El 31 de octubre de 2026, la SDAIA publicó un estudio de 47 páginas titulado «Datos sintéticos: oportunidades, retos y mecanismos de gobernanza». Los datos sintéticos se generan con algoritmos para imitar las propiedades estadísticas de tus registros reales sin contener información sobre personas reales. Tu empresa puede usarlos de tres formas: para probar sus sistemas y entrenar sus modelos sin exponer los registros de clientes, para generar casos raros que le faltan, como el fraude, y para compartir información con un desarrollador o socio de forma más segura. Pero el estudio advierte que no garantizan una privacidad absoluta: quedan sujetos a la Ley de Protección de Datos Personales si permiten identificar a personas.
¿Qué dijo la SDAIA?
Según el anuncio de la SDAIA, los datos sintéticos pueden acelerar la innovación, reducir los costes de recogida y preparación y facilitar el intercambio de información entre entidades, sobre todo en sectores que manejan información sensible como la sanidad y los servicios financieros. Pero el propio estudio insiste en que generar registros que imitan a los reales no elimina necesariamente los riesgos de reidentificar a personas ni los sesgos estadísticos. El estudio basa la gobernanza en cuatro dimensiones: protección de la privacidad, calidad de los datos, equidad y reducción de sesgos, y transparencia.
La idea no es nueva: el estudio indica que su primer uso sistemático para proteger la privacidad fue en 1993, para preservar la confidencialidad del censo estadounidense, y que el gran salto llegó en 2014 con las redes generativas antagónicas (GAN). Lo nuevo es que la IA generativa los ha hecho más fáciles y baratos de producir.
3 tipos de datos sintéticos
| Tipo | Qué es | Cuándo le conviene a tu empresa |
|---|---|---|
| Totalmente sintéticos | Todos los registros son generados; no queda ningún registro real | Cuando la privacidad es lo más importante, o para representar casos que aún no han ocurrido |
| Parcialmente sintéticos | Registros reales en los que los campos sensibles, como el nombre, los ingresos y la ubicación, se sustituyen por valores generados | Cuando necesitas el realismo de los registros reales protegiendo los campos sensibles; son menos seguros que el primer tipo |
| Híbridos | Una mezcla de registros reales y sintéticos | Cuando quieres ampliar un conjunto pequeño o representar casos raros |
Según el estudio, se generan de tres maneras: con reglas que escribes tú mismo, como una distribución de edades de clientes; con modelos estadísticos que aprenden las relaciones entre variables; o con modelos de IA generativa, adecuados para imágenes, textos y otros contenidos complejos.
¿Cómo puede aprovecharlos tu empresa?
- Probar sistemas sin información de clientes. Tu entorno de desarrollo y pruebas no necesita los nombres ni los móviles reales de tus clientes. Genera clientes, facturas y transacciones sintéticos que se parezcan a los reales en formato y distribución, y deja los registros reales solo en producción. Asegúrate de que los registros de prueba no apunten a dominios o direcciones reales; en la historia del nombre de empresa ficticio que coincidió con un dominio real vimos lo que pasa cuando ocurre.
- Entrenar modelos con casos raros. El estudio señala que el sector financiero los usa para generar transacciones poco frecuentes en la detección de fraude y blanqueo. La misma idea te sirve si tienes muy pocos casos de fraude, devoluciones o averías para entrenar un modelo.
- Representar mejor a los grupos pequeños. Si tus registros se inclinan hacia una ciudad o un segmento de clientes, los datos sintéticos ayudan a equilibrarlos para que el modelo no discrimine al resto.
- Compartir con un desarrollador o socio. Da al proveedor o a la empresa de software datos sintéticos para construir y probar, en lugar de entregarle una copia de tu base de clientes.
¿Quedan los datos sintéticos fuera de la Ley de Protección de Datos Personales?
No automáticamente. El estudio explica que los datos sintéticos no se mencionan expresamente en la Ley de Protección de Datos Personales ni en su reglamento de aplicación, pero el artículo 9 del reglamento establece que la información anonimizada no es personal. Todo depende, por tanto, de la reidentificación: si se puede identificar a una persona directa o indirectamente, quedan sujetos a la ley; si no es posible, se tratan como anónimos. Por eso el estudio pide evaluar el riesgo de reidentificación, sobre todo en muestras pequeñas y casos raros, fáciles de vincular a personas.
El estudio recuerda también que en 2023 la SDAIA lanzó el primer entorno regulatorio de pruebas de la región para datos y privacidad, un espacio para probar tecnologías que refuerzan la privacidad, incluidos los datos sintéticos, sin incumplir los requisitos de privacidad.
4 riesgos que debes vigilar
- La reidentificación. El modelo generador puede memorizar patrones precisos o raros de los registros reales y exponer a una persona concreta.
- Falta de realismo. Los datos sintéticos pueden pasar por alto valores atípicos y detalles finos: el modelo funciona en las pruebas y falla con los clientes reales.
- Degradación del modelo. Entrenar modelos una y otra vez con contenido generado por otros modelos les hace perder diversidad poco a poco, lo que el estudio llama colapso del modelo.
- Reproducción de sesgos. Si tus registros originales están sesgados, los datos sintéticos pueden heredar ese sesgo o incluso amplificarlo.
Pasos prácticos de la hoja de ruta de la SDAIA
El estudio propone una hoja de ruta de 3 fases y 6 pasos, de la que tomamos lo que encaja en una empresa mediana:
- Define primero el objetivo. ¿Los quieres para probar software, para entrenar un modelo o para compartirlos con un tercero? El objetivo fija la precisión y la privacidad necesarias y la herramienta adecuada.
- Nombra a un responsable y fija reglas internas. Quién aprueba generarlos y usarlos, y quién responde de su calidad. Si ya aplicas la gobernanza de datos según la SDAIA, añade a ella los datos sintéticos.
- Comprueba calidad y privacidad antes de usarlos. Compara el conjunto sintético con el real, prueba si alguien podría reidentificar a personas y evalúa el modelo final con registros reales independientes.
- Documenta el proceso de generación. Anota la fuente de los registros originales, la herramienta o modelo utilizado y su configuración, para poder revisar el trabajo más adelante.
- Exige transparencia a los proveedores. Si compras datos sintéticos o una herramienta de generación, pide documentación sobre las fuentes, el modelo utilizado, los sesgos conocidos y sus límites.
Estos pasos encajan con el marco nacional de gestión de riesgos de la IA. En Origami ayudamos a las empresas a montar entornos de prueba con datos sintéticos, separados de los registros reales de clientes. Contacta con nosotros si quieres empezar con nosotros.
Fuentes
Preguntas frecuentes
¿Qué son los datos sintéticos?
Son registros generados por algoritmos o modelos de IA para imitar las propiedades estadísticas de los datos reales, sin contener información identificativa de personas o entidades reales, según la definición del estudio de la SDAIA.
¿Son los datos sintéticos totalmente seguros para la privacidad?
No. La SDAIA subraya que no eliminan necesariamente el riesgo de reidentificar a personas, sobre todo si el modelo generador memorizó patrones raros de los registros reales, así que evalúa ese riesgo antes de usarlos.
¿Se aplica la Ley de Protección de Datos Personales a los datos sintéticos?
Depende de la reidentificación. El artículo 9 del reglamento de aplicación dice que la información anonimizada no es personal, pero si se puede identificar a una persona a partir de ella, queda sujeta a la ley.
¿Por dónde debería empezar una pyme?
Por el entorno de pruebas: sustituye los registros reales de clientes en desarrollo y pruebas por datos sintéticos, nombra a un responsable y documenta cómo se generan.
