When AI habits cross legal linesCuando los hábitos con IA cruzan límites legales
15 slides · 15 min · 2026-07-22language
ENES
theme
LightDark
view
DeckTableTalk
brand
HanademiPlatzi
Owning the workplace does not create unlimited permission to monitor it.
In 2023, 45.2% of EU enterprises purchased cloud services, making outsourced processing ordinary business infrastructure.
The locks differ, but every system expects someone to control the key.
Ser dueño del lugar de trabajo no otorga permiso ilimitado para vigilarlo.
En 2023, el 45,2% de las empresas de la UE compró servicios de nube.
Las cerraduras difieren, pero cada sistema exige que alguien controle la llave.
Digital monitoring is not a theoretical compliance problem. Authorities imposed penalties of €35.3 million on H&M and €32 million on Amazon France Logistique. AI meeting tools can widen the same monitoring surface by making conversations searchable and persistent. Convenience does not remove transparency, proportionality or access limits.
La vigilancia digital no es un problema teórico de cumplimiento. Las autoridades impusieron sanciones de 35,3 millones de euros a H&M y 32 millones a Amazon France Logistique. Las herramientas de reuniones con IA pueden ampliar esa superficie al volver las conversaciones consultables y persistentes. La comodidad no elimina la transparencia, la proporcionalidad ni los límites de acceso.
AI tools operate inside legal systems that already govern personal data and identity. The GDPR governs personal data, a lawful basis justifies processing, and deepfake rules address certain synthetic media. None is a blanket ban on AI. Each asks what happened to a person, their information or their identity.
Las herramientas de IA operan dentro de sistemas jurídicos que ya regulan los datos personales y la identidad. El RGPD regula datos personales, una base jurídica justifica el tratamiento y las reglas sobre ultrafalsos abordan ciertos contenidos sintéticos. Ninguno prohíbe toda la IA. Cada uno pregunta qué ocurrió con una persona, su información o su identidad.
US federal law generally allows a participant to record, but state rules can demand consent from every party. About 11 states are commonly placed in that stricter group. The classification can depend on the conversation and the jurisdictions involved. Recording rules resemble speed limits that change when a conversation crosses a border.
La ley federal estadounidense generalmente permite grabar a un participante, pero las reglas estatales pueden exigir el consentimiento de todas las partes. Unos 11 estados suelen incluirse en ese grupo más estricto. La clasificación puede depender de la conversación y de las jurisdicciones implicadas. Las reglas de grabación se parecen a límites de velocidad que cambian cuando una conversación cruza una frontera.
Telling people about a recording matters, but it does not settle the whole legal question. An organization may still need a lawful basis, a defined purpose, limited collection, security and enforceable rights. A medicine label provides notice, but it does not make every dosage safe. The same logic applies after a meeting ends.
Informar a las personas sobre una grabación importa, pero no resuelve toda la cuestión jurídica. Una organización todavía puede necesitar una base jurídica, una finalidad definida, recopilación limitada, seguridad y derechos exigibles. La etiqueta de un medicamento informa, pero no hace segura cualquier dosis. La misma lógica se aplica después de terminar una reunión.
The EU adopted Privacy Shield in 2016. The Court invalidated it in 2020, and the Commission adopted a replacement in 2023. Foreign storage is not automatically illegal, but its legal route can change. Sending data abroad resembles shipping a locked package whose route and recipient still matter.
La UE adoptó el Escudo de Privacidad en 2016. El Tribunal lo invalidó en 2020 y la Comisión adoptó un sustituto en 2023. El almacenamiento extranjero no es automáticamente ilegal, pero su vía jurídica puede cambiar. Enviar datos al extranjero se parece a mandar un paquete cerrado cuya ruta y destinatario todavía importan.
In 2023, 45.2% of EU enterprises purchased cloud services. That scale makes vendor governance a mainstream business task. Cloud services are like rented offices: ordinary to use, but still dependent on locks, access rules and contracts. An AI assistant does not move responsibility away with the data.
En 2023, el 45,2% de las empresas de la UE compró servicios de nube. Esa escala convierte la gobernanza de proveedores en una tarea empresarial común. Los servicios de nube son como oficinas alquiladas: su uso es normal, pero todavía dependen de cerraduras, reglas de acceso y contratos. Un asistente de IA no traslada la responsabilidad junto con los datos.
