Cómo adaptar las herramientas de IA a la ley de protección de datos
Como continuación a la entrada de este blog en la que tratábamos el tema del Impacto de la IA en el Tratamiento de los Datos Personales, nos planteamos ahora cuáles son los principales hitos a tener en cuenta a la hora de adaptar el uso de la IA a la normativa protectora del tratamiento de datos personales.
Para sistematizar adecuadamente la respuesta, entendemos que en este apartado debemos de tener en cuenta los siguientes fundamentales subapartados:
- a- La base legitimadora.
- b- Los principios de la protección de datos.
- c- El papel del DPO
- d- Relación entre el responsable y el encargado de tratamiento
- e- El RAT
- f- Transferencias internacionales de datos
- g- Brechas de seguridad
- h- Derechos de los interesados
a.- La base legitimadora. El tratamiento de datos personales siempre debe contar con el respaldo de normas jurídicas que lo respalden y legitimen, y ello debe ser así desde el principio y durante toda la vida del procesamiento de datos personales, permitiendo comprobar que en todo momento o se cuenta con el consentimiento de los interesados, o se pueden identificar los fines legítimos perseguidos por la entidad responsable, o que se cumplen las obligaciones previstas en una determinada ley.
b.- Los principios de la protección de datos.
- Limitación: Como en cualquier otro ámbito, en la IA los distintos tratamientos de datos personales siempre se realizan para cumplir con finalidades concretas, específicas y legítimas, acerca de las cuales el interesado casi siempre debe de prestar su consentimiento, o deben cumplir con exigencias previstas en una determinada Ley que les es de aplicación o servir a determinados intereses legítimos de la entidad responsable. Estos aspectos siempre deben ser informados a los interesados. Los tratamientos nunca pueden desviarse de los indicados fines. En el mismo sentido, el principio de limitación del tratamiento requiere que los datos personales se mantendrán durante un tiempo no superior al necesario para los fines para los cuales fueron obtenidos y son utilizados, transcurrido el cual se eliminarán.
- Precisión: este principio establece que la información personal debe ser correcta, válida y estar actualizada, reflejando fielmente la realidad del individuo, y obliga a rectificar o suprimir sin demora los datos inexactos para evitar errores, pérdidas financieras o incumplimientos normativos, siendo un pilar del principio de calidad en la protección de datos. Por tanto, los datos usados por el sistema o herramienta de IA deben ser precisos y exactos. Los usuarios de la IA adoptarán un papel vigilante para que la misma no se nutra de datos inexactos.
- Procesamiento seguro: Un sistema o herramienta de IA debe de aplicar las medidas de seguridad que resulten precisas y adecuadas para prevenir y eliminar riesgos tales como, entre muchos otros:
o Recopilación de datos sensibles.
o Recopilación de datos sin consentimiento.
o Uso de datos sin permiso.
o Vigilancia sin control y parcialidad.
o Exfiltración de datos.
o Fuga de datos.
- Responsabilidad proactiva o accountability: La responsabilidad proactiva en protección de datos, o accountability, es la obligación de que las organizaciones no solo cumplan la normativa vigente de protección de datos personales, sino que demuestren activamente que lo hacen, aplicando medidas técnicas y organizativas adecuadas para garantizar la privacidad y seguridad de los datos personales desde el diseño y por defecto, anticipándose a los riesgos y manteniendo una cultura de protección de datos dentro de la entidad responsable.
En la práctica, implica:
- Actitud consciente y preventiva: No esperar a que ocurra una brecha, sino identificar y mitigar riesgos antes de que sucedan.
- Medidas técnicas y organizativas: Implementar controles como cifrado, seudonimización, control de accesos, etc..
- Demostración del cumplimiento: Poder probar a las autoridades y a los interesados que se cumplen las normas, mediante herramientas como:
o Registros de actividades de tratamiento (RAT).
o Evaluaciones de Impacto (EIPD).
o Nombramiento de un Delegado de Protección de Datos (DPO).
o Privacidad desde el diseño y por defecto.
- Cultura de datos: Integrar la protección de datos en el ADN de la empresa y comprometer a todo el personal. Realizar periódicas labores de formación.
