Inteligencia artificial y protección de datos: la AEPD fija criterios sobre la calidad de la información
La utilización de inteligencia artificial plantea una cuestión que va mucho más allá de la tecnología empleada: ¿son adecuados los datos sobre los que funciona el sistema y los resultados que genera?
La Agencia Española de Protección de Datos (AEPD) aborda esta cuestión en una nueva nota técnica dedicada a la calidad de los datos en sistemas de inteligencia artificial. El documento analiza cómo deben aplicarse los principios de exactitud, minimización y calidad previstos en el Reglamento General de Protección de Datos (RGPD), teniendo en cuenta la finalidad concreta para la que se realiza cada tratamiento.
La publicación ofrece criterios prácticos dirigidos a responsables del tratamiento, encargados y delegados de protección de datos y plantea una interpretación que pretende compatibilizar las exigencias del RGPD con el desarrollo de soluciones basadas en inteligencia artificial.
El cumplimiento del RGPD debe adaptarse a la finalidad del sistema
La utilización de inteligencia artificial no deja fuera de aplicación las reglas establecidas por el RGPD. Los tratamientos que incorporan estas tecnologías continúan sometidos a sus principios.
Ahora bien, la AEPD pone el foco en la necesidad de valorar dichos principios atendiendo al objetivo concreto que persigue el tratamiento y a la idoneidad de los datos empleados para conseguirlo.
Esto resulta especialmente relevante en el ámbito de la calidad de los datos. La evaluación no puede realizarse de manera aislada ni mediante criterios rígidos aplicables indistintamente a cualquier sistema de IA.
La adecuación de la información deberá determinarse en función del tratamiento concreto y de los efectos que este pueda producir sobre las personas.
La exactitud de un dato depende también del uso que vaya a realizarse de él
Uno de los aspectos que aborda la AEPD es el alcance del principio de exactitud.
La exigencia de exactitud no implica necesariamente que cada dato tenga que ser permanentemente actualizado o responder en todo momento a una representación absolutamente verdadera de la realidad.
Lo determinante será que la información resulte adecuada para alcanzar la finalidad para la que está siendo tratada.
Esa adecuación puede depender de distintas características. Entre ellas se encuentran la precisión, el nivel de granularidad, la frecuencia con la que se actualiza la información o cualquier otra condición necesaria para que el dato cumpla correctamente su función.
Por tanto, la valoración de la exactitud debe realizarse atendiendo al contexto y al uso previsto de los datos, especialmente cuando las conclusiones obtenidas mediante IA puedan repercutir sobre personas físicas.
A tener en cuenta: el principio de exactitud no exige necesariamente disponer de datos permanentemente actualizados o absolutamente veraces en todos los contextos. La cuestión esencial es determinar si resultan adecuados para la finalidad del tratamiento.
Un modelo de IA puede verse afectado por problemas existentes en el conjunto de entrenamiento
La revisión de la calidad adquiere una dimensión adicional cuando los datos se utilizan para entrenar sistemas de aprendizaje automático.
En estos casos, comprobar individualmente los registros no es suficiente para determinar si el conjunto empleado resulta apropiado.
También es necesario valorar las características globales de los datos utilizados. La representatividad de las muestras, la posible existencia de sesgos, su relevancia y determinadas propiedades estadísticas pueden condicionar la fiabilidad de los resultados obtenidos posteriormente por el sistema.
Así, un conjunto compuesto por datos aparentemente correctos puede presentar problemas desde el punto de vista de la calidad si no representa adecuadamente la realidad sobre la que deberá funcionar el sistema o contiene determinados sesgos.
Importante: la calidad de los datos en inteligencia artificial debe analizarse tanto desde una perspectiva individual como respecto del conjunto utilizado para entrenar el sistema.
La revisión no termina con los datos de entrada
Otro de los elementos relevantes de la nota técnica es que el análisis de calidad no debe limitarse a la información que se introduce inicialmente en el sistema.
Las organizaciones también deben prestar atención a los resultados producidos por la inteligencia artificial. Estos pueden consistir, entre otros, en inferencias, perfiles, predicciones o decisiones automatizadas.
Cuando tales resultados afectan a personas físicas, adquiere especial importancia comprobar que no produzcan representaciones incorrectas, distorsionadas o desproporcionadas capaces de perjudicar sus derechos o intereses.
La calidad, por tanto, debe contemplarse a lo largo del funcionamiento del sistema y no únicamente en la fase inicial de recopilación o preparación de los datos.
