó Klement Kumentas, director de privacidad de la empresa. "Pero para Jinnah y potencialmente miles de otros usuarios como él, era tarde: el entrenamiento ya había ocurrido, sin su consentimiento explícito e informado. Cuando los datos de los usuarios se incorporan a un sistema de IA, se vuelven prácticamente imposibles de eliminar."

Limitaciones científicas y falsas promesas

Los cascos de consumo son versiones simplificadas de los equipos utilizados en entornos clínicos. Los cascos profesionales suelen recopilar datos con 19 a 25 electrodos distribuidos por el cráneo, mientras que los wearables de consumo poseen entre uno y seis, cubriendo solo una parte limitada de la región cerebral de interés. La calidad de los datos es a menudo insuficiente para aplicaciones médicas serias.

Un estudio publicado en 2018 examinó las evidencias científicas detrás de las afirmaciones de empresas de EEG de consumo de que proporcionar a los usuarios información en tiempo real sobre sus ondas cerebrales puede ayudarles a mejorar la concentración, el sueño y otros comportamientos. De las más de 3.000 publicaciones citadas por estas empresas, solo 11 utilizaron métodos de investigación estándar-oro, y 10 de ellas no encontraron beneficios reales en comparación con condiciones de control.

Aunque los datos sean limitados, los expertos advierten que esto no hace irrelevante el problema. "Cuando empiezas a recopilar datos cerebrales, estás cruzando hacia la frontera final", dijo Michael Jones, abogado especializado en privacidad. "Realmente no hay nada más allá de esto cuando se trata de nuestra privacidad."

El panorama regulatorio

La situación es particularmente preocupante porque el mercado de neurotecnología de consumo está creciendo a escala comercial. En 2026, se estima que más de 400 millones de unidades de EEG de consumo han sido enviadas globalmente. En Brasil, dispositivos similares se están popularizando rápidamente, sin que el marco legal brasileño — la Ley General de Protección de Datos (LGPD) — tenga especificaciones detalladas sobre el tratamiento de datos neurales, a diferencia de lo que ocurre en algunos estados americanos.

Chile fue el primer país en prohibir explícitamente la recopilación comercial de datos cerebrales sin consentimiento explícito. En agosto de 2023, el Tribunal Supremo chileno decidió a favor del senador Guido Girardi, ordenando que Emotiv eliminara todos los datos cerebrales recopilados de su dispositivo Insight de cinco canales y dirigiendo a los reguladores a revisar la venta y el uso del equipo en el país. El caso estableció precedente: el senador había descubierto que, al aceptar los términos de servicio, estaba concediendo a Emotiv una licencia mundial, irrevocable y perpetua sobre sus datos cerebrales.

En Estados Unidos, Colorado y California fueron los primeros en incluir datos neurales como información personal sensible en sus leyes de protección al consumidor, permitiendo que las personas soliciten acceso o eliminación de estos datos. Al menos otros seis estados americanos están avanzando en la misma dirección. A nivel federal, senadores americanos anunciaron planes para introducir el "Mind Act" — el primer intento serio del Congreso estadounidense de regular el tratamiento de datos cerebrales. En China, empresas ya están recopilando cientos de miles de horas de datos EEG de camiones y trabajadores de la construcción, en algunos casos sin anonimización, planteando preocupaciones adicionales sobre privacidad.

La UNESCO adoptó, en 2025, una Recomendación global sobre la Ética de la Neurotecnología, enfatizando salvaguardas en torno al consentimiento, privacidad, seguridad y autonomía. Pero la adopción práctica sigue siendo lenta y fragmentada. Hasta que los Congresos y parlamentos actúen, los datos cerebrales continuarán operando en una zona gris entre leyes de salud, protección al consumidor y privacidad de datos — un entorno que empresas como la Interaxon parecen aprovechar con eficiencia. Y mientras tanto, cada casco vendido representa más horas de datos cerebrales alimentando modelos de IA cuyas finalidades los usuarios raramente comprenden.

Fuentes: Science / AAAS, Neurorights Foundation, Neuroethics (Springer Nature)

✓ Fuentes independientes cruzadas y verificadas antes de la publicación