Sweden's reported measure rose from 27.23 in 2018 to 30.26 in 2020, then returned to 27.96 in 2025. The series does not support a simple story of uninterrupted growth. It still shows that cloud use is a persistent operating condition. Governance cannot depend on adoption accelerating every year.
La medida reportada para Suecia subió de 27,23 en 2018 a 30,26 en 2020 y luego volvió a 27,96 en 2025. La serie no respalda una historia simple de crecimiento ininterrumpido. Aun así, muestra que el uso de la nube es una condición operativa persistente. La gobernanza no puede depender de que la adopción se acelere cada año.
Colombia, Mexico and Chile each regulate notice, purpose and individual rights in personal-data processing. That common core matters for AI meeting tools. It does not make the three legal systems identical, and Chile's 2024 reform takes effect later. A regional rollout still needs country-specific implementation.
Colombia, México y Chile regulan el aviso, la finalidad y los derechos individuales en el tratamiento de datos personales. Ese núcleo común importa para las herramientas de reuniones con IA. No hace idénticos los tres sistemas jurídicos y la reforma chilena de 2024 entra en vigor después. Un despliegue regional todavía necesita implementación específica por país.
IBM's estimated average breach cost rose every year shown, from $3.86 million in 2020 to $4.88 million in 2024. Retaining transcripts does not cause a breach. It does enlarge the information that a breach, lawsuit or internal misuse could expose. Retention should be a choice, not a default reflex.
El costo promedio estimado por IBM para una brecha subió cada año mostrado, de 3,86 millones de dólares en 2020 a 4,88 millones en 2024. Conservar transcripciones no causa una brecha. Sí amplía la información que una brecha, una demanda o un uso interno indebido podría exponer. La retención debe ser una decisión, no un reflejo automático.
Borrowing a face resembles borrowing a signature. Tennessee expanded voice and likeness protection in 2024, federal intimate-image protections followed in 2025, and EU disclosure duties generally apply from 2026. A private joke differs from a deceptive advertisement or nonconsensual intimate image. The legal result turns on context, not merely on whether AI was used.
Tomar prestado un rostro se parece a tomar prestada una firma. Tennessee amplió la protección de voz e imagen en 2024, siguieron protecciones federales para imágenes íntimas en 2025 y los deberes europeos de divulgación aplican generalmente desde 2026. Una broma privada difiere de un anuncio engañoso o de una imagen íntima no consentida. El resultado jurídico depende del contexto, no solo de si se usó IA.
Losses reported to the FBI center rose from $4.2 billion in 2020 to $16.6 billion in 2024. AI can make impersonation easier, but this series cannot say how much of the increase AI caused. That distinction matters. A large fraud total is a warning about the environment, not an AI attribution study.
Las pérdidas reportadas al centro del FBI subieron de 4.200 millones de dólares en 2020 a 16.600 millones en 2024. La IA puede facilitar la suplantación, pero esta serie no permite saber cuánto del aumento causó la IA. Esa distinción importa. Un gran total de fraude advierte sobre el entorno, pero no es un estudio de atribución a la IA.
MUSO estimated that piracy-site visits rose from about 130 billion in 2020 to 229.4 billion in 2023. The estimate does not support a simple story of steady disappearance. Legal streaming changed distribution, but piracy also moved into illegal streaming channels. New technology often relocates an old behavior before law and markets contain it.
MUSO estimó que las visitas a sitios de piratería subieron de unos 130.000 millones en 2020 a 229.400 millones en 2023. La estimación no respalda una historia simple de desaparición continua. La transmisión legal cambió la distribución, pero la piratería también se trasladó a canales ilegales de transmisión. La tecnología nueva suele reubicar una conducta antigua antes de que la ley y el mercado la contengan.
These were specialized commercial legal systems, not casual chatbots. Stanford researchers still reported hallucination rates of 17%, 33% and 34%. A legal chatbot can resemble a confident intern who sometimes invents the book it claims to have read. Source verification remains part of the work.
Estos eran sistemas jurídicos comerciales especializados, no chatbots informales. Investigadores de Stanford aun así reportaron tasas de alucinación del 17%, 33% y 34%. Un chatbot jurídico puede parecerse a un pasante seguro de sí mismo que a veces inventa el libro que afirma haber leído. Verificar las fuentes sigue siendo parte del trabajo.
AI does not erase the rules attached to conversations, identities and creative work. Before capturing data, identify the applicable consent and privacy duties. Before retaining or transferring it, define purpose, access, security and deletion. Before acting on AI output, verify the source and preserve meaningful human judgment.
