Respuesta rápida: La Comisión de Protección de Datos de Irlanda ha iniciado una investigación GDPR a gran escala sobre X (anteriormente Twitter) por la generación de imágenes sexualizadas no consensuadas de personas reales, incluidos niños, por parte del chatbot Grok AI. La investigación, anunciada el 17 de febrero de 2026, examinará si X cumplió con sus obligaciones en materia de procesamiento legal de datos, protección de datos desde el diseño y evaluaciones de impacto. Esto sigue a una investigación separada de la Ley de Servicios Digitales de la UE abierta en enero de 2026, una investigación de ICO en el Reino Unido, una redada criminal francesa en las oficinas de X en París y prohibiciones en Indonesia y Malasia. Las multas del RGPD pueden alcanzar hasta el 4 por ciento de la facturación global.
La autoridad de protección de datos de Irlanda ha abierto una investigación formal sobre X de Elon Musk por la generación de imágenes ultrafalsas sexualizadas por Grok, el chatbot de inteligencia artificial de la plataforma, lo que marca la acción de cumplimiento de privacidad más importante hasta el momento en un escándalo que ha desencadenado respuestas regulatorias en tres continentes.
La Comisión de Protección de Datos anunció el lunes que había lanzado lo que describió como una “investigación a gran escala” sobre X Internet Unlimited Company, la entidad que opera el negocio europeo de X desde su sede en Dublín. La investigación se refiere a la aparente creación y publicación en X de imágenes íntimas y sexualizadas no consentidas de personas reales, incluidos niños, generadas utilizando las herramientas de imágenes de Grok.
Únase al European Business Briefing
El correo electrónico diario sobre mercados, tecnología, energía y dinero en toda Europa. Únase a más de 10 000 fundadores, inversores y ejecutivos que leen EBM todas las mañanas.
Suscribir
El subcomisionado del DPC, Graham Doyle, dijo que la autoridad había estado interactuando con X desde que surgieron informes en los medios hace semanas sobre la capacidad de los usuarios para incitar a Grok a generar imágenes sexualizadas de individuos reales. Como Irlanda alberga la sede europea de X, la DPC actúa como la principal autoridad supervisora para hacer cumplir el RGPD en toda la UE y el Espacio Económico Europeo, lo que significa que la investigación tiene peso para cada estado miembro.
La escala del problema
La investigación sigue a una investigación del Centro para Contrarrestar el Odio Digital que estima que Grok generó aproximadamente tres millones de imágenes sexualizadas en menos de dos semanas después del lanzamiento de su función de edición de imágenes, incluidas miles que parecían representar a menores. Los usuarios descubrieron que a la herramienta se le podía pedir que desnudara digitalmente a personas reales o las colocara en escenarios explícitos, funcionalidad que Tyler Johnston, del organismo de control de la IA The Midas Project, describió como una “herramienta de nudificación a la espera de ser utilizada como arma”.
La reacción ha sido global. La Oficina del Comisionado de Información del Reino Unido abrió su propia investigación formal sobre X y xAI a principios de febrero, y el director ejecutivo de ICO, William Malcolm, advirtió que los informes planteaban preguntas profundamente preocupantes sobre cómo se habían utilizado datos personales para generar imágenes íntimas sin consentimiento. Los fiscales franceses allanaron las oficinas de X en París como parte de una investigación criminal que examinaba si Grok generó material de abuso sexual infantil y contenido de negación del Holocausto, y convocaron a Musk, a la directora ejecutiva de X, Linda Yaccarino, y a empleados adicionales para entrevistas. Indonesia y Malasia bloquearon temporalmente por completo el acceso a Grok.
Lo que examinará la investigación del DPC
La investigación irlandesa evaluará si X cumplió con sus obligaciones fundamentales en virtud del RGPD en varias áreas: los principios que rigen el procesamiento legal de datos, la base legal para el procesamiento de datos personales, la protección de datos desde el diseño y por defecto, y el requisito de llevar a cabo una evaluación de impacto de la protección de datos antes de implementar operaciones de procesamiento de alto riesgo.
Estas no son notas técnicas a pie de página. El RGPD exige que cualquier procesamiento de datos personales, incluido el uso de fotografías o datos biométricos para generar imágenes sintéticas, tenga una base legal. La regulación también exige que las organizaciones incorporen protecciones de privacidad en sus sistemas desde el principio, no que las implementen después de un escándalo. La sanción por infracciones graves puede alcanzar hasta el 4 por ciento de la facturación anual global o 20 millones de euros, lo que sea mayor.
La investigación de DPC agrega una segunda capa de exposición regulatoria de la UE para X. En enero, la Comisión Europea abrió una investigación separada bajo la Ley de Servicios Digitales (legislación diseñada para controlar la moderación de contenido en las principales plataformas) para examinar si X había cumplido con sus obligaciones legales en relación con los productos de Grok. X ya recibió una multa de 120 millones de euros en virtud de la DSA en diciembre de 2025 por infracciones relacionadas con la transparencia publicitaria y la verificación de usuarios.
La colisión regulatoria más amplia
La investigación llega en un momento de intensas fricciones entre Bruselas y Washington por la regulación de las empresas tecnológicas estadounidenses. La aplicación por parte de la UE de la Ley de Inteligencia Artificial, la Ley de Mercados Digitales y la Ley de Servicios Digitales ha generado amenazas de represalias por parte de la administración Trump, que ha advertido sobre aranceles y restricciones a las empresas europeas que operan en Estados Unidos.
El propio Musk respondió a la protesta inicial en enero publicando en X que cualquiera que usara Grok para crear contenido ilegal enfrentaría consecuencias. Posteriormente, X restringió la generación de imágenes de Grok a suscriptores de pago e introdujo salvaguardias adicionales. Sin embargo, los informes han indicado que seguía siendo posible generar contenido sexualizado a través de las aplicaciones web y móviles de Grok incluso después de que se anunciaran esas restricciones.
Para la DPC, el caso representa una prueba de si la ley de privacidad europea puede seguir el ritmo de las herramientas de inteligencia artificial generativa que pueden producir contenido dañino a escala industrial. Tres millones de imágenes en dos semanas no es un fracaso de moderación. Es una falla de diseño, y eso es precisamente para lo que se redactaron las disposiciones de protección de datos por diseño del RGPD.