En relación a todo lo anterior, e incluso con mayor motivo, dada la modernidad y los riesgos existentes, en el contexto de la inteligencia artificial y protección de datos, responsables y encargados deben rendir cuentas tanto a los reguladores como a las personas, por lo que deben estar muy comprometidos con el cumplimiento del principio de la responsabilidad proactiva.
- Transparencia: Los interesados deben ser informados del uso de sistemas de IA en el tratamiento de sus datos. Esta es la información que se les debe facilitar:
o Si podrán ser re-identificados a partir de los datos usados por el modelo de IA en su fase de entrenamiento
o Detalle y relevancia de los datos utilizados para la toma de decisiones.
o Calidad de los datos de entrenamiento y patrones.
o Perfilados realizados.
o Valores de precisión o error según la métrica aplicada para determinar la inferencia.
o Supervisión humana cualificada (en su caso).
o Auditorías y certificación del sistema.
o Presencia de datos de terceros, prohibiciones y sanciones previstas.
c.- El papel del Delegado de Protección de Datos
Dado que el uso de sistemas de IA suele implicar el procesamiento de datos a gran escala, la gran elaboración de perfiles, el control regular y sistemático a gran escala de individuos, el planteamiento de muchas consultas, la necesidad de formación en el ámbito de la entidad, etc., será necesario que responsables y encargados designen un DPO que cuente con la cualificación y conocimientos precisos.
d.- Relación entre responsable y encargado del tratamiento
Al igual que en cualquier otro ámbito, en el contexto de la inteligencia artificial y la protección de datos, la relación entre responsable y encargado debe reflejarse adecuadamente en el contrato que les une (Art. 28 RGPD y Art. 33 de la LOPD y GDD).
Por ejemplo, un encargado puede entrenar un algoritmo bajo las instrucciones de un responsable. Será el contrato el que garantice que el sistema de IA se diseñará y operará exclusivamente siguiendo las instrucciones que el responsable proporcione en cada momento al encargado.
e.- Registro de actividades de tratamiento
Responsables y encargados tendrán que elaborar un registro de actividades de tratamiento si emplean sistemas de IA, en el que se incluirán, entre otra información, los datos que se tratan, los propósitos o fines de uso de la IA y las medidas de seguridad adoptadas para evitar o mitigar riesgos. Si los propósitos o los fines cambian, el RAT deberá actualizarse, lo que se tendrá en cuenta en los mantenimientos y auditorías del plan de protección de datos personales de la entidad.
f.- Transferencias internacionales de datos
Si se transfieren datos personales fuera de la UE o el EEE (Espacio Económico Europeo), incluso cuando solo sea para entrenar un sistema de IA, será necesario aplicar las garantías necesarias, e informar a los interesados de tales circunstancias.
g.- Brechas de seguridad
Siempre que haya una violación que involucre datos personales procesados por un sistema de IA, ya sea en la capacitación o en la fase de uso, el responsable debe informar a la AEPD sobre la infracción ocurrida. Esta notificación debe realizarse en un plazo no superior a 72 horas. Se tendrá en cuenta si la infracción vulnera los derechos y libertades de los interesados, al objeto de comunicar la brecha igualmente a los mismos y adoptar medidas correctoras adicionales.
h.- Derechos de los interesados
El diseño de las herramientas de IA obliga a los responsables de tratamiento a informar acerca de cómo los interesados pueden ejercitar sus derechos de protección de datos (derecho de acceso, de rectificación, de supresión, de limitación, de portabilidad y de oposición) y a atender y responder a las solicitudes de derechos de los interesados en la forma y plazos previstos en la normativa de protección de datos en vigor.
Luis del Riego Alonso.
Abogado y socio de Queipo y Riego Abogados.
En Queipo y Riego Abogados llevamos desde el año 2006 implantando y auditando con éxito los programas de protección de datos personales para toda clase de entidades públicas y privadas.
Si tienes cualquier duda, problema o necesidad en este ámbito, puedes dirigirte a nosotros, Queipo y Riego Abogados, Oviedo y Madrid, teléfono 985 965 463 y 607 659 399.
