SpaceXAI estudia comprar datos de startups quebradas para entrenar Grok, pero el RGPD complica la operación en Europa
SpaceXAI, la división de inteligencia artificial vinculada a Elon Musk, ha mantenido conversaciones internas sobre la posibilidad de adquirir registros de clientes y datos operativos de startups en crisis o ya desaparecidas. El objetivo sería utilizar esos activos para ampliar el conjunto de datos con el que se entrenan modelos como Grok.
La iniciativa se encuentra todavía en una fase exploratoria y no implica que exista una compra concreta ni que vaya a cerrarse un acuerdo. La idea que se estaría valorando es más amplia: crear un procedimiento para localizar y adquirir bases de datos de empresas tecnológicas cuando entren en procesos de insolvencia o liquidación.
El planteamiento puede tener sentido desde el punto de vista financiero, pero abre una cuestión especialmente compleja en Europa: una base de datos no puede utilizarse para cualquier finalidad solo porque haya sido comprada legalmente en una subasta concursal.
El comprador se convierte en responsable del tratamiento
El concepto clave es el de responsable del tratamiento. Según el Reglamento General de Protección de Datos (RGPD), es la entidad que decide para qué se recopilan y utilizan los datos personales y cómo se procesan.
Cuando una startup recoge el correo electrónico de sus clientes para prestar un servicio, esa empresa es la responsable del tratamiento. Si posteriormente quiebra y vende sus activos a otra compañía, el comprador no hereda automáticamente todas las autorizaciones concedidas por los usuarios.
SpaceXAI pasaría a ser un nuevo responsable del tratamiento y tendría que justificar su propio uso de la información. El hecho de haber pagado por una base de datos no constituye, por sí mismo, una base jurídica válida para emplearla en el entrenamiento de un modelo de inteligencia artificial.
El entrenamiento de IA consiste en analizar grandes cantidades de información para que un modelo aprenda patrones estadísticos del lenguaje, las imágenes o el comportamiento. En el caso de un modelo lingüístico, los datos pueden influir en su capacidad para generar respuestas, resumir documentos o identificar relaciones entre conceptos.
El consentimiento no se transfiere con la base de datos
El principal obstáculo sería demostrar que los clientes esperaban razonablemente que sus datos acabaran utilizándose para entrenar Grok. Un usuario que facilitó su email para contratar una aplicación de movilidad, gestionar una reserva o recibir soporte técnico difícilmente podía prever que esa información terminaría en un sistema de IA de un tercero.
El consentimiento debe estar vinculado a una finalidad concreta y no se transmite de forma automática junto con el activo empresarial. Si el permiso original no incluía el entrenamiento de modelos de terceros, SpaceXAI tendría que analizar si existe otra base jurídica y si el nuevo uso es compatible con la finalidad inicial.
Una de las posibilidades sería el interés legítimo, una base jurídica que permite ciertos tratamientos cuando son necesarios para los intereses de una organización y no prevalecen sobre los derechos de las personas. Sin embargo, exige una evaluación específica y tiene en cuenta las expectativas razonables de los afectados.
En este escenario, esas expectativas podrían jugar en contra del comprador. La desaparición de la empresa original no convierte automáticamente una finalidad inesperada en un uso legítimo. Además, habría que valorar la sensibilidad de la información, informar a los usuarios y ofrecer mecanismos para ejercer sus derechos.
El precedente de las bases de datos en procesos de quiebra
En Estados Unidos ya se han producido operaciones que muestran el atractivo de estos activos. Durante la quiebra de Spirit Airlines se puso sobre la mesa la posible venta de grandes volúmenes de correos electrónicos y mensajes internos. La operación generó dudas sobre el valor comercial de la información y sobre los límites para reutilizarla.
El marco concursal estadounidense permite vender determinados activos empresariales, incluidas bases de datos de clientes, aunque esa posibilidad no elimina necesariamente las obligaciones en materia de privacidad. La normativa aplicable puede variar según el estado y según los compromisos asumidos por la empresa que recopiló originalmente la información.
En Europa, el RGPD no establece una excepción general para las quiebras. Una administración concursal puede vender activos, pero el comprador debe seguir cumpliendo las reglas sobre finalidad, transparencia, minimización y seguridad de los datos.
El caso de Grok ya está bajo supervisión europea
SpaceXAI afronta, además, un contexto regulatorio delicado. La autoridad irlandesa de protección de datos mantiene abierta una investigación sobre el uso de publicaciones públicas de usuarios europeos en X para entrenar los modelos de Grok.
En 2024, el regulador irlandés llegó a utilizar medidas judiciales de urgencia relacionadas con ese tratamiento. La investigación iniciada posteriormente analiza si el uso de esas publicaciones cumplía las exigencias del RGPD y si los usuarios podían esperar razonablemente que sus mensajes se emplearan con ese fin.
La cuestión conecta directamente con una eventual compra de datos de startups europeas: que la información sea accesible o se haya compartido previamente no significa que pueda incorporarse sin más al conjunto de entrenamiento de un modelo. La empresa tendría que justificar el origen, la finalidad y la proporcionalidad del tratamiento.
Un riesgo mayor para los datos de empresas españolas
El supuesto más claro sería el de una startup española que quiebra después de haber recopilado emails, historiales de uso o comunicaciones de sus clientes. Si SpaceXAI adquiriera esa base de datos, debería realizar antes un análisis jurídico y técnico detallado.
- Revisar qué se comunicó a los usuarios en el momento de la recogida.
- Determinar si el nuevo uso es compatible con la finalidad original.
- Identificar una base jurídica válida para el entrenamiento de IA.
- Informar a los afectados y facilitar el ejercicio de sus derechos.
- Excluir datos especialmente sensibles o que presenten un riesgo elevado.
También tendría que estudiar si los datos pueden transferirse fuera del Espacio Económico Europeo y qué garantías internacionales serían necesarias. Un incumplimiento podría acabar en una orden de cese, restricciones al tratamiento o sanciones económicas.
La estrategia permitiría a SpaceXAI acceder a grandes volúmenes de información a un coste potencialmente inferior al de recopilarla desde cero. No obstante, en Europa el valor de una base de datos no depende solo de su tamaño: también de la legitimidad de su origen y de la finalidad para la que se pretende utilizar.
Por ahora, las conversaciones no se han traducido en una operación anunciada. Si la compañía formaliza la compra de datos de startups sometidas al RGPD, el caso podría convertirse en una referencia para determinar hasta dónde puede llegar la venta de activos digitales en una quiebra y qué límites existen cuando el comprador pretende alimentar con ellos un modelo de inteligencia artificial.
