La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica que examina la aplicación de los principios de calidad, exactitud y minimización de datos personales en tratamientos que utilizan inteligencia artificial. Este análisis es pionero a nivel mundial y busca proporcionar criterios a los responsables del tratamiento de datos. La AEPD aclara que la exactitud no debe interpretarse de manera estricta, sino en función de la finalidad del tratamiento, lo que implica que los datos deben ser adecuados para el objetivo específico sin requerir una veracidad absoluta. Además, se enfatiza la importancia de evaluar la calidad de los datos no solo individualmente, sino también en su conjunto, especialmente en modelos de aprendizaje automático. La nota también aborda prácticas como la generación de datos sintéticos y destaca la necesidad de definir requisitos claros y objetivos para garantizar la gobernanza adecuada de los datos en el contexto del RGPD.
La AEPD examina la calidad y minimización de datos en IA
La Agencia Española de Protección de Datos (AEPD) ha presentado una nota técnica que investiga cómo los principios de exactitud y minimización del Reglamento General de Protección de Datos (RGPD) se aplican a los tratamientos de datos personales que utilizan sistemas de inteligencia artificial. Este documento se considera uno de los primeros estudios a nivel global que aborda sistemáticamente esta problemática, con el fin de proporcionar directrices a los responsables del tratamiento, encargados y delegados de protección de datos.
El análisis parte del entendimiento de que los requisitos de calidad y el principio de exactitud no deben interpretarse como absolutos, sino en relación con la finalidad del tratamiento. En este contexto, la AEPD aclara que el principio de exactitud no exige que los datos sean siempre completamente verídicos o actualizados, sino que sean adecuados para cumplir con el objetivo del tratamiento, garantizando su relevancia para las personas afectadas.
Esta interpretación representa un avance respecto a enfoques más restrictivos, que vinculaban la exactitud únicamente con la veracidad absoluta de los datos. La AEPD advierte que exigir un nivel excesivo podría entrar en conflicto con el principio de minimización o generar cargas desproporcionadas, especialmente en el desarrollo y uso de sistemas basados en inteligencia artificial.
En su nota técnica, se destaca que la calidad debe evaluarse no solo en función de cada dato individual, sino también en relación con el conjunto total utilizado para desarrollar sistemas de IA. Esto es crucial en modelos de aprendizaje automático donde factores como la representatividad y la ausencia de sesgos pueden ser determinantes para los resultados, incluso más allá de la precisión individual.
Asimismo, se enfatiza que el requisito de calidad no se limita a los datos iniciales; debe abarcar todo el proceso, incluyendo resultados generados por sistemas inteligentes. Estos resultados, tales como inferencias o decisiones, no deben crear representaciones erróneas o desproporcionadas sobre las personas involucradas. Esto implica una evaluación exhaustiva del tratamiento considerando su diseño y las salvaguardias implementadas.
La AEPD indica que el nivel exigido puede variar según el tipo de tratamiento y sus repercusiones sobre las personas. Por ejemplo, tratamientos estadísticos pueden permitir mayores niveles de abstracción, mientras que aquellos que afectan directamente a individuos requieren una aplicación más rigurosa del principio de exactitud.
El documento también aborda técnicas comunes en el desarrollo de IA, como la generación de datos sintéticos, la anonimización y la corrección de sesgos. La AEPD sostiene que estas prácticas pueden alinearse con el principio de exactitud del RGPD si están justificadas por la finalidad del tratamiento y no generan efectos negativos sobre las personas afectadas.
Otro punto destacado es la diferencia entre los requisitos durante el desarrollo y su uso posterior. La Agencia subraya que ambas etapas deben ser evaluadas por separado, ya que en la fase operativa los resultados pueden tener un impacto directo sobre las personas y requieren garantías adicionales.
Desde una perspectiva organizativa, se resalta la importancia de definir requisitos objetivos para la calidad basada en la finalidad del tratamiento. Es esencial evitar tanto exigencias insuficientes como excesivas. Para ello, se recomienda implementar una gobernanza adecuada del dato mediante documentación clara, establecimiento de métricas y seguimiento continuo durante todo el ciclo vital del tratamiento.
Finalmente, la AEPD recuerda que estos requisitos no solo son aplicables a datos personales; también los datos no personales utilizados pueden influir significativamente en su idoneidad. Además, enfatiza que cumplir con el RGPD implica diseñar tratamientos capaces de gestionar adecuadamente las limitaciones inherentes a los sistemas inteligentes mediante medidas adecuadas.
La AEPD analiza cómo se proyectan los principios de exactitud y minimización del RGPD en tratamientos de datos personales que incorporan sistemas de inteligencia artificial.
El principio de exactitud no exige que los datos sean siempre plenamente veraces o estén completamente actualizados, sino que sean adecuados para cumplir el objetivo del tratamiento y ello se garantice cuando resulte relevante para las personas afectadas.
La calidad de los datos debe analizarse respecto al conjunto de datos utilizado para el desarrollo de sistemas de IA, considerando aspectos como representatividad, ausencia de sesgos y relevancia, más allá de la exactitud individual de cada registro.
El requisito no solo se limita a los datos de entrada, sino que también abarca los resultados generados por sistemas de IA, como inferencias o decisiones, que no deben generar representaciones incorrectas o desproporcionadas de las personas afectadas.
El nivel exigible puede variar; en tratamientos agregados o estadísticos puede admitirse mayor abstracción, mientras que en resultados que afectan directamente a personas concretas, se requiere una aplicación más extensa del principio de exactitud.
Técnicas como la generación de datos sintéticos, anonimización o corrección de sesgos pueden ser compatibles con el principio, siempre que estén justificadas en relación con la finalidad del tratamiento y no generen efectos adversos sobre las personas.
Es crucial definir requisitos basados en la finalidad del tratamiento para evitar exigencias insuficientes o excesivas. Esto incluye implementar gobernanza del dato y realizar un seguimiento continuo durante el ciclo de vida del tratamiento.
Sí, los datos no personales utilizados en un tratamiento pueden ser determinantes para su idoneidad y deben gestionarse adecuadamente conforme al cumplimiento del RGPD.