Este documento aborda aspectos críticos de la protección de datos personales en el contexto de su tratamiento mediante modelos de Inteligencia Artificial. Así, el informe elaborado y publicado por el EDPB, que busca lograr una armonización normativa a nivel europeo (siendo solicitado por la autoridad de control irlandesa), analiza cuándo pueden considerarse anónimos los modelos de IA; en qué circunstancias el interés legítimo puede ser considerado una base legitimadora adecuada para desarrollar o utilizar estos modelos de Inteligencia Artificial, y qué sucede si se desarrolla un modelo de IA utilizando datos personales sin cumplir con la normativa vigente.
En relación con la primera de las cuestiones, indica el organismo europeo que las autoridades de control deben analizar específicamente cada modelo de Inteligencia Artificial a efectos de concluir si este es o no anónimo (por cuanto ello no puede considerarse de forma genérica). Así, para que pueda entenderse que nos encontramos ante un modelo anónimo, debe ser muy poco probable poder identificar a los titulares cuyos datos se trataron para crear dicho modelo. Del mismo modo, como requisito acumulativo, declara el EDPB que debe ser difícil extraer dichos datos personales del modelo a través de consultas. En este sentido, el informe facilita un listado abierto de métodos para demostrar la anonimización de los modelos, incluyendo la selección cuidadosa de fuentes de datos, el cumplimiento del principio de minimización y la implementación de metodologías de entrenamiento robustas.
Respecto al interés legítimo (se indica que no existe una jerarquía entre las bases que legitiman el tratamiento de datos, por lo que los responsables deben identificar la misma), el informe ofrece diversas consideraciones de carácter general que las autoridades de control deben tener en cuenta cuando evalúen si el interés legítimo es una base legitimadora adecuada para el tratamiento de datos personales para el desarrollo y la implantación de estos modelos de IA. En este sentido, se establece que una “prueba de tres pasos” es necesaria para realizar dicho análisis (juicio de proporcionalidad), por cuanto se entenderá que se puede basar el tratamiento en el interés legítimo cuando se supere dicho juicio.
Asimismo, con esta finalidad, también se incluyen criterios o factores para evaluar si los afectados pueden esperar razonablemente determinados tratamientos de sus datos (por ejemplo, si los datos estaban a disposición del público, si las personas son realmente conscientes de que sus datos personales están en línea, la naturaleza del servicio o el contexto en el que se recabaron los datos personales).
Si tras el análisis se concluye que el tratamiento puede tener un impacto negativo en los derechos de los titulares, se indica en el informe que existen medidas cuya implementación puede limitar o mitigar dicho impacto. Así, en este sentido, se incluye un listado de medidas aplicables (de carácter técnico, que permitan el ejercicio de los derechos o que aumenten la transparencia).
Por último, se declara por el organismo europeo que el desarrollo de estos modelos mediante el uso de datos obtenidos o tratados de manera contraria a la normativa tendrá, como es lógico, un impacto en el despliegue del modelo (por cuanto los datos podrán ser tratados con posterioridad por el mismo o por otros responsables), con la única excepción de que este hubiera sido debidamente anonimizado (no obstante, la mera afirmación de anonimato no es suficiente para eximir al modelo de la aplicación del RGPD). En este sentido, se recuerda que las autoridades de control tienen poderes para evaluar las infracciones y aplicar las medidas correctivas que consideren necesarias, teniendo en cuenta las circunstancias específicas del caso.
Puede acceder al informe del EDPB aquí.