Los responsables del tratamiento deben decidir la base jurídica legitimadora que utilizarán para el tratamiento antes de iniciarlo, documentar su decisión en un aviso de privacidad (junto con los fines) e incluir las razones por las que han tomado tales decisiones (véase la sección “Responsabilidad proactiva” en el capítulo “Principios”). En principio, deben elegir la base jurídica legitimadora que más se ajuste a la verdadera naturaleza de su relación con el individuo y a la finalidad del tratamiento. Esta decisión es clave, ya que no es posible cambiar la base jurídica legitimadora del tratamiento si no existen razones sólidas que lo justifiquen (véase el apartado “Limitación de la finalidad” en el capítulo “Principios”).

En principio, el consentimiento es una de las bases jurídicas más comunes para el tratamiento (véase la sección “Consentimiento” en el capítulo “Principales”). Sin embargo, conlleva ciertos riesgos. En particular, el consentimiento es siempre específico y para unos fines concretos. Por lo tanto, la “ampliación” de los fines del tratamiento más allá del consentimiento explícito de los interesados se convertirá en un tratamiento ilegal. Para determinar si el tratamiento posterior es compatible o no con el tratamiento original, los responsables deben utilizar los criterios incluidos en el artículo 6, apartado 4, del RGPD (véase la subsección “¿Cuándo son compatibles los fines?” en la sección “Limitación de la finalidad”). Como se ha mencionado, el tratamiento con fines de investigación científica o histórica o con fines estadísticos no se considerará incompatible con los fines iniciales (véase el apartado “Protección de datos e investigación científica” en la sección “Conceptos”).

Los motivos alternativos más comunes para el tratamiento de datos en IA son el interés legítimo, el cumplimiento de un contrato y la obligación legal o el interés vital. Todos ellos implican características específicas que deben analizarse cuidadosamente.