La Agencia Española de Protección de Datos ha publicado una nota técnica en la que aborda la relación entre los principios de exactitud, minimización y calidad previstos en el RGPD con los tratamientos de datos en sistemas de Inteligencia Artificial. Este documento ofrece criterios interpretativos dirigidos a responsables, encargados o delegados de protección de datos, de modo que se puedan adaptar los tratamientos basados en IA a las exigencias del RGPD.
Respecto al principio de exactitud, la autoridad de control ha declarado que este no debe ser entendido en términos absolutos, sino que se debe evaluar en el marco de la finalidad perseguida. Así, este principio exigiría únicamente que los datos sean adecuados para cumplir su finalidad, no siendo necesario que sean en todo momento plenamente veraces o que estén actualizados siempre. Con esta interpretación, nos encontramos ante una postura menos restrictiva, por cuanto anteriormente otras interpretaciones vinculaban el principio de exactitud a la veracidad de los datos, lo que podría generar un conflicto con el principio de minimización o implicar cargas (comprobación, etc.) desproporcionadas para los responsables.
La AEPD indica que el nivel de exactitud puede también variar dependiendo del tratamiento que se vaya a llevar a cabo o la incidencia que este tenga sobre las personas afectadas.
Asimismo, en relación con el principio de calidad, expone la autoridad de control que el mismo debe ser analizado respecto al conjunto de datos que se utilizan para desarrollar este tipo de herramientas, sin que se limite únicamente a aquellos que se facilitan en un primer momento (al entrenar a estos sistemas), sino también a los resultados generados por la IA (inferencias, predicciones o recomendaciones). Y ello es así por cuanto estas “no deben generar representaciones incorrectas o desproporcionadas de las personas afectada”, tal y como afirma la AEPD.
Del mismo modo, la autoridad de control diferencia claramente los requisitos de calidad exigibles durante la fase de desarrollo de un sistema de IA de aquellos aplicables cuando el mismo ya se encuentra desplegado y produce efectos sobre personas concretas. Mientras que durante el entrenamiento la evaluación se orienta principalmente a garantizar el rendimiento y la idoneidad técnica del modelo, en la fase de uso posterior se debe garantizar la protección efectiva de los derechos y libertades de los afectados, lo que justifica la aplicación de mayores garantías.
Finalmente, la AEPD destaca que la necesidad de definir los requisitos de calidad debe integrarse dentro de una estrategia de gobernanza del dato alineada con el principio de responsabilidad proactiva. Ello exige establecer criterios objetivos en función de la finalidad del tratamiento, documentar dichos requisitos, establecer alertas que permitan medir su cumplimiento y realizar una supervisión continua durante todo el ciclo de vida del tratamiento. En este sentido, se deben evitar “tanto exigencias insuficientes como requisitos excesivos”.
La autoridad de control destaca que la idoneidad del tratamiento puede depender de datos personales, así como de datos no personales, por lo que estos también deben cumplir los requisitos de calidad cuando puedan influir en los resultados o afectar indirectamente a los derechos de las personas.
Puede acceder a la nota técnica publicada por la autoridad de control aquí.
