La Agencia Española de Protección de Datos pone el foco en una cuestión que afecta directamente a las organizaciones que desarrollan o utilizan sistemas de inteligencia artificial: no basta con que una herramienta de IA funcione; las empresas deben poder justificar qué datos utiliza, por qué los necesita, comprobar la fiabilidad de sus resultados y documentar los controles aplicados.
Los últimos meses han dejado numerosas novedades para las organizaciones que utilizan inteligencia artificial. A la nueva fase de aplicación del Reglamento Europeo de Inteligencia Artificial se han sumado directrices sobre transparencia, criterios para determinar cuándo un sistema puede considerarse de alto riesgo, nuevas herramientas de apoyo al cumplimiento y documentos destinados a trasladar las obligaciones regulatorias a la práctica.
En España, a estos avances se suma la reciente nota técnica de la Agencia Española de Protección de Datos (AEPD), Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial, dirigida, entre otros, a responsables y encargados del tratamiento, delegados de protección de datos y profesionales implicados en el desarrollo, prueba o mantenimiento de sistemas de IA.
La primera idea que conviene tener clara es que utilizar inteligencia artificial no permite, por sí solo, tratar datos personales. Antes de introducir o utilizar este tipo de información en un tratamiento que incorpore IA, la empresa debe comprobar que puede tratarla conforme al RGPD, que existe una finalidad concreta que lo justifica y que solo utiliza los datos realmente necesarios para alcanzarla.
Por tanto, no se trata de introducir en una herramienta de IA todos los datos disponibles porque puedan resultar útiles. Cada organización debe analizar previamente qué datos puede tratar, para qué puede utilizarlos y cuáles son estrictamente necesarios en ese caso concreto, una valoración en la que resulta especialmente importante contar con asesoramiento especializado en protección de datos. La propia AEPD recuerda que, antes de acceder o recopilar datos, debe analizarse la legitimación de ese tratamiento y su necesidad.
A partir de ahí, la AEPD añade una segunda exigencia: la empresa tiene que comprobar que los datos son adecuados para el uso concreto que va a hacer de la IA y que los resultados que obtiene son suficientemente fiables.
¿Qué significa esto en la práctica? Que, dependiendo del objetivo del sistema, puede ser necesario comprobar aspectos como la precisión de la información, si los datos son suficientemente representativos, si están actualizados cuando resulte necesario o si existen desequilibrios que puedan distorsionar los resultados. Y el análisis no termina ahí: si la IA genera una puntuación, una recomendación, un perfil, una clasificación, una inferencia o una decisión, la organización también debe establecer criterios que permitan comprobar si ese resultado es adecuado para la finalidad prevista.
La AEPD advierte precisamente de que, si no existen métricas que permitan evaluar los resultados obtenidos, la organización tendrá dificultades para demostrar que el tratamiento cumple realmente la finalidad para la que se ha implantado. Esta exigencia cobra especial importancia cuando el resultado del sistema puede afectar directamente a una persona.
No basta con elegir una herramienta de IA y empezar a utilizarla. La agencia también insiste en la necesidad de analizar si el sistema elegido es adecuado para el uso concreto que la empresa quiere darle.
No se trata únicamente de valorar sus funcionalidades. La organización debe conocer sus características y limitaciones, tener en cuenta la información proporcionada por el proveedor sobre la calidad de los datos y determinar qué medidas o salvaguardas necesita incorporar para utilizarlo de manera adecuada. La AEPD señala expresamente que estos aspectos deben tenerse en cuenta al seleccionar los sistemas de IA que vayan a formar parte de un tratamiento.
En la práctica, la empresa debería poder explicar por qué ha elegido ese sistema para ese uso concreto, qué datos necesita, qué limitaciones conoce y qué controles ha establecido para reducir los posibles errores o riesgos.
La propia Agencia recuerda que no existe un sistema perfecto. Lo relevante es conocer sus fortalezas y debilidades y adoptar las salvaguardas necesarias para que pueda utilizarse de forma adecuada dentro del tratamiento.
Todo ello debe quedar documentado y actualizarse cuando cambien los datos utilizados, la finalidad del tratamiento, sus riesgos o el propio funcionamiento del sistema. La AEPD plantea la calidad de los datos como un proceso que debe supervisarse durante todo el ciclo de vida del tratamiento, no como una comprobación realizada únicamente en el momento de implantar la herramienta.
En otras palabras, la organización debe poder justificar las principales decisiones que ha tomado al incorporar un sistema de IA: para qué lo utiliza, qué datos puede y necesita tratar, por qué ha seleccionado ese sistema, qué controles ha establecido, cómo comprueba sus resultados y quién supervisa el proceso.
En definitiva, el mensaje de la AEPD no es que las empresas puedan introducir datos personales en una herramienta de IA siempre que posteriormente controlen su calidad. Primero debe comprobarse que ese tratamiento puede realizarse conforme al RGPD y determinar qué información es realmente necesaria; después habrá que comprobar que los datos y los resultados son adecuados para la finalidad prevista, implantar las salvaguardas correspondientes y mantener todo el proceso documentado y sometido a revisión.
La Agencia insiste, además, en que este trabajo requiere combinar conocimiento técnico y jurídico, contando con perfiles especializados en IA y protección de datos que apoyen o no las decisiones en criterios objetivos y evidencias verificables.
