En los últimos meses hemos vivido un verdadero auge de la Inteligencia Artificial (IA), donde una gran cantidad de programas utilizan esta tecnología como elemento diferenciador. Y es que la IA ya no es una idea futurista, sino que actualmente está presente en numerosos servicios, como asistentes virtuales, herramientas de segmentación de clientes, selección de personal, etc.
Los sistemas de IA, al basarse en datos, generan riesgos que complican la aplicación de los principios tradicionales del RGPD:
Minimización y Limitación de la Finalidad
Recopilación masiva de datos: Los modelos de IA (especialmente los basados en machine learning) requieren grandes volúmenes de datos para optimizar su rendimiento, lo que choca con el principio de minimización del RGPD (solo tratar los datos estrictamente necesarios).
Finalidad indeterminada: El entrenamiento de modelos de IA a menudo utiliza datos para finalidades que no son explícitas o que evolucionan con el tiempo, dificultando el cumplimiento de la limitación de finalidad definida al inicio del tratamiento.
Transparencia y Explicabilidad (Explainability)
Opacidad algorítmica (Black Box): Muchos sistemas de IA, especialmente las redes neuronales profundas, son tan complejos que resulta difícil explicar a una persona cómo se han utilizado sus datos para llegar a una decisión específica.
Derecho de acceso: Se complica el derecho del interesado a saber exactamente qué datos se utilizaron, cómo influyeron en la decisión automatizada y qué inferencias (perfiles) generó el algoritmo.
Toma de decisiones automatizadas y sesgos
Decisiones sin intervención humana: La IA se utiliza para tomar decisiones (créditos, selección de personal, precios) sin intervención humana. El RGPD otorga a la persona interesada el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado si produce efectos jurídicos o le afecta significativamente.
Sesgos y discriminación: Si los datos utilizados para entrenar la IA son parciales o reflejan sesgos históricos, el resultado algorítmico perpetuará y amplificará la discriminación, vulnerando los derechos fundamentales de las personas.
Para mitigar estos desafíos, el RGPD obliga a las empresas a adoptar medidas de responsabilidad proactiva (accountability) en el diseño de la IA:
Privacidad desde el Diseño y por Defecto (Privacy by Design)
Integración inicial: La protección de datos debe ser una consideración esencial desde el diseño y no un añadido de última hora. Esto implica utilizar técnicas como el cifrado, la seudonimización o la anonimización de los datos antes de entrenar los modelos.
Datos sintéticos: Emplear datos artificiales que reflejan las propiedades estadísticas de los datos reales, pero sin contener información personal identificable.
Evaluaciones de Impacto (EIPD) como obligación esencial
La ley exige realizar una Evaluación de Impacto en la Protección de Datos (EIPD) antes de implementar cualquier sistema de IA que pueda generar un alto riesgo para los derechos y libertades de las personas. Es una herramienta clave para identificar y documentar los riesgos.
Respuesta a incidentes y ciberseguridad
La IA, al gestionar grandes volúmenes de datos, aumenta el potencial de daño en caso de brecha de seguridad. Las empresas deben reforzar sus protocolos de ciberseguridad para proteger los datasets y contar con planes de notificación de brechas en menos de 72 horas.
Colaboración con el DPO
La figura del Delegado de Protección de Datos (DPO) se vuelve esencial, ya que debe asesorar sobre los riesgos de privacidad inherentes al diseño y despliegue de sistemas de IA, actuando como un consultor clave en la toma de decisiones.
Responsabilidad en el uso de la IA
En caso de incumplimiento de la normativa de protección de datos, la responsabilidad recae en quienes deciden implementar IA en sus procesos; es decir, la empresa que decide contratar un software que utiliza IA. No basta con confiar en proveedores o en el propio software; es necesario que el responsable del tratamiento lleve a cabo un análisis que garantice el cumplimiento de los principios del RGPD y la proporcionalidad del tratamiento de los datos.
Por este motivo, os recomendamos que, antes de implantar cualquier sistema o aplicación de IA en vuestra empresa, contactéis con nosotros para verificar su alcance y sus implicaciones jurídicas en materia de protección de datos.
Este análisis previo nos permitirá determinar si es necesaria la realización de una evaluación de impacto relativa a la protección de datos, o si, por el contrario, el tratamiento puede ajustarse a los principios de protección de datos sin requerir una auditoría previa.
Como siempre, quedamos a vuestra disposición para cualquier duda o consulta que pueda surgir en relación con este ámbito.
Equipo de Protección de Datos – Sellarès Assessors
lopd@sellaresga.com
