When AI habits cross the legal lineCuando los hábitos con IA cruzan la línea legal
20 slides · 20 min · 2026-07-22language
ENES
theme
LightDark
view
DeckTableTalk
brand
HanademiPlatzi
A Meta data-transfer case produced a €1.2 billion fine.
The average breach cost rose from $3.86 million to $4.88 million.
Reported internet-crime losses rose from $4.2 billion to $16.6 billion.
Un caso de transferencias de Meta produjo una multa de 1.200 millones de euros.
El costo promedio de una filtración subió de 3,86 a 4,88 millones de dólares.
Las pérdidas reportadas por delitos en internet subieron de 4.200 a 16.600 millones de dólares.
Cross-border data risk is not theoretical. Ireland's regulator announced four major Meta-related fines between 2021 and 2023. The transfer case reached €1.2 billion, far above the other three.
El riesgo de transferir datos entre países no es teórico. El regulador irlandés anunció cuatro grandes multas relacionadas con Meta entre 2021 y 2023. El caso de transferencias alcanzó 1.200 millones de euros, muy por encima de los otros tres.
These terms decide which legal question applies. Consent is not the only lawful basis, and recorded speech is not automatically biometric data. Product function matters as much as the visible user experience.
Estos términos deciden qué pregunta jurídica corresponde. El consentimiento no es la única base jurídica y el habla grabada no es automáticamente un dato biométrico. La función del producto importa tanto como la experiencia visible del usuario.
Recording law resembles driving law. The device and conduct can stay the same while the governing rule changes across a border. Confidentiality, medium, and the recorder's participation can also affect the answer.
La ley de grabación se parece a la ley de tránsito. El dispositivo y la conducta pueden seguir iguales mientras la regla cambia al cruzar una frontera. La confidencialidad, el medio y la participación de quien graba también pueden afectar la respuesta.
California makes the recording question concrete. Section 632 authorizes up to $2,500, imprisonment for up to one year, or both for specified intentional recording of confidential communications. A default recording setting cannot replace a legal check.
California vuelve concreta la pregunta sobre grabaciones. La sección 632 autoriza hasta 2.500 dólares, hasta un año de prisión o ambas penas para determinadas grabaciones intencionales de comunicaciones confidenciales. Una configuración predeterminada no sustituye una revisión jurídica.
Consent is not the whole GDPR. Article 6 lists six lawful bases, leaving five alternatives to consent. Each alternative still needs its own necessity and proportionality analysis, and convenience is not a seventh route.
El consentimiento no es todo el RGPD. El artículo 6 enumera seis bases jurídicas, dejando cinco alternativas al consentimiento. Cada alternativa aún necesita su propio análisis de necesidad y proporcionalidad, y la comodidad no es una séptima vía.
Serious GDPR failures are not priced like minor software mistakes. The higher ceiling compares €20 million with 4% of worldwide annual turnover. The larger applicable figure can turn meeting-data governance into a board-level issue.
Las fallas graves del RGPD no se valoran como errores menores de software. El límite superior compara 20 millones de euros con 4% de la facturación mundial anual. La cifra aplicable más alta puede convertir el gobierno de datos de reuniones en un asunto de alta dirección.
Cross-border compliance changes even when a product does not. Safe Harbor was invalidated in 2015 and Privacy Shield in 2020. A new Data Privacy Framework received an adequacy decision in 2023.
El cumplimiento internacional cambia aunque el producto no cambie. Puerto Seguro fue invalidado en 2015 y el Escudo de Privacidad en 2020. Un nuevo Marco de Privacidad recibió una decisión de adecuación en 2023.
Publication and application are different moments. The EU AI Act generally applies from August 2, 2026. Chile's principal reform provisions generally begin on December 1, 2026, after publication in December 2024.
La publicación y la aplicación son momentos distintos. La Ley de IA de la UE se aplica generalmente desde el 2 de agosto de 2026. Las disposiciones principales de la reforma chilena comienzan generalmente el 1 de diciembre de 2026, después de publicarse en diciembre de 2024.
The record button is only the first data decision. Granola states that it does not store meeting audio, but it processes audio for transcription and stores transcript-derived content and notes. Risk follows the information that remains, not only the original file.
El botón de grabación es solo la primera decisión sobre datos. Granola afirma que no almacena el audio, pero lo procesa para transcribir y conserva contenido derivado y notas. El riesgo sigue a la información que permanece, no solo al archivo original.
IBM's global average rose in every year shown. It moved from $3.86 million in 2020 to $4.88 million in 2024. Meeting notes can contain negotiations, health details, customer data, and internal decisions.
El promedio mundial de IBM aumentó en cada año mostrado. Pasó de 3,86 millones de dólares en 2020 a 4,88 millones en 2024. Las notas de reuniones pueden contener negociaciones, datos de salud, información de clientes y decisiones internas.
The legal risk changes when software derives a voice identifier. The supplied figures range from $1,000 for negligent Illinois violations to $25,000 under the Texas maximum. The product's recognition function decides whether these biometric questions arise.
