En els darrers mesos hem patit un veritable auge de la Intel·ligència Artificial (IA), on una gran quantitat de programes utilitzen aquesta tecnologia com a caràcter diferenciador. I és que la IA ja no és una idea futurista, sinó que actualment està present en nombrosos serveis, com assistents virtuals, eines de segmentació de clients, selecció de personal, etc. Els sistemes d’IA, en basar-se en dades, generen riscos que compliquen l’aplicació dels principis tradicionals del RGPD:
Minimització i Limitació de la Finalitat
Recopilació massiva de dades: Els models d’IA (especialment els basats en machine learning) requereixen grans volums de dades per optimitzar-ne el rendiment, fet que xoca amb el principi de minimització del RGPD (només tractar les dades estrictament necessàries).
Finalitat Indeterminada: L’entrenament dels models d’IA sovint utilitza dades per a finalitats que no són explícites o que evolucionen amb el temps, dificultant el compliment de la limitació de la finalitat definida a l’inici del tractament.
Transparència i Explicabilitat (Explainability)
Opacitat Algorítmica (Black Box): Molts sistemes d’IA, especialment les xarxes neuronals profundes, són tan complexos que resulta difícil explicar a una persona com es van utilitzar les seves dades per arribar a una decisió específica.
Dret d’Accés: Es complica el dret de l’interessat a saber exactament quines dades es van utilitzar, com van influir en la decisió automatitzada i a quines inferències (perfils) va portar l’algorisme.
Presa de Decisions Automatitzades i Biaixos
Decisions Sense Intervenció Humana: La IA es fa servir per prendre decisions (crèdits, selecció de personal, preus) sense intervenció humana. El RGPD atorga a la persona interessada el dret a no ser objecte d’una decisió basada únicament en el tractament automatitzat si produeix efectes jurídics o l’afecta significativament.
Biaixos i Discriminació: Si les dades utilitzades per entrenar la IA són parcials o reflecteixen biaixos històrics, el resultat algorítmic perpetuarà i amplificarà la discriminació, vulnerant els drets fonamentals de les persones.
Per mitigar aquests desafiaments, el RGPD força les empreses a adoptar mesures de responsabilitat proactiva (accountability) en el disseny de la IA:
Privadesa per Disseny i per Defecte (Privacy by Design)
Integració Inicial: La protecció de dades ha de ser una consideració essencial des del disseny i no un afegit d’última hora. Això implica fer servir tècniques com el xifratge, la pseudonimització o l’anonimització de les dades abans d’entrenar els models.
Dades Sintètiques: Utilitzar dades artificials que reflecteixen les propietats estadístiques de les dades reals, però sense contenir informació personal identificable.
Avaluacions d’Impacte (EIPD) com a obligació essencial
La llei exigeix realitzar una Avaluació d’Impacte en la Protecció de Dades (EIPD) abans d’implementar qualsevol sistema d’IA que pugui generar un alt risc per als drets i llibertats de les persones. És una eina clau per identificar i documentar els riscos.
Resposta a Incidents i Ciberseguretat
La IA, en gestionar grans volums de dades, augmenta el potencial de dany en cas de bretxa de seguretat. Les empreses han d’enfortir els seus protocols de ciberseguretat per protegir els datasets i comptar amb plans de notificació de bretxes en menys de 72 hores.
Col·laboració amb el DPO
La figura del Delegat de Protecció de Dades (DPO) esdevé essencial, ja que ha d’assessorar sobre els riscos de privadesa inherents al disseny i desplegament dels sistemes d’IA, actuant com un consultor clau en la presa de decisions.
Responsabilitat en l’ús de la IA
En cas d’incompliment de la normativa de protecció de dades, la responsabilitat recau en aquells que decideixen implementar IA en els seus processos; això és, l’empresa que decideix contractar un software que utilitza IA. No n’hi ha prou amb confiar en proveïdors o en el propi software; és necessari que el responsable del tractament dugui a terme una anàlisi que garanteixi el compliment dels principis del RGPD i la proporcionalitat del tractament de les dades.
Per aquest motiu, us recomanem que, abans d’implantar qualsevol sistema o aplicació d’IA a la vostra empresa, contacteu amb nosaltres per tal de verificar-ne l’abast i les implicacions jurídiques en matèria de protecció de dades.
Aquesta anàlisis prèvia ens permetrà determinar si és necessària la realització d’una avaluació d’impacte relativa a la protecció e dades, o si, per contra, el tractament pot ajustar-se als principis de protecció de dades sense requerir una auditoria prèvia.
Com sempre, ens posem a la vostra disposició per a qualsevol dubte o consulta que pugui sorgir en relació amb aquest àmbit.
Equip de Protecció de Dades – Sellarès Assessors
lopd@sellaresga.com
