EdTech, e-learning y plataformas escolares

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
• Regulation (EU) 2024/1689 — AI Act, Annex III education
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA where content is hosted

Quién debe designarlo

Proveedores establecidos fuera de la Unión que ofrecen plataformas de aprendizaje, herramientas de evaluación o software de aula a escuelas, universidades o estudiantes en la UE. Las escuelas suelen ser responsables y el proveedor un procesador, pero los proveedores que utilizan datos para la mejora del producto o publicidad se convierten en responsables para esos fines y necesitan su propio representante.

Umbrales y exenciones

Sin umbral de RGPD. Bajo la Ley de IA, los sistemas utilizados para determinar el acceso a la educación, evaluar los resultados de aprendizaje, asignar estudiantes o monitorear comportamientos prohibidos durante las pruebas son de alto riesgo bajo el Anexo III, con obligaciones que se aplican a partir del 2 de agosto de 2026.

Qué debe figurar en la etiqueta

La identidad del representante en el aviso de privacidad y en la documentación contractual entregada a las escuelas. Donde se utiliza IA para la evaluación, la información de transparencia requerida por la Ley de IA, y la divulgación a los estudiantes de que están interactuando con un sistema de IA.

Campos en los marketplaces

La contratación pública en educación es donde esto se aplica en la práctica: ministerios y autoridades escolares en varios estados miembros han bloqueado o restringido plataformas debido a transferencias, telemetría y publicidad, y los cuestionarios de contratación ahora preguntan por el representante, el análisis de transferencia y la clasificación de IA.

Documentación que debes conservar

Registros del Artículo 30, términos de procesamiento del Artículo 28 con las escuelas, la designación del Artículo 27, una evaluación de impacto en la protección de datos que cubre los datos de los niños, documentación del mecanismo de transferencia, y una clara separación entre los datos procesados bajo las instrucciones de la escuela y los datos utilizados para los propios fines del proveedor. Para IA de alto riesgo: documentación técnica, gestión de riesgos, gobernanza de datos y la evaluación de conformidad.

Normas y ensayos

No aplicable a la plataforma, pero los sistemas de supervisión plantean problemas de precisión y discriminación que deben ser evidenciados, y la Ley de IA requiere que se declaren y prueben los niveles de precisión, robustez y ciberseguridad.

Requisitos lingüísticos

Información de privacidad en un formato que los niños puedan entender, en el idioma de los estudiantes, lo cual el Artículo 12 requiere explícitamente para la información dirigida a un niño.

Desde cuándo se aplica

El representante antes de que comience el procesamiento. Obligaciones de alto riesgo de la Ley de IA a partir del 2 de agosto de 2026.

Cuánto se conservan los documentos

Datos de los estudiantes solo por el período acordado con la escuela, con eliminación al finalizar. Retener datos después de que finalice un contrato para la mejora del producto es un hallazgo recurrente.

Qué ocurre si no cumples

Hasta 20 millones de euros o el 4% de la facturación, y este es un sector donde las autoridades han actuado de manera decisiva porque los sujetos de datos son niños y el consentimiento no se da libremente en un aula. Las sanciones de la Ley de IA se aplican además para sistemas de alto riesgo, hasta 15 millones de euros o el 3%.

Quién lo controla

Autoridades de protección de datos, ministerios de educación como tomadores de decisiones en la contratación, y autoridades de vigilancia del mercado de la Ley de IA a partir de 2026.

Dónde está el límite

La línea entre procesador y responsable es donde se pierden casos: la telemetría, la analítica de productos y cualquier publicidad hacen que el proveedor sea responsable para esos fines, independientemente del acuerdo de procesamiento. La supervisión que monitorea la cara de un estudiante, la habitación o las pulsaciones de teclas es IA de alto riesgo y, en algunos diseños, un sistema de reconocimiento de emociones, que está prohibido en la educación bajo el Artículo 5.

Las preguntas que nos hacen

La escuela es la responsable — ¿todavía necesitamos un representante?

Si procesas datos personales de estudiantes en la Unión como procesador bajo el Artículo 3(2), necesitas tu propio representante. Y para cualquier propósito que determines tú mismo, eres un responsable.

¿Se permite la supervisión con IA?

La supervisión durante las pruebas es de alto riesgo bajo el Anexo III. Los sistemas que infieren emociones en entornos educativos están prohibidos de manera absoluta bajo el Artículo 5, por lo que el diseño determina si está regulado o prohibido.