Algunas técnicas utilizadas en IA pueden ser compatibles con el principio de exactitud
La nota de la AEPD también contempla determinadas técnicas que forman parte del desarrollo de sistemas de inteligencia artificial y que pueden utilizarse sin que ello implique necesariamente una vulneración del principio de exactitud.
Entre ellas se encuentran:
- La anonimización.
- La generación de datos sintéticos.
- La privacidad diferencial.
- Las técnicas destinadas a corregir o reducir sesgos.
El hecho de que determinados datos sintéticos o técnicas utilizadas para mejorar la privacidad o reducir sesgos no reproduzcan exactamente una situación individual no determina, por sí solo, su incompatibilidad con el RGPD.
Será necesario valorar si la utilización de estas herramientas resulta adecuada para la finalidad perseguida y si el tratamiento respeta los derechos de las personas afectadas.
Precaución: la compatibilidad de estas técnicas con el RGPD dependerá de su adecuación a la finalidad del tratamiento y de que su utilización no produzca efectos negativos sobre las personas.
La calidad del dato debe integrarse en la gobernanza de la organización
La AEPD sitúa la gestión de la calidad dentro de una perspectiva más amplia: la gobernanza del dato.
Antes de comenzar un tratamiento mediante inteligencia artificial, las empresas deberían establecer de manera objetiva cuáles son los requisitos de calidad que deben cumplir los datos utilizados.
A partir de ahí, resulta necesario definir métricas, documentar los criterios aplicados y mantener mecanismos de seguimiento durante el ciclo de vida del sistema.
Estas actuaciones se relacionan con el principio de responsabilidad proactiva previsto en el RGPD y deben formar parte de la estructura de gobernanza de datos de la organización.
No se trata únicamente de determinar si los datos eran adecuados en el momento de poner en funcionamiento el sistema. También resulta necesario mantener mecanismos que permitan comprobar su adecuación a lo largo del tiempo.
Aspectos que las empresas deberían incorporar a su revisión interna
La publicación de la AEPD ofrece una oportunidad para que las organizaciones que desarrollan, implantan o utilizan inteligencia artificial revisen sus actuales procedimientos.
Entre las cuestiones que deberían analizarse se encuentran las siguientes:
| Elementos que conviene comprobar en un sistema de IA |
| Definición clara de la finalidad del tratamiento |
| Adecuación y representatividad de los conjuntos de datos |
| Mecanismos destinados a detectar y corregir sesgos |
| Documentación de los criterios empleados para determinar la calidad |
| Revisión de los resultados cuando puedan afectar a personas físicas |
| Integración de todo el proceso en el modelo de gobernanza del dato |
Esta revisión permite trasladar los principios jurídicos del RGPD al funcionamiento concreto de los sistemas de inteligencia artificial y facilitar que la organización pueda acreditar cómo ha gestionado la calidad de la información utilizada.
Atención: en los tratamientos que incorporan inteligencia artificial, la calidad del dato no constituye únicamente una cuestión técnica. También forma parte del cumplimiento de las obligaciones derivadas de la normativa de protección de datos.
La nota técnica aporta criterios para abordar la IA desde el cumplimiento normativo
La publicación de la AEPD constituye uno de los primeros documentos de referencia que analiza de manera sistemática la aplicación de los principios del RGPD a tratamientos realizados mediante sistemas de inteligencia artificial.
Su planteamiento no consiste en establecer nuevas obligaciones, sino en ofrecer criterios interpretativos para aplicar las exigencias existentes teniendo en cuenta la finalidad del tratamiento, la calidad de los datos y la protección efectiva de los derechos de las personas.
Para las empresas que ya emplean inteligencia artificial o que están incorporando estas herramientas a sus procesos, el documento ofrece una referencia útil para revisar sus mecanismos de gobernanza del dato y comprobar que la protección de datos se integra desde el diseño de los sistemas.
La incorporación de inteligencia artificial exige, por tanto, prestar atención no solo a la tecnología utilizada, sino también a la calidad de los datos que la alimentan, a la representatividad del conjunto y a los resultados que posteriormente genera.
Una revisión preventiva de estos elementos puede ayudar a las organizaciones a detectar posibles deficiencias, reforzar su modelo de gobernanza y reducir los riesgos asociados al tratamiento de datos personales mediante inteligencia artificial.
Pueden ponerse en contacto con este despacho profesional para cualquier duda o aclaración que puedan tener al respecto.
