La inteligencia artificial puede ahorrarte mucho tiempo al preparar actividades, adaptar materiales o generar ideas novedosas para el aula. De hecho, las herramientas de IA son capaces de generar recursos y materiales muy personalizados, que responden exactamente a las necesidades educativas de tu alumnado. Sin embargo, el tratamiento de los datos del alumno es un tema que merece especial cuidado: el uso de la IA no debe convertir información del alumnado en materia prima de una herramienta externa. La protección de datos en centros educativos afecta a decisiones cotidianas de los docentes: qué información se recopila, quién puede consultarla, para qué se utiliza y con quién se comparte. Al inicio de curso conviene tener claros estos límites, especialmente antes de copiar un informe, una incidencia o una fotografía en un sistema de IA.
En este artículo, te explicamos cuáles son las reglas y normativas esenciales y las trasladamos a situaciones prácticas del trabajo docente. Si todavía no sabes dónde están los límites en la protección de datos en centros educativos del alumnado al utilizar la IA, esto es para ti.
- La protección de datos en educación no depende solo del tipo de información, sino también de la finalidad, la herramienta utilizada, las garantías disponibles y las instrucciones establecidas por el centro.
- El uso responsable de IA comienza antes de escribir el prompt: conviene valorar si la tarea requiere realmente información del alumnado o puede resolverse mediante ejemplos ficticios y contextos genéricos.
- La autorización institucional de una herramienta es relevante porque permite evaluar aspectos que el docente individual difícilmente puede comprobar, como la seguridad o el tratamiento posterior de la información.
¿Qué dice la ley de protección de datos en centros educativos?
La ley de protección de datos en centros educativos no se reduce a una única norma. El marco principal está formado por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). A ello se añaden criterios y guías de la Agencia Española de Protección de Datos (AEPD) y las instrucciones que correspondan a cada administración educativa o centro.
El tratamiento de datos personales debe responder a una finalidad legítima, utilizar solo la información necesaria y aplicar medidas de seguridad adecuadas. En educación, donde gran parte de los datos pertenecen a menores, el acceso del profesorado a cierta información para ejercer su función no permite reutilizarla para cualquier finalidad ni trasladarla a cualquier servicio digital.
Que un docente pueda consultar un dato para atender a un alumno no significa que pueda introducirlo libremente en una herramienta externa de inteligencia artificial.
Para ampliar esta base normativa, consulta la guía de protección de datos para centros educativos de la AEPD: https://www.aepd.es/es/documento/guia-centros-educativos.pdf
¿Quién es responsable de los datos del alumnado?
La responsabilidad depende del tipo de centro y del tratamiento concreto. En el ámbito público intervienen las administraciones educativas; en centros concertados o privados, el propio centro puede asumir esa función según el caso. El delegado de protección de datos asesora y supervisa el cumplimiento. Por ello, un docente no debería decidir por su cuenta que una herramienta nueva puede utilizarse con datos reales del alumnado: debe atender a las instrucciones internas y a las indicaciones del centro.
¿Qué datos personales requieren especial cuidado en un centro educativo?
Un dato personal es cualquier información que identifica o puede hacer identificable a una persona. En un centro educativo incluye, además del nombre, dirección, teléfono, correo, identificadores, fotografías, notas, observaciones e información familiar. Los datos de salud, informes psicopedagógicos, necesidades educativas o información sobre discapacidad exigen especial cautela. La protección de datos en centros educativos obliga a valorar también qué puede deducirse al combinar varias piezas de información.
Antes de usar IA con información del alumnado
Seis comprobaciones rápidas antes de compartir información, archivos o contexto con una herramienta de inteligencia artificial.
Protección de datos en centros educativos: ¿qué ocurre cuando utilizamos IA?
Introducir información en una herramienta de IA también puede implicar un tratamiento de datos personales. Por eso, el hecho de utilizar una tecnología novedosa no elimina las obligaciones del RGPD. La AEPD ha insistido en 2026 en principios como la minimización y, en sus recomendaciones dirigidas a usuarios de IA, aconseja no proporcionar datos personales ni información delicada o sensible.