El riesgo jurídico cambia cuando el software deriva un identificador de voz. Las cifras suministradas van de 1.000 dólares por infracciones negligentes en Illinois a 25.000 bajo el máximo de Texas. La función de reconocimiento del producto decide si surgen estas preguntas biométricas.
A recording contains a human voice, but that alone does not settle the biometric question. The GDPR threshold is technical processing that allows or confirms unique identification. Transcription and voice recognition are therefore different legal functions.
Una grabación contiene una voz humana, pero eso no resuelve por sí solo la cuestión biométrica. El umbral del RGPD es el tratamiento técnico que permite o confirma la identificación única. La transcripción y el reconocimiento de voz son funciones jurídicas distintas.
US authorities rejected protection for the specified AI-generated images. They preserved qualifying human-authored text, selection, and arrangement. The legal line followed human creative contribution, not a blanket ban on mixed works.
Las autoridades estadounidenses rechazaron protección para las imágenes especificadas generadas por IA. Conservaron el texto, selección y disposición humanas calificadas. La línea jurídica siguió la contribución creativa humana, no una prohibición total de obras mixtas.
The same training practice can face different copyright rules. The EU provides conditional mining exceptions, Japan offers a comparatively broad analysis exception, and US fair use remains fact-specific. The United Kingdom did not adopt the broad commercial exception represented in the supplied series.
La misma práctica de entrenamiento puede enfrentar reglas autorales distintas. La UE ofrece excepciones condicionales de minería, Japón una excepción de análisis comparativamente amplia y el uso justo estadounidense depende de los hechos. El Reino Unido no adoptó la excepción comercial amplia representada en la serie suministrada.
The training debate has produced a concrete plaintiff victory. In February 2025, Thomson Reuters obtained partial summary judgment over Ross's copying of protected Westlaw headnotes. The ruling addressed that copying and does not settle every generative-AI case.
El debate sobre entrenamiento produjo una victoria concreta para un demandante. En febrero de 2025, Thomson Reuters obtuvo sentencia sumaria parcial por la copia de sumarios protegidos de Westlaw realizada por Ross. La decisión abordó esa copia y no resuelve todos los casos de IA generativa.
The piracy analogy does not end with disappearance. MUSO reported estimated visits rising from 182 billion in 2021 to 229.4 billion in 2023. Streaming can improve legal access while unauthorized channels continue operating.
La analogía con la piratería no termina con su desaparición. MUSO reportó que las visitas estimadas subieron de 182.000 millones en 2021 a 229.400 millones en 2023. El streaming puede mejorar el acceso legal mientras continúan los canales no autorizados.
The music market adapted rather than waiting for piracy to vanish. IFPI reported revenue rising from about $20.2 billion in 2019 to $28.6 billion in 2023. Better access and licensing can grow a legal market without proving infringement ended.
El mercado musical se adaptó en lugar de esperar que desapareciera la piratería. IFPI reportó que los ingresos subieron de unos 20.200 millones de dólares en 2019 a 28.600 millones en 2023. Un mejor acceso y mejores licencias pueden ampliar el mercado legal sin demostrar que terminó la infracción.
Reported losses rose from $4.2 billion in 2020 to $16.6 billion in 2024. That is almost four times the starting level. The series covers internet crime broadly, so it cannot isolate AI's contribution.
Las pérdidas reportadas subieron de 4.200 millones de dólares en 2020 a 16.600 millones en 2024. Eso es casi cuatro veces el nivel inicial. La serie cubre delitos en internet en general, por lo que no puede aislar la contribución de la IA.
AI can make fraudulent text, images, audio, and video more convincing. It does not eliminate the value of an independent callback or transaction check. Verification must leave the channel controlled by the attacker.
La IA puede volver más convincentes los textos, imágenes, audios y videos fraudulentos. No elimina el valor de una llamada independiente o una verificación de transacción. La verificación debe salir del canal controlado por el atacante.
Recording, transcription, voice analysis, deepfakes, and AI training follow different rules. The legal answer depends on jurisdiction, purpose, product design, data flow, and safeguards. Familiar AI habits can create penalties reaching billions.
