Como colofón a las entradas que hemos dedicado esta semana a diferentes aplicaciones sectoriales de la IA, nos parece que es pertinente recordar, por su importancia, el Documento que publicó la AEPD, en febrero del año 2020, sobre la “Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción”, dando cuenta telegráfica de su extenso e intenso contenido -de 52 páginas- porque consideramos que mantiene un indudable interés, a pesar del tiempo transcurrido desde su publicación.
Procede advertir a los lectores, desde este mismo momento, que su contenido debe ser actualizado a noviembre de 2025 porque este Documento esta datado a principios del año 2020 y -como ya hemos señalado en la entrada del miércoles- y la velocidad relativa del progreso de la IA convierte un periodo de cinco años en el equivalente a 50 años o incluso a un siglo. Basta con constatar que habrían de transcurrir 4 años y seis meses para que entrara en vigor, el 1 de agosto de 2024, la LEIA.
A) Finalidad
El “Resumen Ejecutivo” del Documento (pág.2) comenzaba precisando su finalidad al decir: “Este documento tiene como objetivo ser una primera aproximación para la adecuación al Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) de productos y servicios que incluyan componentes de Inteligencia Artificial. Bajo la etiqueta “Inteligencia Artificial”, o IA, subyacen muchos tipos de soluciones que emplean distintas técnicas, destacando entre ellas las basadas en aprendizaje automático”.
Después y en función de dicho objetivo, anunciaba su contenido: “En el documento se prestará especial atención, entre otros, a la legitimación para el tratamiento, la información y transparencia, el ejercicio de derechos, las decisiones automatizadas, la exactitud, la minimización de datos, la evaluación de impacto y el análisis de la proporcionalidad del tratamiento”.
Acababa esta presentación identificando a sus destinatarios: “El texto está dirigido a responsables que incluyan componentes de IA en sus tratamientos, así como desarrolladores, encargados u otros, que den soporte a dichos tratamientos”.
En sus conclusiones (pág.49), el Documento -en un ejercicio de honestidad intelectual- advertía: “Este documento pretende ser una mera introducción a la adecuación de los tratamientos que incluyan componentes de IA y no cubre todas las posibilidades y riesgos que se pueden derivar del empleo de soluciones en IA en tratamientos de datos personales”
B) Contenido
El Documento de la AEPD sobre la “Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción” estructuraba su contenido en ocho epígrafes que trataban de:
a) La “introducción al marco IA y protección de datos” (págs.5 a 16) donde trataba de las técnicas de IA, los tratamientos con componentes de IA, la protección de datos y la dimensión ética, las definiciones relevantes en el RGPD (dato personal, seudonimización y anonimización, categorías especiales de datos, tratamiento, perfilado, decisiones automatizadas, usuarios de la solución IA, responsable, corresponsable, encargado, y excepción doméstica), el ciclo de vida de una solución IA, el tratamientos de datos personales usando IA, la evaluación de las soluciones y un breve resumen de obligaciones que establece el RGPD.
b) Los “roles, relaciones y responsables” (págs.17 a 19) donde señalaba: “Uno de los aspectos claves del RGPD, y capital para determinar la correcta aplicación de las políticas de accountability y transparencia, es que estén claramente identificadas las responsabilidades en el tratamiento. En las distintas etapas del ciclo de vida de un componente IA será responsable del tratamiento de datos personales aquella persona física, jurídica, autoridad pública u otro que tome la decisión de realizar el tratamiento de datos personales, como se ha definido anteriormente. Por lo tanto, distintas responsabilidades implicarán distintas obligaciones en el marco del tratamiento. Es posible que dicho responsable contrate a terceras partes para realizar, en su nombre y bajo sus instrucciones, diferentes tareas. Dichos terceros tendrán el carácter de encargados de tratamiento siempre y cuando todo tratamiento de datos personales lo realicen bajo las instrucciones de ese responsable. Cualquier otro tratamiento adicional sobre dichos datos que puedan llegar a realizar para sus propios fines los convertirá en responsables para esos tratamientos. Asimismo, en las distintas etapas pueden intervenir distintos responsables y encargados, además de plantearse situaciones de comunicaciones de datos entre responsables: (…)”.