Las autoridades españolas también han recordado que las plataformas educativas en la nube plantean riesgos específicos para los datos de menores. Una herramienta no debe elegirse solo porque resulte útil o gratuita.
¿Puede un profesor introducir datos de alumnos en ChatGPT u otras herramientas de IA?
No existe un “sí” o un “no” universal: depende de la herramienta, la finalidad, las garantías y las decisiones del responsable del tratamiento. Como regla de prudencia, un docente no debería copiar datos reales del alumnado en una IA de uso general por iniciativa propia. Antes debe comprobar si el servicio está autorizado por el centro y si realmente necesita esos datos. Para crear una rúbrica, simplificar un texto o proponer ejercicios normalmente no hace falta facilitar una identidad real.
Si la tarea puede resolverse con un caso ficticio o información anonimizada, no hay una razón pedagógica para incluir datos identificativos reales.
¿Qué necesita saber realmente la IA?
El objetivo es aportar contexto pedagógico sin llenar el prompt de información que no mejora la respuesta.
Datos del alumnado que nunca deberías introducir en una herramienta de IA
Para aplicar correctamente la protección de datos en centros educativos, conviene reconocer la información que debe mantenerse fuera de un prompt cuando no existe una herramienta institucional autorizada y una finalidad debidamente cubierta. Estos son los grupos que más cautela requieren.
1. Datos identificativos y de contacto
No copies nombres y apellidos, DNI o NIE, direcciones, teléfonos, correos personales, números de expediente, identificadores de plataformas ni combinaciones de datos que permitan saber de qué estudiante se habla. Sustituir el nombre por iniciales tampoco garantiza anonimato si el resto del contexto permite reconocer al alumno.
2. Datos de salud, necesidades educativas e información especialmente sensible
Evita trasladar diagnósticos, tratamientos, informes médicos o psicológicos y documentación sobre discapacidad. Del mismo modo, un informe de apoyo educativo puede contener información que revele aspectos íntimos del menor. Para pedir a una IA una adaptación didáctica suele bastar con describir la necesidad funcional sin identificar a la persona.
Por ejemplo, en vez de introducir el nombre del alumno, su diagnóstico y su grupo, puede formularse una petición como: “Adapta esta actividad para un estudiante de 13 años que necesita instrucciones más breves, apoyo visual y tiempo adicional”.
3. Calificaciones, informes, incidencias y circunstancias personales
Las notas vinculadas a un alumno, comentarios de evaluación, expedientes disciplinarios, partes de convivencia, informes de tutoría o información familiar no deben convertirse en prompts por comodidad. El riesgo no desaparece porque se pida “solo un resumen”: la protección de datos personales también se aplica en tareas aparentemente administrativas.
4. Fotografías, vídeos y documentos que permitan identificar al alumno
No subas fotografías de clase, vídeos, capturas de plataformas, trabajos con nombre visible, listados o documentos escaneados sin comprobar que su uso está autorizado. Una imagen también puede revelar ubicación, compañeros o contexto.
Antes de subir un archivo a una IA, revisa también lo que aparece de forma secundaria: nombres en una esquina, caras al fondo, comentarios del docente o datos incluidos en una captura de pantalla.
Un mismo objetivo, dos formas de pedirlo
Cambiar el enfoque del prompt puede mantener su utilidad sin trasladar información individual innecesaria.
“Te adjunto los resultados individuales de mi clase. Dime qué alumnos necesitan refuerzo y qué debería trabajar cada uno.”
Se comparte información individual aunque el objetivo sea detectar dificultades comunes.
“El 60 % del grupo falla proporcionalidad y el 36 % tiene dificultades con fracciones. Propón tres actividades de refuerzo.”
Los porcentajes conservan el contexto necesario sin identificar a estudiantes concretos.
Cómo utilizar la IA con datos del alumnado de forma más segura
La protección de datos en centros educativos no obliga a renunciar a la IA. Se trata de usarla con criterios de necesidad, minimización y seguridad, empezando por comprobar si la tarea puede resolverse sin información real.