Desde Audidat ayudan a las organizaciones a aplicar estas exigencias en la práctica, analizando qué tratamientos de datos personales pueden realizarse al incorporar sistemas de IA, qué información puede y necesita utilizarse en cada caso y qué controles y procedimientos deben establecerse para hacerlo con las garantías necesarias.
Los últimos meses han dejado numerosas novedades para las organizaciones que utilizan inteligencia artificial. A la nueva fase de aplicación del Reglamento Europeo de Inteligencia Artificial se han sumado directrices sobre transparencia, criterios para determinar cuándo un sistema puede considerarse de alto riesgo, nuevas herramientas de apoyo al cumplimiento y documentos destinados a trasladar las obligaciones regulatorias a la práctica.
En España, a estos avances se suma la reciente nota técnica de la Agencia Española de Protección de Datos (AEPD), Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial, dirigida, entre otros, a responsables y encargados del tratamiento, delegados de protección de datos y profesionales implicados en el desarrollo, prueba o mantenimiento de sistemas de IA.
La primera idea que conviene tener clara es que utilizar inteligencia artificial no permite, por sí solo, tratar datos personales. Antes de introducir o utilizar este tipo de información en un tratamiento que incorpore IA, la empresa debe comprobar que puede tratarla conforme al RGPD, que existe una finalidad concreta que lo justifica y que solo utiliza los datos realmente necesarios para alcanzarla.
Por tanto, no se trata de introducir en una herramienta de IA todos los datos disponibles porque puedan resultar útiles. Cada organización debe analizar previamente qué datos puede tratar, para qué puede utilizarlos y cuáles son estrictamente necesarios en ese caso concreto, una valoración en la que resulta especialmente importante contar con asesoramiento especializado en protección de datos. La propia AEPD recuerda que, antes de acceder o recopilar datos, debe analizarse la legitimación de ese tratamiento y su necesidad.
A partir de ahí, la AEPD añade una segunda exigencia: la empresa tiene que comprobar que los datos son adecuados para el uso concreto que va a hacer de la IA y que los resultados que obtiene son suficientemente fiables.
¿Qué significa esto en la práctica? Que, dependiendo del objetivo del sistema, puede ser necesario comprobar aspectos como la precisión de la información, si los datos son suficientemente representativos, si están actualizados cuando resulte necesario o si existen desequilibrios que puedan distorsionar los resultados. Y el análisis no termina ahí: si la IA genera una puntuación, una recomendación, un perfil, una clasificación, una inferencia o una decisión, la organización también debe establecer criterios que permitan comprobar si ese resultado es adecuado para la finalidad prevista.
La AEPD advierte precisamente de que, si no existen métricas que permitan evaluar los resultados obtenidos, la organización tendrá dificultades para demostrar que el tratamiento cumple realmente la finalidad para la que se ha implantado. Esta exigencia cobra especial importancia cuando el resultado del sistema puede afectar directamente a una persona.
No basta con elegir una herramienta de IA y empezar a utilizarla. La agencia también insiste en la necesidad de analizar si el sistema elegido es adecuado para el uso concreto que la empresa quiere darle.
No se trata únicamente de valorar sus funcionalidades. La organización debe conocer sus características y limitaciones, tener en cuenta la información proporcionada por el proveedor sobre la calidad de los datos y determinar qué medidas o salvaguardas necesita incorporar para utilizarlo de manera adecuada. La AEPD señala expresamente que estos aspectos deben tenerse en cuenta al seleccionar los sistemas de IA que vayan a formar parte de un tratamiento.
En la práctica, la empresa debería poder explicar por qué ha elegido ese sistema para ese uso concreto, qué datos necesita, qué limitaciones conoce y qué controles ha establecido para reducir los posibles errores o riesgos.
La propia Agencia recuerda que no existe un sistema perfecto. Lo relevante es conocer sus fortalezas y debilidades y adoptar las salvaguardas necesarias para que pueda utilizarse de forma adecuada dentro del tratamiento.
Todo ello debe quedar documentado y actualizarse cuando cambien los datos utilizados, la finalidad del tratamiento, sus riesgos o el propio funcionamiento del sistema. La AEPD plantea la calidad de los datos como un proceso que debe supervisarse durante todo el ciclo de vida del tratamiento, no como una comprobación realizada únicamente en el momento de implantar la herramienta.
En otras palabras, la organización debe poder justificar las principales decisiones que ha tomado al incorporar un sistema de IA: para qué lo utiliza, qué datos puede y necesita tratar, por qué ha seleccionado ese sistema, qué controles ha establecido, cómo comprueba sus resultados y quién supervisa el proceso.
En definitiva, el mensaje de la AEPD no es que las empresas puedan introducir datos personales en una herramienta de IA siempre que posteriormente controlen su calidad. Primero debe comprobarse que ese tratamiento puede realizarse conforme al RGPD y determinar qué información es realmente necesaria; después habrá que comprobar que los datos y los resultados son adecuados para la finalidad prevista, implantar las salvaguardas correspondientes y mantener todo el proceso documentado y sometido a revisión.
La Agencia insiste, además, en que este trabajo requiere combinar conocimiento técnico y jurídico, contando con perfiles especializados en IA y protección de datos que apoyen o no las decisiones en criterios objetivos y evidencias verificables.
Desde Audidat ayudan a las organizaciones a aplicar estas exigencias en la práctica, analizando qué tratamientos de datos personales pueden realizarse al incorporar sistemas de IA, qué información puede y necesita utilizarse en cada caso y qué controles y procedimientos deben establecerse para hacerlo con las garantías necesarias.
