Guideline 5.1.2: IA de terceros, ATT y datos compartidos

La guideline 5.1.2 es la regla de Apple sobre el uso y el intercambio de datos personales. Su inciso (i) se resume en tres exigencias: decir qué datos salen, nombrar al tercero que los recibe, IA incluida, y obtener un consentimiento explícito antes del envío. Para el rastreo publicitario, ese consentimiento pasa obligatoriamente por la solicitud de App Tracking Transparency (ATT).

Recibí este rechazo con Clic, mi app que convierte un producto en slides con IA. Esta guía trata la IA de terceros, ATT y las etiquetas de privacidad. La política y las solicitudes de permisos corresponden a la guideline 5.1.1.

¿Qué dice la guideline 5.1.2?

La 5.1.2, "Data Use and Sharing", sigue a la 5.1.1 en la sección "Privacy" de las App Review Guidelines. Su inciso (i) concentra la mayoría de los rechazos. El texto vigente, actualizado el 8 de junio de 2026, dice entre otras cosas:

• "You must clearly disclose where personal data will be shared with third parties, including with third-party AI, and obtain explicit permission before doing so."
• "You must receive explicit permission from users via the App Tracking Transparency APIs to track their activity."
• La app no puede exigir que se active una función del sistema, como las notificaciones, la ubicación o el rastreo, para dar acceso a una función, a un contenido o a una recompensa.

En pocas palabras: no compartes nada sin haberlo dicho y sin consentimiento. La regla aclara que una app que comparte datos sin consentimiento puede ser retirada de la venta, y su desarrollador expulsado del programa.

Los demás incisos apuntan a casos más concretos:

Inciso	Lo que prohíbe
5.1.2(ii)	Reutilizar un dato para otro fin sin un nuevo consentimiento
5.1.2(iii)	Construir un perfil a escondidas o desanonimizar
5.1.2(iv)	Armar una base de contactos o listar las apps instaladas
5.1.2(v)	Contactar a personas desde los contactos sin que el usuario lo pida
5.1.2(vi)	Usar datos de salud, domótica o escaneo facial para marketing
5.1.2(vii)	Compartir los datos de Apple Pay fuera de la prestación del servicio

Lo que cambió para la IA de terceros

El 13 de noviembre de 2025, Apple precisó la 5.1.2(i) en una actualización de las reglas: hay que indicar claramente dónde se comparten datos personales con terceros, "including with third-party AI", y obtener un permiso explícito antes. La versión del 8 de junio de 2026 mantiene esa frase.

Un mensaje de rechazo publicado en febrero de 2026 en el foro de Apple detalla lo que esperan. La app "does not clearly explain what data is sent, identify who the data is sent to, and ask the user's permission before sharing the data". El mismo mensaje pide que la política de privacidad también mencione ese intercambio con una IA de terceros.

Pasar por tu servidor no cambia nada: si tu servidor envía la foto a OpenAI, la foto termina en OpenAI. La arquitectura de la guía sobre claves API en una app Expo protege tu clave, no al usuario. El consentimiento sigue siendo necesario.

Mi rechazo con Clic: la pantalla estaba, la política no

El 16 de septiembre de 2026, Apple rechaza Clic citando la 5.1.1(i) y la 5.1.2(i). Sin embargo, la pantalla de consentimiento para la IA estaba en la app, y el revisor la había pasado: su cuenta anónima y sus generaciones aparecían en la base de datos antes del rechazo. Lo que faltaba estaba en línea: la política publicada era la versión antigua, que solo nombraba a OpenAI una vez.

La corrección, sin nuevo build: una política que nombra a OpenAI, en Estados Unidos, y enumera por modo lo que se le envía. A eso se suman los proveedores posibles cuando el usuario conecta sus propias claves API, el compromiso de que cada proveedor protege los datos al menos tanto como la política, y un resumen en inglés para el revisor. El mismo envío volvió a salir el 21 de septiembre de 2026, con las notas para la revisión actualizadas.

La pantalla de consentimiento de Clic, palabra por palabra

Esto es lo que aparece antes de la primera generación. Sirve de modelo: reemplaza el proveedor y la lista por los tuyos.

• Antetítulo, en mayúsculas: "Antes de tu primera generación".
• Título: "Clic crea tus slides con la IA de OpenAI".
• Texto: "Para analizar tu producto y generar tus imágenes, Clic envía estos elementos a OpenAI, su proveedor de IA:".
• Lista: "Tus respuestas al brief y los enlaces que agregues"; "Las fotos que importes, incluidos el avatar y las referencias"; "Las imágenes generadas, guardadas en el servidor de Clic para tus carpetas".
• Una nota: "Con tus propias claves API, estos elementos van al proveedor que conectaste."
• Un enlace a la política de privacidad.
• Dos botones: "Acepto y continúo" y "Rechazar".