c) El “cumplimiento” (págs.20 a 29) donde trataba de la legitimación y limitación del tratamiento (detallando el interés legítimo, las categorías especiales y los tratamientos con fines compatibles), la información significativa sobre la lógica aplicada, algunas generalidades sobre los ejercicios de derechos de acceso, de supresión y de rectificación, la portabilidad y la toma de decisiones basadas únicamente en un tratamiento automatizado.
d) La “gestión del riesgo para los derechos y libertades” (pág.30 a 47) donde analizaba la evaluación del Nivel de Riesgo y del Impacto de la Privacidad (EIPD), la transparencia (durante la etapa de entrenamiento, la certificación, las decisiones automatizadas y elaboración de perfiles, el personal del responsable y el Delegado de Protección de Datos como herramienta de transparencia), la exactitud (incluyendo los factores que influyen en la exactitud, la información biométrica, la combinación de perfilados, la verificación vs. validación y la garantía de exactitud como un proceso continuo), la minimización (abarcando los datos de entrenamiento, las técnicas de minimización, la extensión de las categorías de datos en la solución IA y del conjunto de entrenamiento y los datos personales en la solución IA), la seguridad (incluyendo las amenazas específicas en componentes IA y los “logs” o registros de actividad), la evaluación de la proporcionalidad y necesidad de dicho tratamiento y la auditoría.
e) Las “transferencias internacionales” (ág.49) donde señalaba: “El desarrollo o despliegue de un componente de IA basado en servicios en la Nube, la comunicación de los datos de los usuarios a terceros para evolucionar el modelo de IA, o la distribución de componente de IA en el caso de que existan datos personales inherentes al modelo, pueden implicar flujos transfronterizos de datos a terceros países. No tienen consideración de transferencia internacional de datos los flujos de datos que se producen dentro del marco del Espacio Común Europeo (los Estados de la Unión Europea más Islandia, Noruega y Liechtenstein). Dichas transferencias han de aplicar las garantías que se establecen en el Capítulo V del RGPD “Transferencias de datos personales a terceros países u organizaciones internacionales”. Especialmente importante es establecer mecanismos para permitir que las contrataciones que se realicen en este contexto de transferencias internacionales se gestionen con fluidez, asegurando al mismo tiempo que el cliente responsable tiene información suficiente sobre los contratistas, o potenciales contratistas, y mantiene la capacidad de tomar decisiones. Cuando existen transferencias internacionales hay que informar a los interesados en los términos del art. 13 y 14 del RGPD e incluirlo en el registro de actividades de tratamiento”.
f) Las “conclusiones” que detallaremos en el apartado siguiente.
g) Las “referencias” documentales y bibliográficas (pags.50 a 52) que se ordenan en función de su relevancia a la hora de elaborar el documento
h) Un Anexo en el que enumeraba los siguientes servicios actuales basados en IA en una lista que no pretendía ser exhaustiva y que resulta útil para ilustrar la extensión de los servicios que se estaban prestando basándose en IA:
h.1) Servicios de Internet (captchas, chatbots, detección de fraude, personalización de anuncios).
h.2) Recursos humanos (selección de candidatos).
h.3) Servicios financieros (predicción de hipotecas en base al análisis del perfil del cliente, monitorización de transacciones para detectar actividades fraudulentas basándose en los hábitos de consumo, inversión financiera automática).
h.4) Salud y Sanidad (diagnóstico basado en el análisis de imágenes, predicción de tasas de readmisión de pacientes en base al análisis de los datos, mapas sanitarios, análisis de salud mental, prevención de suicidios, chatbots de salud mental, predicción de riesgo basado en parámetros analíticos, diagnóstico por análisis de muestra patológica, procesamiento del lenguaje natural de historias clínicas, análisis genético, electrodiagnóstico, desarrollo de vacunas y medicamentos).
h.5) Comercio y comunicación (recomendaciones de productos basándose en el perfil del cliente y en el análisis de sus compras, maximizar el alcance de productos y servicios a un grupo de clientes, agentes de viaje virtuales, monitorización de redes sociales).
