Alejandro Alcolea
Editor - TechAunque estemos todo el día con la palabra "IA" en la boca, en Europa hay ciertas aplicaciones y servicios a los que la Unión les había dado con la puerta en las narices. Sin embargo, una propuesta para reformar el RGPD (Reglamento General de Protección de Datos) permitiría que esas empresas entrenen y operen modelos con datos personales sin tener que pedir permiso a cada persona.
Para esto, podrán invocar un 'superpoder' llamado "interés legítimo" y, aunque seguramente algunas Big Tech ya se estén frotando las manos, la propuesta aún no es ley. Veamos de qué va esto.
En corto. El pasado 21 de octubre, un comité llamado Coreper que congrega a embajadores de Estados miembros, acordó la postura con la que el Consejo Europeo negociará con el Parlamento Europeo el Digital Omnibus (un paquete de simplificación de normas digitales). El Consejo publicó un documento de 179 páginas en el que exponen modificaciones sobre ese reglamento europeo de protección de datos, la directiva ePrivacy que regula las cookies, el Reglamento de Datos y la directiva de ciberseguridad NIS2.
Uno de los objetivos de estos cambios (como exponen en el documento y como leemos en IAPP) es agilizar los entrenamientos de modelos de inteligencia artificial permitiendo que las empresas puedan usar datos personales apoyándose en un interés legítimo debido a que la IA se ha convertido en un asunto no sólo tecnológico, sino geopolítico en el que la UE no puede quedarse atrás.
Qué decía la ley hasta ahora. El RGPD no menciona expresamente la IA, pero ofrece en su versión actual las bases legales para tratar datos personales sin consentimiento, entre ellas ese "interés legítimo" que se repite en el documento del Consejo. Una empresa puede usar datos si tiene un interés justificado y no pesan más los derechos de la persona. Eso obliga a ponderar caso por caso, y esa ponderación es el punto de fricción entre las empresas de IA y los defensores de la privacidad.
Un dato personal es la información sobre una persona identificada o identificable y, en el RGPD, se prohíbe tratar datos sensibles (salud, origen étnico o similares) salvo algunas excepciones. Cualquier persona puede oponerse al tratamiento basado en el interés legítimo y hay casos como los de reutilizar datos del usuario para investigación científica que ya se consideran compatibles con la finalidad original de protección de los derechos del usuario. En estos casos, hay que poner medidas para que esos derechos no se vulneren.
Qué quieren que pase. Si el texto del Consejo sale adelante, una empresa podrá desarrollar y operar modelos de IA con datos personales apoyándose en su interés legítimo, o el de un tercero, y sin pedir consentimiento. Conviene aclarar que hoy el RGPD tampoco exige consentimiento cuando hay interés legítimo. La novedad es que esto se escribiría expresamente para la IA (nuevo artículo 88 bis) y se recortan límites. En la página 145, el Consejo tacha salvaguardas que había añadido la Comisión: el derecho de oposición incondicional y la excepción expresa para menores y para leyes que exigen consentimiento.
Además, una nueva excepción permitiría el tratamiento incidental y residual de los datos sensibles expuestos anteriormente durante el desarrollo y el funcionamiento técnico del sistema si la empresa no pretendía recogerlos. Si esos datos se cuelan sin que la empresa quisiera recogerlos, tendría que evitarlos, borrarlos en cuanto los detecte y protegerlos. Esto no cubre los datos que el usuario da directamente, como lo que escribe en un chatbot, ni el uso intencionado de, por ejemplo, voz o imagen.
El Consejo también quiere facilitar la investigación científica, incluida la de empresas privadas con fines comerciales, siempre que sea autónoma e independiente y la empresa justifique en cada caso que lo es y que sus resultados son verificables y transparentes. Y propone que los datos seudonimizados, aquellos en los que se ha separado la identidad de la persona, dejen de ser datos personales para el tercero que los reciba si no puede identificar a nadie. Si puede, siguen sujetos al RGPD.
Qué viene ahora. Aunque ya hemos visto algunos mensajes en Twitter que apuntan que esto es una modificación de la ley, un volantazo europeo o que los gobernantes de la UE han aprobado cambios en el RGPD, no deja de ser una propuesta y queda camino y negociación por delante.
De hecho, falta todo por definir, ya que el Consejo, la Comisión Europea y el Parlamento Europeo (que aún no tiene una postura) tendrán que negociar cualquiera de estos cambios que se plantean y el tiempo tampoco es que sobre. El CE pidió cerrar todos los ómnibus pendientes antes de que acabe este año, y no queda tanto.
Eso sí, no hay que confundir esta reforma planteada con el AI Act, la ley europea de IA, ya que esa va por otras vías.
Imagen | Consejo Europeo
En Xataka | El Gobierno español da marcha atrás: suaviza las normas de los centros de datos para no espantar a las empresas de IA
Ver 0 comentarios