Si el usuario rechaza, la app muestra "No se envió nada" y la pantalla vuelve en el siguiente intento. Para retirar su consentimiento, borra sus datos desde los ajustes, como lo exige la 5.1.1(ii): la pantalla vuelve antes de cualquier nuevo envío.

No confundas esta pantalla con la que precede a un permiso del sistema. Antes de una solicitud de acceso a la cámara, Apple quiere un solo botón, "Continuar", que abre la solicitud de iOS, según sus reglas de diseño. El consentimiento para la IA no tiene una solicitud del sistema detrás. Es tu pantalla la que recoge el consentimiento: necesita una elección real, aceptar o rechazar.

Última trampa: el revisor tiene que ver la pantalla. A un desarrollador lo rechazaron varias veces porque su pantalla dependía de un indicador mal configurado, según su hilo en el foro: "We were not presented with the consent prompt on launch or anywhere else in the app." Prueba en una instalación nueva y explica en las notas para la revisión cuándo aparece la pantalla.

ATT: cuándo es obligatoria la solicitud de rastreo

Para Apple, rastrear significa vincular los datos de tu app con datos provenientes de apps, sitios web o lugares de otras empresas, para publicidad dirigida o medición publicitaria. Compartir datos con un data broker también cuenta. La definición está en la página User Privacy and Data Use.

En cuanto tu app, o un SDK que hayas incluido, hace eso:

• la solicitud del framework App Tracking Transparency va antes de cualquier recolección que sirva para el rastreo;
• la clave NSUserTrackingUsageDescription explica por qué, y si falta pueden descartar el build, como explico en la guía ITMS-90683;
• sin consentimiento, el identificador publicitario vale cero, y no rastreas al usuario de otra forma: Apple prohíbe derivar datos del dispositivo para identificarlo;
• respondes por los SDK que incluyes: "Developers are responsible for all code included in their apps."

No puedes exigir el rastreo para desbloquear una función o una recompensa: la 5.1.2(i) lo prohíbe. Las preguntas frecuentes de Apple sobre ATT responden "No" a esa pregunta, remitiendo a la misma regla. En cambio, sí puedes explicar por qué pides el rastreo antes de mostrar la solicitud, siempre que seas transparente.

El caso típico de rechazo: la app recolecta datos de rastreo sin mostrar nunca la solicitud ATT. En un mensaje de rechazo publicado, Apple propone dos salidas. O declarar el rastreo en App Store Connect y agregar la solicitud ATT antes de cualquier recolección, indicando en las notas para la revisión dónde aparece. O eliminar el rastreo.

En la Unión Europea, Apple anuncia otra versión de la solicitud a partir de iOS 27.2. En Francia, Alemania, Italia, Polonia y Rumania, solo estará disponible esa versión. Los casos en que el consentimiento es obligatorio no cambian.

Las etiquetas de privacidad en App Store Connect

La sección App Privacy completa las etiquetas de tu ficha: datos recolectados, vinculados al usuario, usados para rastreo. Las reglas están en la página App Privacy Details. Tres puntos importan para una app con IA:

• También declaras lo que recolectan tus socios: SDK de analytics, redes publicitarias, proveedores externos cuyo código está en tu app.
• Recolectar tiene un significado preciso: enviar el dato fuera del dispositivo y conservarlo más tiempo del necesario para responder a la solicitud. Las imágenes que guarda tu servidor están recolectadas. Si tienes dudas sobre lo que conserva tu proveedor de IA, decláralo.
• Puedes corregir en cualquier momento: "you do not need to submit an app update in order to change your answers". Un rechazo que solo tiene que ver con las etiquetas se resuelve entonces sin build.

Qué consentimiento para qué tercero

La tabla que aplico en mis apps. No reemplaza ni el texto de Apple ni el RGPD.

Tercero que recibe el dato	Consentimiento que hay que pedir	Dónde declararlo
IA de terceros: OpenAI, Gemini, Claude	Tu pantalla de consentimiento, antes del primer envío	Política, etiquetas, notas para la revisión
Analytics y diagnóstico, sin publicidad	Consentimiento para la recolección, 5.1.1(ii), y RGPD	Política y etiquetas
Red publicitaria o atribución vinculada a otras apps	Solicitud ATT antes de cualquier recolección de rastreo	Etiquetas de "rastreo", texto ATT, política
Data broker	Solicitud ATT	Etiquetas de "rastreo" y política

Para completarla, parte del código, no de tu memoria: enumera cada llamada de red de la app y de tu servidor, con el dato enviado, el destinatario y el propósito. Para la política en sí, el método está en política de privacidad de una aplicación.