- Reduce: incluye únicamente los datos imprescindibles para obtener el resultado.
- Generaliza: sustituye detalles concretos por características relevantes para la tarea.
- Revisa: comprueba que el conjunto del prompt no permita identificar indirectamente al estudiante.
- Verifica: utiliza las herramientas y cuentas aprobadas por el centro.
- Consulta: si hay dudas sobre el tratamiento de datos personales, acude al responsable correspondiente o al delegado de protección.
Semáforo para preparar un prompt
Una referencia visual para decidir cuánto contexto conviene trasladar antes de enviar una consulta.
VERDE
Contexto general que no permite identificar razonablemente a una persona.
ÁMBAR
Información que parece anónima, pero puede identificar a alguien al combinar varios detalles.
ROJO
Información cuya exposición puede comprometer accesos, cuentas o sistemas.
Anonimiza la información antes de preparar un prompt
Anonimizar no consiste solo en borrar el nombre. Un “alumno de 3.º B que ganó el campeonato provincial y está de baja desde abril” podría seguir siendo identificable. Elimina o generaliza los detalles innecesarios y, para una propuesta pedagógica, utiliza un supuesto ficticio.
- La anonimización debe ser efectiva, no meramente aparente. Si otros datos permiten reconocer razonablemente al estudiante, eliminar su nombre o sustituirlo por unas iniciales puede resultar insuficiente.
Utiliza herramientas autorizadas por el centro educativo
Las medidas técnicas y organizativas no dependen solo del profesor. En marzo de 2026, las autoridades españolas de protección de datos publicaron principios específicos para la contratación y uso de plataformas educativas digitales. Una cuenta personal de IA no debe darse por equivalente a una solución aprobada institucionalmente: la protección de datos en centros educativos exige conocer qué herramienta se utiliza, con qué garantías y para qué finalidad.
Consulta al delegado de protección de datos cuando tengas dudas
El delegado de protección de datos puede orientar al centro ante nuevas aplicaciones, riesgos o dudas. Si no sabes si una herramienta puede recibir cierto tipo de información, consulta antes de utilizarla.
Para profundizar en esta materia, también puede resultar útil una formación específica sobre protección de datos en centros educativos, especialmente si el trabajo habitual implica expedientes, plataformas digitales o información sensible del alumnado.
- Antes de pedir a una IA que adapte una actividad, elimina nombres, grupos, fechas, diagnósticos y circunstancias concretas. Describe únicamente las necesidades pedagógicas imprescindibles para obtener una respuesta útil.
- Si quieres probar una nueva herramienta, empieza utilizando contenidos inventados o materiales propios sin datos personales. Después, consulta las instrucciones del centro antes de incorporarla a tareas con información real.
Qué hacer si has compartido datos de un alumno con una IA por error
Si ya has introducido información real del alumnado en una IA, documenta qué ocurrió sin volver a difundir los datos, informa siguiendo el procedimiento interno del centro y consulta al responsable o al delegado de protección de datos.
No todos los incidentes tienen automáticamente la misma gravedad ni constituyen una brecha de seguridad que deba notificarse a la autoridad. Esa valoración depende de factores como la información afectada, las personas implicadas, el posible acceso de terceros y el riesgo para sus derechos y libertades.
- Borrar posteriormente una conversación no garantiza por sí mismo que cualquier tratamiento previo quede revertido. Las posibilidades de eliminación dependen del servicio, su configuración y las condiciones aplicables a esa herramienta.
La protección de datos en centros educativos funciona mejor cuando forma parte de los hábitos cotidianos. Antes de utilizar la IA, la pregunta útil no es solo “¿puede ayudarme?”, sino también “¿necesita realmente estos datos?”. En muchas tareas docentes, la respuesta será que no: un ejemplo ficticio, una descripción general o un conjunto de datos anónimos permiten aprovechar la tecnología sin exponer innecesariamente al alumnado.
Además, esto puede extrapolarse a otros muchos ámbitos y sectores profesionales, como la sanidad, donde el uso de la IA está cada vez más instaurado y donde los datos son muy sensibles.
