La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica que ofrece uno de los primeros análisis integrales sobre cómo deben aplicarse los principios de exactitud, minimización y calidad de los datos cuando se utilizan sistemas de inteligencia artificial (IA). El documento proporciona criterios prácticos para responsables del tratamiento, encargados y delegados de protección de datos, con el objetivo de garantizar el cumplimiento del Reglamento General de Protección de Datos (RGPD) sin obstaculizar el desarrollo de soluciones basadas en IA.
La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica que aporta un nuevo marco interpretativo sobre uno de los aspectos que más dudas estaba generando entre empresas y profesionales: cómo deben aplicarse los principios de exactitud, minimización y calidad de los datos cuando los tratamientos incorporan sistemas de IA.
El documento recuerda que el Reglamento General de Protección de Datos (RGPD) sigue siendo plenamente aplicable a estos tratamientos, pero precisa que sus principios deben interpretarse atendiendo a la finalidad perseguida y a la idoneidad del tratamiento, evitando enfoques excesivamente rígidos que puedan dificultar el desarrollo de la IA.
La exactitud no significa que todos los datos deban ser absolutamente verdaderos
Uno de los principales mensajes de la AEPD consiste en aclarar que el principio de exactitud del RGPD no puede identificarse exclusivamente con la veracidad o la permanente actualización de cada dato.
Lo realmente relevante es que los datos sean adecuados para la finalidad concreta del tratamiento. Dependiendo del caso, la calidad podrá venir determinada por factores como la precisión, la granularidad, la frecuencia de actualización o cualquier otra característica necesaria para alcanzar el objetivo perseguido.
En otras palabras, la exactitud debe valorarse en función del uso que vaya a hacerse de los datos y de los efectos que ese tratamiento pueda producir sobre las personas.
- Atención. La AEPD recuerda que el principio de exactitud no exige mantener siempre datos completamente veraces o permanentemente actualizados, sino datos adecuados para cumplir la finalidad del tratamiento.
La calidad debe evaluarse sobre el conjunto de datos, no solo sobre cada registro
En los sistemas de IA, especialmente en aquellos basados en aprendizaje automático, la calidad del tratamiento no depende únicamente de que cada dato individual sea correcto.
La Agencia destaca que resulta igualmente esencial analizar el conjunto de datos utilizado para entrenar el sistema. Aspectos como la representatividad, la ausencia de sesgos, la relevancia de las muestras o las propiedades estadísticas del conjunto pueden resultar determinantes para obtener resultados fiables.
Por ello, un conjunto de datos aparentemente correcto puede no ser adecuado si presenta sesgos o no representa correctamente la realidad sobre la que debe operar el sistema.
- Atención. En IA no basta con revisar registros individuales. También debe garantizarse la calidad y representatividad del conjunto de datos utilizado para entrenar el sistema.
La calidad también debe analizarse en los resultados generados por la IA
La nota técnica recuerda que el cumplimiento del RGPD no termina cuando se introducen correctamente los datos de entrada. También deben evaluarse los resultados generados por el propio sistema, ya sean inferencias, perfiles, predicciones o decisiones automatizadas.
Cuando esos resultados afectan directamente a personas físicas, deberán evitar representaciones incorrectas, distorsionadas o desproporcionadas que puedan perjudicar sus derechos o intereses.
Datos sintéticos, anonimización y corrección de sesgos pueden ser compatibles con el RGPD
Otro aspecto especialmente relevante del documento es que la Agencia admite expresamente que determinadas técnicas habituales en el desarrollo de IA pueden ser compatibles con el principio de exactitud. Entre ellas cita:
- la anonimización;
- la generación de datos sintéticos;
- la privacidad diferencial;
- las técnicas de corrección o reducción de sesgos.
Estas herramientas pueden utilizar valores que no reflejen exactamente la realidad individual y, aun así, cumplir el RGPD, siempre que resulten adecuadas para la finalidad perseguida y no generen efectos negativos sobre las personas afectadas.
- Atención. La utilización de datos sintéticos o técnicas de reducción de sesgos no vulnera por sí misma el RGPD. Lo determinante será que el tratamiento siga siendo adecuado para su finalidad y respete los derechos de las personas.
La gobernanza del dato cobra todavía más importancia
La AEPD insiste en que las oempresas deberán definir de forma objetiva los requisitos de calidad de los datos antes de iniciar el tratamiento. Además, recomienda establecer métricas, documentar los criterios utilizados y realizar un seguimiento continuo durante todo el ciclo de vida del sistema de inteligencia artificial.
Todo ello forma parte del principio de responsabilidad proactiva exigido por el RGPD y debe integrarse dentro de la gobernanza del dato de la organización.
¿Qué deberían revisar ahora las empresas?
Las organizaciones que desarrollen, implanten o utilicen sistemas de inteligencia artificial deberían aprovechar estos nuevos criterios para revisar sus procedimientos internos.
En particular, conviene verificar:
- que la finalidad del tratamiento esté claramente definida;
- que los conjuntos de datos utilizados sean adecuados y representativos;
- que existan mecanismos para detectar y corregir sesgos;
- que se documenten los criterios de calidad aplicados;
- que los resultados generados por la IA sean objeto de revisión cuando puedan afectar a personas físicas;
- y que todo el proceso quede debidamente documentado dentro del modelo de gobernanza del dato.
Atención. La calidad del dato deja de ser una cuestión exclusivamente técnica para convertirse en un elemento esencial del cumplimiento del RGPD cuando se utilizan sistemas de inteligencia artificial.
Un nuevo marco para compatibilizar innovación y protección de datos
Con esta nota técnica, la AEPD ofrece uno de los primeros documentos de referencia que analiza de forma sistemática la aplicación de los principios del RGPD en tratamientos realizados mediante inteligencia artificial.
Lejos de imponer nuevas obligaciones, el documento proporciona criterios interpretativos que permiten aplicar la normativa de protección de datos con un enfoque basado en la finalidad del tratamiento, la calidad de los datos y la protección efectiva de los derechos de las personas.
Para las empresas que ya utilizan inteligencia artificial o prevén incorporarla a sus procesos, esta publicación constituye una guía de gran utilidad para revisar sus sistemas de gobernanza del dato y reforzar el cumplimiento del RGPD desde el diseño.
Pueden ponerse en contacto con este despacho profesional para cualquier duda o aclaración que puedan tener al respecto.
