Hay un momento en el proceso de configuración de cualquier plataforma educativa con IA que define, sin que los padres lo sepan, el alcance de lo que acaban de autorizar. Es el momento en que se acepta la política de privacidad. No la sección sobre qué datos se recopilan, esa suele estar redactada con cierta claridad, sino las cláusulas sobre cómo se usan, con quién se comparten y durante cuánto tiempo se conservan. Esas secciones, invariablemente, están escritas en el lenguaje más técnico y menos legible del documento, y en ellas reside el problema real.
La discusión pública sobre privacidad infantil y tecnología ha estado dominada durante años por las redes sociales: los algoritmos de recomendación, los feeds adictivos y la exposición a contenido inapropiado. Es una discusión importante, pero ha desplazado la atención de algo estructuralmente más grave: los agentes de IA conversacional con los que los menores interactúan no solo les sirven contenido, los escuchan, los analizan y construyen con esa información perfiles conductuales de una profundidad y persistencia sin precedentes en la historia del consumo digital.
El dato que nadie está regulando
Cuando un menor interactúa durante meses con un agente de IA educativo, le revela, en el curso de conversaciones aparentemente inocuas, información que ningún formulario de registro capturaría jamás: sus frustraciones académicas, sus inseguridades sociales, sus intereses cambiantes, su velocidad de comprensión en distintas materias, sus patrones emocionales. No lo hace porque sea ingenuo. Lo hace porque esa es la naturaleza de una conversación, y los agentes de IA conversacional están diseñados para provocar exactamente ese tipo de intercambio.
El problema regulatorio es que buena parte de esa información no encaja con precisión en las categorías que protegen las leyes vigentes. Por ejemplo COPPA, la ley federal estadounidense de privacidad infantil, cuya última actualización significativa fue finalizada por la FTC (Federal Trade Commision) en enero de 2025, protege datos personales identificables de menores de 13 años y exige consentimiento parental verificable antes de su recopilación (https://www.ftc.gov/business-guidance/privacy-security/childrens-privacy). La actualización de 2025 amplió la definición de “información personal” para incluir datos biométricos, y exigió que el publicidad conductual dirigida a menores esté desactivada por defecto (https://www.k12dive.com/news/ftc-finalizes-coppa-rule-children-data-privacy/738077/). Son avances reales. Pero no resuelven el problema central de los agentes de IA: el perfil conductual que se construye sobre un menor no es un dato que se recopila en un momento puntual. Es una inferencia que se construye de forma continua, y que se vuelve más valiosa, y más invasiva, cuanto más larga es la interacción.
El modelo de negocio que nadie explica
En septiembre de 2025, la FTC abrió una investigación formal bajo la Sección 6(b) sobre el impacto de los chatbots de IA compañeros en niños y adolescentes, preguntando específicamente a las empresas cómo testean y monitorean los daños potenciales a usuarios jóvenes (https://www.nelsonmullins.com/insights/alerts/privacy_and_data_security_alert/all/ftc-announces-children-s-privacy-enforcements-and-launches-ai-chatbot-inquiry). La investigación fue simultánea a una acción de cumplimiento contra Disney por recopilar datos de menores sin el consentimiento parental requerido por COPPA, resultando en un acuerdo de 10 millones de dólares. Ese mismo mes, la FTC llegó a un acuerdo con el fabricante de juguetes robóticos Apitor por violaciones similares.
Son señales de que el regulador está prestando atención. Pero los acuerdos, por sí solos, no cambian los incentivos estructurales del sector. La investigación publicada en noviembre de 2025 por Common Sense Media reveló que aproximadamente el 75% de los adolescentes estadounidenses utilizan chatbots de IA, y que solo un tercio de sus padres sabe que lo hacen (https://dayofai.org/news/day-of-ai-and-common-sense-media-launch-essential-toolkit-for-parents-and-families-talking-to-kids-about-ai-privacy-fairness-and-responsibility). No es un problema de información: los padres que sí están conscientes de este problema tampoco suelen entender qué datos se recopilan ni cómo se utilizan. La asimetría de información entre las empresas que despliegan estos agentes y los adultos que deben supervisar su uso es, en la práctica, insalvable sin intervención regulatoria.
Los datos que ya se han perdido
El caso más documentado de lo que ocurre cuando esa infraestructura falla no proviene de un agente de IA sino de una plataforma EdTech convencional, y es precisamente por eso más revelador: si una empresa sin capacidades de IA generativa pudo causar este daño, la escala del problema con plataformas que sí las tienen es difícil de exagerar.
En diciembre de 2025, la FTC llegó a un acuerdo con Illuminate Education, una empresa de tecnología educativa cuyos productos llegaban a 17 millones de estudiantes en 5,200 escuelas y distritos de Estados Unidos. La empresa había sufrido una brecha en diciembre de 2021, un atacante usó las credenciales de un exempleado que habían permanecido activas durante tres años y medio después de su salida, que expuso datos personales de más de 10 millones de estudiantes, incluyendo direcciones, fechas de nacimiento, expedientes académicos e información de salud (https://www.hunton.com/privacy-and-information-security-law/ftc-reaches-settlement-with-ed-tech-provider-over-breach-of-student-data). Lo que la FTC subrayó en su demanda no fue solo la brecha: fue que Illuminate había afirmado a los centros escolares que cifraba los datos de los estudiantes. No lo hacía. Los registros estaban almacenados en texto plano.