La IA no elimina las reglas vinculadas a conversaciones, identidades y obras creativas. Antes de capturar datos, identifica las obligaciones aplicables de consentimiento y privacidad. Antes de conservarlos o transferirlos, define finalidad, acceso, seguridad y eliminación. Antes de actuar sobre un resultado de IA, verifica la fuente y conserva un juicio humano significativo.
US federal law generally permits participant recording, while about 11 states are commonly classified as requiring consent from every party in private conversations. Reporters Committee for Freedom of the Press
The EU adopted Privacy Shield in 2016, the Court invalidated it in 2020, and the Commission adopted a replacement framework in 2023. Court of Justice of the European Union
Granola describes a meeting-notes product that transcribes computer audio without sending a visible recording bot into the meeting. Granola
NCSL reported that at least 40 US jurisdictions considered deepfake bills in 2024 and 15 states enacted related legislation. National Conference of State Legislatures
The US Copyright Office says copyright can protect human selection or modification around AI material, but not expression determined entirely by a machine. United States Copyright Office
GDPR compliance requires more than notice, including a lawful basis, purpose limitation, minimization, security and enforceable individual rights. European Union
Colombia, Mexico and Chile each regulate notice, purpose and individual rights in personal-data processing, although Chile's 2024 reform takes effect later. Congress of Colombia
The argument
The familiar 11-state recording count is only a rough guide.
Transparency opens the door, but five other duties still walk through it.
Foreign storage can depend on a legal route that later disappears.
In 2023, 45.2% of EU enterprises purchased cloud services, making outsourced processing ordinary business infrastructure.
Cloud governance remains necessary even when adoption measures stop climbing.
The locks differ, but every system expects someone to control the key.
This research is published in English and Spanish. Ver en español
La investigación detrás de esta presentación
Ser dueño del lugar de trabajo no otorga permiso ilimitado para vigilarlo. La ley sigue los datos, la finalidad y el daño, no la etiqueta de IA.
Hallazgos clave
El Centro de Quejas de Delitos en Internet del FBI reportó que las pérdidas subieron de 4.200 millones de dólares en 2020 a 16.600 millones en 2024. Federal Bureau of Investigation
Investigadores de Stanford reportaron tasas de alucinación del 17% para Lexis+ AI, 33% para Ask Practical Law AI y 34% para Westlaw. Stanford University
Tres decisiones estadounidenses de 2025 alcanzaron resultados distintos porque diferían el material copiado, la adquisición, los mercados alegados y los expedientes procesales. United States District Court for the District of Delaware
MUSO estimó que las visitas a sitios de piratería aumentaron de aproximadamente 130.000 millones en 2020 a 229.400 millones en 2023. MUSO
La ley federal estadounidense generalmente permite grabar a un participante, mientras unos 11 estados suelen exigir consentimiento de todas las partes en conversaciones privadas. Reporters Committee for Freedom of the Press
La UE adoptó el Escudo de Privacidad en 2016, el Tribunal lo invalidó en 2020 y la Comisión adoptó un marco sustituto en 2023. Court of Justice of the European Union
Granola describe un producto de notas que transcribe el audio del computador sin enviar un bot de grabación visible a la reunión. Granola
NCSL reportó que al menos 40 jurisdicciones estadounidenses consideraron proyectos sobre ultrafalsos en 2024 y 15 estados promulgaron legislación relacionada. National Conference of State Legislatures
La Oficina de Copyright de EE. UU. afirma que puede proteger selección o modificación humana alrededor de material de IA, pero no expresión totalmente determinada por una máquina. United States Copyright Office
El cumplimiento del RGPD exige más que aviso, incluida una base jurídica, limitación de finalidad, minimización, seguridad y derechos individuales exigibles. European Union
Colombia, México y Chile regulan el aviso, la finalidad y los derechos individuales en el tratamiento de datos, aunque la reforma chilena de 2024 entra en vigor después. Congress of Colombia
El argumento
El conocido recuento de 11 estados es solo una guía aproximada.
La transparencia abre la puerta, pero otras cinco obligaciones también entran.
El almacenamiento extranjero puede depender de una vía jurídica que después desaparece.
En 2023, el 45,2% de las empresas de la UE compró servicios de nube.
La gobernanza de la nube sigue siendo necesaria aunque las medidas de adopción dejen de subir.
Las cerraduras difieren, pero cada sistema exige que alguien controle la llave.
Esta investigación se publica en inglés y español. Read in English