h.6) Servicios públicos y suministros (contadores inteligentes y predicción de la demanda de consumo de los clientes, estimación del coste de determinados servicios de mantenimiento, asignación de tratamientos en el sistema público de sanidad, tratamiento automático de multas, soporte a la decisión en administración de justicia).
h.7) Transporte (vehículos autónomos, semáforos inteligentes, optimización de las rutas y horarios de los servicios públicos de transporte).
h.8) Educación (contenido y formación personalizada a las necesidades del alumnado, corrección de exámenes, detección de plagio o fraude en trabajos, tutorización automática, detección de estudiantes anómalos).
h.9) Seguridad (reconocimiento facial, huellas dactilares, detección de comportamiento, control de fronteras, análisis de indicio de engaño, análisis de registros de actividad, detección de intrusiones, análisis de comunicaciones).
h.10) Hogar (asistentes inteligentes, espejos inteligentes, electrodomésticos, seguridad).
h.11) Otros (herramientas de dibujo, ayudas a la creación artística, optimización de programas de entrenamiento deportivo).
C) Conclusiones
En su documento, la AEPD alcanzaba algunas conclusiones (pag.49) que nos parecen particularmente útiles -e incluso, en algunos casos, proféticas– en la actualidad, por lo que pasamos a reproducirlas, sistematizándolas:
a) Sobre las garantías de calidad y seguridad en general, decía: “La puesta en el mercado, para entidades y consumidores en general, de tratamientos que incluyan soluciones basadas en tecnologías disruptivas, como las basadas en componentes IA, exige que se implementen garantías de calidad y seguridad. La disponibilidad de una tecnología o su novedad no es razón suficiente para comercializar productos que no cumplan con un nivel adecuado de calidad de servicio, especialmente cuando estos requisitos están establecidos en una norma”.
b) Sobre la seguridad jurídica en general, decía: “Los investigadores y la industria basada en IA necesitan guías y ayudas que les sirvan de apoyo en el cumplimiento normativo y les aporte seguridad jurídica en sus proyectos, productos y servicios”.
c) Sobre los riesgos en la protección de datos personales en especial, decía: “El cumplimiento de lo establecido en el RGPD exige cierto nivel de madurez a las soluciones IA que permita determinar de forma objetiva la adecuación de los tratamientos y la existencia de avales y medidas para gestionar sus riesgos. Para estos riesgos, la tecnología en general, y en particular las tecnologías de IA, puede tener un efecto multiplicador de las carencias éticas que ya están presentes en la sociedad o aquellas que se arrastran desde el pasado y que están registradas en datos históricos. La aplicación del RGPD y de las garantías que incorpora permite minimizar dichos riesgos”.
d) Sobre el empleo de estrategias de transparencia, gestión del riesgo y mecanismos de auditoría y certificación, decía: “No sólo permitirán el cumplimiento de lo establecido en el RGPD, sino que mejorarán la confianza de los usuarios en los productos y servicios basados en IA, además de abrir un nuevo mercado en este sector de actividad: ingenieros de privacidad, auditores, esquemas de certificación, profesionales acreditados, etc. Estas nuevas oportunidades de desarrollo se extienden también a la creación de esquemas de portabilidad”.
e) Sobre los eventuales beneficios de la IA para la protección de datos personales, decía: “Las aplicaciones de IA pueden suponer un gran apoyo para proteger la privacidad e implementar mecanismos que aseguren la protección de datos”.
f) Sobre el uso y el abuso de la IA, decía: “Para finalizar, hay que subrayar que uno de los principales problemas de las soluciones de IA no es la IA en sí, sino cómo van a usar las personas la tecnología IA y los nuevos sesgos psicológicos que se derivan de su empleo. En particular, es necesario prestar especial atención a atribuir responsabilidades a componentes IA sin supervisión y sin adoptar una posición crítica. La delegación de la toma de decisiones a máquinas no es nueva; ya ocurre con los algoritmos deterministas, pero el sesgo de atribuir una autoridad o peso superior a un resultado inferido por una solución de IA puede hacer incrementar los riesgos derivados de esta delegación de responsabilidad”.