Key findings
GDPR does not require consent for every recording because five other Article 6 bases exist, although each requires its own necessity and proportionality analysis. Information Commissioner's Office
Ireland's regulator announced Meta-related fines of €225 million, €405 million, €265 million, and €1.2 billion between 2021 and 2023. Data Protection Commission of Ireland
Granola states that it does not store meeting audio, although it processes audio for transcription and stores transcript-derived content and notes. Granola
US authorities rejected copyright for Thaler's autonomously generated image and Kashtanova's Midjourney images, while preserving qualifying human-authored text, selection, and arrangement. United States District Court for the District of Columbia
AI training rules differ across jurisdictions: the EU provides text-mining exceptions with rights reservations, Japan has a broad non-enjoyment-purpose exception, and US fair use remains fact-specific. European Union
In February 2025, Thomson Reuters obtained partial summary judgment that Ross infringed protected Westlaw headnotes and failed its fair-use defense for the copying at issue. United States District Court for the District of Delaware
MUSO reported approximately 182 billion piracy-site visits in 2021, 215 billion in 2022, and 229.4 billion in 2023. MUSO
FBI Internet Crime Complaint Center reported losses rising from $4.2 billion in 2020 to $16.6 billion in 2024, but the series is not AI-specific. Federal Bureau of Investigation
US guides commonly classify 38 states plus Washington, DC as one-party jurisdictions, while roughly 11 states require all-party consent in at least some circumstances. Reporters Committee for Freedom of the Press
California Penal Code section 632 authorizes up to $2,500, imprisonment up to one year, or both for specified intentional recording of confidential communications. California Legislative Information
UK law has no universal all-party recording rule; personal recording may be lawful even when organizational processing, disclosure, interception, or misuse is restricted. Information Commissioner's Office
Serious GDPR infringements can attract the higher of €20 million or 4% of an undertaking's total worldwide annual turnover for the preceding financial year. European Union
The argument
A Meta data-transfer case produced a €1.2 billion fine.
US recording rules vary, and California can impose $2,500 plus imprisonment.
The GDPR offers six lawful bases, but convenience is not one.
Cross-border frameworks and AI transparency duties keep changing through 2026.
The average breach cost rose from $3.86 million to $4.88 million.
Voice becomes biometric when technical processing enables unique identification.
Copyright treatment differs across four major jurisdictions and policy positions.
Reported internet-crime losses rose from $4.2 billion to $16.6 billion.
This research is published in English and Spanish. Ver en español
La investigación detrás de esta presentación
La grabación, transcripción, análisis de voz, deepfakes y entrenamiento de IA siguen reglas distintas. La respuesta jurídica depende de la jurisdicción, finalidad, diseño, flujo de datos y salvaguardias. Hábitos comunes con IA pueden generar sanciones de miles de millones.
Hallazgos clave
El RGPD no exige consentimiento para toda grabación porque existen otras cinco bases del artículo 6, aunque cada una requiere su propio análisis de necesidad y proporcionalidad. Information Commissioner's Office
El regulador irlandés anunció multas relacionadas con Meta de 225, 405, 265 y 1.200 millones de euros entre 2021 y 2023. Data Protection Commission of Ireland
Granola afirma que no almacena el audio de reuniones, aunque lo procesa para transcribir y conserva contenido derivado de la transcripción y notas. Granola
Autoridades estadounidenses rechazaron derechos sobre la imagen autónoma de Thaler y las imágenes Midjourney de Kashtanova, pero conservaron texto, selección y disposición humanas calificadas. United States District Court for the District of Columbia
Las reglas de entrenamiento difieren: la UE ofrece excepciones de minería con reserva de derechos, Japón una excepción amplia para fines no disfrutivos y EE. UU. un uso justo fáctico. European Union
MUSO reportó aproximadamente 182.000 millones de visitas a sitios piratas en 2021, 215.000 millones en 2022 y 229.400 millones en 2023. MUSO
El Centro de Quejas de Delitos en Internet del FBI reportó pérdidas de 4.200 millones en 2020 a 16.600 millones en 2024, pero la serie no es específica de IA. Federal Bureau of Investigation
Las guías estadounidenses suelen clasificar 38 estados más Washington D. C. como jurisdicciones de una parte, mientras unos 11 exigen consentimiento de todos en ciertas circunstancias. Reporters Committee for Freedom of the Press
La sección 632 del Código Penal de California autoriza hasta 2.500 dólares, hasta un año de prisión o ambas penas por determinadas grabaciones intencionales confidenciales. California Legislative Information
El Reino Unido no tiene una regla universal de consentimiento de todos; una grabación personal puede ser lícita aunque el tratamiento organizacional, divulgación, interceptación o abuso estén restringidos. Information Commissioner's Office
Las infracciones graves del RGPD pueden recibir la mayor sanción entre 20 millones de euros o el 4% de la facturación mundial anual del ejercicio anterior. European Union
El argumento
Un caso de transferencias de Meta produjo una multa de 1.200 millones de euros.
Las reglas de grabación varían en EE. UU. y California puede imponer 2.500 dólares más prisión.
El RGPD ofrece seis bases jurídicas, pero la comodidad no es una.
Los marcos internacionales y deberes de transparencia siguen cambiando hasta 2026.
El costo promedio de una filtración subió de 3,86 a 4,88 millones de dólares.
La voz se vuelve biométrica cuando el tratamiento técnico permite identificar de forma única.
El tratamiento autoral difiere entre cuatro grandes jurisdicciones y posiciones normativas.
Las pérdidas reportadas por delitos en internet subieron de 4.200 a 16.600 millones de dólares.
Esta investigación se publica en inglés y español. Read in English