Qué responderle a Apple después de un rechazo 5.1.2

Dos casos. Si la causa está en línea, política o etiquetas, corriges, respondes y el mismo envío vuelve a salir sin build: es lo que hice con Clic. Si la causa está en la app, pantalla ausente o envío antes del consentimiento, necesitas un nuevo build.

Si tu app no envía nada a una IA de terceros, el mensaje de Apple contempla ese caso: responde para confirmarlo y agrega la información en la sección App Review Information de App Store Connect.

Si no, responde en inglés, contestando el mensaje de App Review. Plantilla para adaptar, aquí para una app como Clic:

Hello,

Thank you for your review.

The app sends the user's brief, imported photos and
generated images to OpenAI, a third-party AI service,
to create slides.

- Before the first AI request, a dedicated screen names
  OpenAI, lists the data sent and asks for explicit
  consent. Nothing is sent if the user declines.
- The privacy policy describes this sharing, with an
  English summary: [URL]
- The App Privacy information in App Store Connect matches.

How to verify: install the app and start a first
generation. The consent screen appears before any data
is sent.

Best regards,

La checklist 5.1.2 antes de enviar

• Cada tercero que recibe un dato personal está nombrado, IA incluida.
• La pantalla de consentimiento aparece antes del primer envío, nombra al proveedor y enumera los datos.
• Rechazar no envía nada, y la app lo dice.
• El consentimiento se puede retirar desde la app.
• La pantalla aparece en una instalación nueva, y las notas para la revisión dicen dónde.
• La política en línea y las etiquetas describen los mismos envíos, socios incluidos.
• Si la app o un SDK rastrea al usuario, la solicitud ATT va antes de cualquier recolección de rastreo.
• Ninguna función ni recompensa depende del rastreo ni de las notificaciones.

Revisar tu expediente antes que Apple

El Apple Review Kit reúne mi checklist previa al envío, mis rechazos corregidos y dos skills de Claude Code que revisan tu proyecto y tu ficha, y luego preparan tu respuesta si Apple te rechaza. Si quieres una mirada humana, reserva una hora conmigo: comparamos juntos tu app, tu política y tus etiquetas. El proceso completo está en la página aplicación rechazada por Apple, y los otros motivos frecuentes en por qué Apple rechaza una app.

Si estás preparando tu primer lanzamiento, haz tu diagnóstico gratuito: pone los pasos en orden y te envía mi checklist antirrechazo de Apple. La página de inicio muestra cómo crear una aplicación móvil con IA, sin olvidar lo que verifica la revisión.

Nadie puede garantizar que Apple acepte tu app. Lo que sí puedo hacer es ayudarte a evitar un rechazo 5.1.2 que ya me costó un ciclo de revisión.

Preguntas frecuentes

¿Qué significa "Guideline 5.1.2(i) - Legal - Privacy - Data Use and Sharing"?

Es el título completo de la regla en el mensaje de Apple. Señala que se compartieron datos personales sin información clara o sin consentimiento: con una IA de terceros, un SDK publicitario u otro servicio. Suele llegar junto con la 5.1.1(i), que trata sobre la política de privacidad.

¿Hace falta consentimiento para usar la API de OpenAI en una app?

Sí, en cuanto salen datos personales hacia OpenAI: lo que escribe el usuario, sus fotos, su voz, sus documentos. Desde noviembre de 2025, la regla menciona expresamente la IA de terceros. Nombra al proveedor, di qué se envía y obtén un consentimiento explícito antes del primer envío, aunque la llamada pase por tu servidor.

¿Hay que declarar una IA que funciona en el iPhone?

Si nada sale del dispositivo, no hay intercambio con un tercero, así que no hace falta consentimiento según la 5.1.2(i), en mi opinión. Apple no lo ha escrito de forma explícita. En cuanto una parte del procesamiento va a un proveedor, aplica la regla de la IA de terceros.

¿Se puede obligar al usuario a aceptar el rastreo para desbloquear una función?

No. La 5.1.2(i) prohíbe exigir que se active el rastreo, las notificaciones o la ubicación para acceder a una función, a un contenido o a una recompensa. La solicitud ATT debe ser una elección real, y la app respeta un rechazo.

¿Hace falta un nuevo build después de un rechazo 5.1.2?

No siempre. Una política incompleta o etiquetas incorrectas se corrigen en línea, y el mismo envío vuelve a salir. Una pantalla de consentimiento ausente o colocada después del envío requiere un nuevo build.

¿Qué diferencia hay entre la 5.1.1 y la 5.1.2?

La 5.1.1 trata sobre la recolección y el almacenamiento: política de privacidad, permisos, cuenta. La 5.1.2 trata sobre lo que haces después con los datos: compartirlos con terceros, IA incluida, rastreo publicitario, reutilización. Un mismo rechazo suele citar ambas.