La Red Iberoamericana de Protección de Datos (RIPD) aprobó por unanimidad unos nuevos estándares para orientar el uso de datos personales en sistemas de inteligencia artificial (IA). El documento aclara que la información disponible públicamente en Internet no puede emplearse automáticamente para entrenar modelos: las organizaciones necesitan una base jurídica adecuada y deben considerar qué podía esperar razonablemente una persona al publicar sus datos. También aborda la transparencia, las decisiones automatizadas, los datos sensibles y las responsabilidades de empresas y proveedores.
Qué establecen los nuevos estándares
Los Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial ofrecen un marco especializado dirigido a autoridades, legisladores, empresas y administraciones públicas. Según informó la Agencia Española de Protección de Datos (AEPD), que ejerce la secretaría permanente de la RIPD, sus recomendaciones abarcan distintas fases del desarrollo y uso de estos sistemas.
Uno de sus principios centrales es que el carácter público de un dato no elimina las obligaciones de protección de datos. Por tanto, antes de incorporar información personal a un conjunto de entrenamiento, una organización debe determinar si cuenta con una base jurídica válida y valorar el contexto en que esa información se hizo pública.
Los datos inferidos también pueden ser personales
Los sistemas de IA pueden generar inferencias, predicciones y perfiles a partir de datos existentes. Estas conclusiones pueden considerarse datos personales cuando se refieren a una persona identificada o identificable.
Los estándares indican que las organizaciones deben tener en cuenta la incertidumbre de esas inferencias y evitar presentarlas como hechos concluyentes cuando no existe evidencia suficiente. Una predicción generada por un modelo, por ejemplo, no debería comunicarse como si describiera con certeza a una persona.
Protección reforzada para inferencias sensibles
La protección debe ser especialmente estricta cuando un sistema deduce información sobre aspectos como la salud, la ideología o la orientación sexual, incluso si para hacerlo utiliza datos que, considerados por separado, parecen neutros. En esos casos pueden aplicarse las garantías reforzadas previstas para los datos sensibles.
Transparencia comprensible para las personas
Los estándares advierten que indicar simplemente que una organización utiliza IA no siempre es suficiente para cumplir con el deber de informar. La explicación debe permitir que las personas comprendan:
- Para qué se utiliza el sistema.
- Qué función desempeña dentro del servicio o proceso.
- Cómo puede influir en ellas y qué consecuencias podría tener.
El secreto empresarial, según el documento, no puede utilizarse como justificación general para ocultar información necesaria para que las personas entiendan el tratamiento de sus datos.
Derechos frente a modelos ya entrenados
El texto refuerza los derechos de las personas incluso cuando sus datos ya se han incorporado a un modelo. Entre otras cuestiones, plantea que puedan averiguar si su información se utilizó en un sistema de IA y ejercer los derechos que les correspondan.
Cuando una decisión se toma mediante sistemas automatizados, las personas deben poder impugnar sus conclusiones y solicitar una intervención humana real. La revisión no es efectiva si la persona responsable se limita a confirmar lo que propone el sistema sin analizarlo de manera independiente.
Supresión de datos y límites técnicos
Si un modelo no permite eliminar completamente determinados datos personales, la organización debe justificar esa limitación e informar a la persona afectada. También debe adoptar medidas alternativas, como excluir esos datos de futuros entrenamientos, cuando corresponda.
Prácticas de IA incompatibles con la protección de datos
Los estándares consideran incompatibles con la protección de datos los sistemas diseñados para:
- Manipular de forma engañosa a las personas.
- Explotar situaciones de vulnerabilidad.
- Realizar puntuaciones sociales discriminatorias.
La orientación pone el foco en evitar usos que puedan causar daños, aprovecharse de circunstancias personales o generar un trato desigual.
Responsabilidades de empresas y proveedores
El documento distingue las obligaciones de los diferentes actores que participan en la creación y utilización de sistemas de IA.
Si un proveedor quiere utilizar datos personales de clientes para entrenar o mejorar sus propios modelos, necesita una habilitación jurídica adecuada y debe cumplir las obligaciones que correspondan. La autorización para prestar un servicio no implica automáticamente que esos datos puedan reutilizarse para otros fines.
A su vez, una empresa que utiliza una herramienta de IA desarrollada por un tercero no queda exenta de responsabilidad. Si determina los fines y los medios esenciales del tratamiento, sigue siendo responsable de las actividades que realiza con los datos, aunque no haya creado ni entrenado el modelo.
Ámbitos que requieren atención específica
Los estándares incluyen pautas para tecnologías y tratamientos que pueden implicar riesgos particulares, entre ellos:
- IA generativa y agéntica.
- Biometría y reconocimiento de emociones.
- Uso de neurodatos.
También resaltan la importancia de incorporar la protección de datos desde el diseño, establecer una gobernanza clara, cuidar la calidad de los datos y contar con supervisión humana. Las organizaciones deben evaluar y gestionar los riesgos con medidas adecuadas a cada sistema y a cada tratamiento.
Consejos para emprendedores y negocios
Antes de incorporar una herramienta de IA
- Identifica qué datos utilizarás. Haz un inventario de la información que la herramienta recopila, procesa o genera, incluidos los datos inferidos y los que puedan ser sensibles.
- Comprueba la base jurídica. No asumas que un dato puede utilizarse para entrenar un sistema solo porque está publicado en Internet o porque el cliente lo facilitó para otro propósito.
- Revisa las condiciones del proveedor. Aclara si utilizará los datos de tu empresa o de tus clientes para entrenar o mejorar sus propios modelos y con qué garantías.
- Define responsabilidades por escrito. Los contratos deberían especificar las funciones de cada parte, los fines del tratamiento, las medidas de seguridad y la gestión de solicitudes de las personas.
Durante el diseño y el uso
- Informa de forma clara. Explica con lenguaje sencillo cuándo se emplea IA, para qué se utiliza y cómo puede afectar a clientes, empleados o usuarios.
- Mantén una supervisión humana efectiva. Asegúrate de que quien revise una recomendación automática tenga capacidad, información y autoridad para cuestionarla o cambiarla.
- No presentes predicciones como certezas. Si el sistema genera perfiles o estimaciones, comunica sus límites y evita tomar decisiones basadas en inferencias no verificadas.
- Evalúa los riesgos antes de lanzar el sistema. Presta especial atención a posibles sesgos, discriminación, exposición de datos sensibles y consecuencias negativas para las personas.
- Prepara un proceso para atender derechos. Establece cómo responderás a consultas sobre el uso de datos, solicitudes de acceso, impugnaciones y peticiones de eliminación.
- Documenta las decisiones. Conserva información sobre los datos utilizados, la finalidad del sistema, las evaluaciones realizadas y las medidas adoptadas para reducir riesgos.
Conclusiones
Los nuevos estándares de la RIPD subrayan que el uso responsable de la IA exige mucho más que adoptar una herramienta o añadir un aviso sobre su utilización. Las organizaciones deben justificar el tratamiento de datos, ofrecer información comprensible, controlar las inferencias y garantizar que exista una intervención humana auténtica cuando las decisiones automatizadas afecten a las personas.
Para los negocios, anticiparse a estas exigencias puede ayudar a reducir riesgos y fortalecer la confianza de clientes y usuarios. La recomendación práctica es integrar la protección de datos desde el diseño, revisar cuidadosamente las condiciones de los proveedores y adaptar los controles al impacto real de cada sistema.