Los estados de Nueva York, California y Connecticut obtuvieron adicionalmente 5.1 millones de dólares de la empresa en un acuerdo separado en noviembre de 2025. Traducido a términos por estudiante afectado, eso equivale a aproximadamente 50 centavos por menor cuya información fue expuesta (https://stateofsurveillance.org/news/ftc-illuminate-education-10-million-students-data-breach-2026/). La cifra cuantifica, con cierta brutalidad, el valor económico que el sistema regulatorio actual asigna a la privacidad de los datos de un menor.
Lo que el perfil construye
El problema con los agentes de IA educativos no es solo la seguridad del almacenamiento de datos. Es lo que los datos permiten construir. En septiembre de 2025, la American Psychological Association compareció ante el Congreso para advertir que las revelaciones íntimas de los menores sobre su salud mental, su sexualidad y sus miedos personales están siendo registradas y analizadas para construir perfiles psicológicos permanentes, “convirtiendo sus vulnerabilidades en un activo comercial”. La APA (American Psychological Association) señaló explícitamente que los adolescentes son incapaces de proporcionar un consentimiento informado significativo para las prácticas de recopilación de datos “vastas y opacas” de las empresas de IA (https://www.apaservices.org/advocacy/news/chatbots-testimony).
En marzo de 2026, el senador Edward Markey introdujo la Youth AI Privacy Act, legislación que, de aprobarse, prohibiría a las empresas de chatbots usar datos personales de menores para entrenar modelos de IA o para construir perfiles de usuario, restringiría la memoria de los agentes a datos recientes para impedir la acumulación de perfiles a largo plazo, y prohibiría las funcionalidades diseñadas para fomentar el uso adictivo entre menores (https://www.markey.senate.gov/news/press-releases/markey-introduces-legislation-to-protect-children-from-privacy-and-safety-risks-posed-by-ai-chatbots). El proyecto de ley identifica con precisión el mecanismo que hace que el problema de los agentes de IA sea cualitativamente diferente del de las plataformas digitales anteriores: la memoria persistente y la capacidad de entrenamiento sobre conversaciones reales de usuarios reales son exactamente las características que hacen a estos sistemas más útiles y, justamente, las características que los convierten en el instrumento de recopilación de datos más íntimo que ha existido jamás en manos de menores.
La brecha entre el consentimiento y la comprensión
Hay una diferencia entre consentir y comprender. Los padres que aceptan los términos de uso de una plataforma educativa con IA han consentido, en el sentido legal del término, a una serie de prácticas que probablemente no comprenden. No es su culpa: las políticas de privacidad están redactadas para cumplir requisitos legales, no para informar decisiones. Un análisis de la ruta más común hacia el incumplimiento de COPPA en plataformas educativas señala que el problema más frecuente no es el código propio de la plataforma, sino los SDKs de terceros, herramientas de análisis, atribución, publicidad y testing, que recopilan datos por defecto y cuya presencia raramente se divulga de forma comprensible en los contratos con los centros escolares (https://blog.promise.legal/startup-central/coppa-compliance-in-2025-a-practical-guide-for-tech-edtech-and-kids-apps/).
Cuando un centro educativo firma un contrato con una plataforma EdTech, lo que firma bajo la excepción de “interés educativo legítimo”, es una autorización de acceso a los datos de sus estudiantes. La excepción existe para facilitar el uso de herramientas tecnológicas educativas. Pero el alcance de lo que esa excepción autoriza, y lo que las empresas hacen con él, raramente está delimitado con precisión suficiente como para que los padres, si pudieran leer el contrato, supieran realmente a qué se ha comprometido el centro en su nombre (https://aigovernancegroup.com/blog/bridging-edtech-education-compliance-gap).
El horizonte del problema
Lo que hace que este problema sea diferente de cualquier cuestión anterior de privacidad digital infantil no es su escala inmediata. Es su dimensión temporal. Un perfil conductual construido sobre años de interacción de un menor con agentes de IA educativos, sus patrones de aprendizaje, sus respuestas emocionales, sus inseguridades, sus intereses, sus relaciones sociales reflejadas en las conversaciones, es un activo de valor creciente. Hoy, ese valor es principalmente comercial: personalización publicitaria, segmentación de mercado, venta a mercaderes de datos. En un futuro cercano, en un entorno donde los modelos de IA sean cada vez más capaces de inferir rasgos de personalidad, predisposición a enfermedades, vulnerabilidades psicológicas o inclinaciones políticas a partir de patrones conductuales, ese perfil tendrá un potencial de uso que ningún padre está en condiciones de evaluar cuando acepta los términos de uso de una aplicación educativa.
El problema no es que las empresas sean necesariamente maliciosas. El problema es que el modelo de negocio dominante del sector tecnológico, datos como materia prima de valor, es estructuralmente incompatible con la protección de la privacidad de los menores, y que los marcos regulatorios actuales, por más que estén mejorando, van sistemáticamente por detrás de la velocidad a la que evolucionan las capacidades de los sistemas que pretenden regular. Esta asimetría no es una falla técnica. Es la condición de fondo en la que los menores de hoy están siendo formados como consumidores digitales del mañana.
Leer más
- Las nuevas webcams de Dell Technologies llegan con IA, reconocimiento facial y calidad de imagen 4K/2K
- La nueva IA de Elon Musk genera videos con audio y voces humanas en tiempo real
- Ambiciones en IA en riesgo: solo el 14% aprovecha plenamente la nube, según NTT DATA
