Reguladores iberoamericanos: que un dato esté en internet no basta para entrenar IA

La Red Iberoamericana de Protección de Datos (RIPD) aprobó por unanimidad los “Estándares iberoamericanos sobre el uso de datos personales en sistemas de inteligencia artificial”. Lo anunció el jueves 12 de noviembre la Agencia Española de Protección de Datos (AEPD), que tiene la secretaría permanente de la red, y lo recogieron medios como Europa Press.

Lo que más toca a las empresas son los datos que circulan en internet. Según el documento, que un dato personal sea accesible al público “no legitima por sí solo” su uso para desarrollar, entrenar o mejorar modelos de IA. Hace falta una base jurídica adecuada y tener en cuenta lo que las personas podían esperar razonablemente cuando lo publicaron. La AEPD presenta el texto como pionero a escala global y dice que alcanza los derechos de más de 600 millones de personas.

Qué dice sobre los datos públicos y los proveedores

Un apartado del documento precisa que reutilizar datos públicos para fines distintos de los que justificaron su publicación requiere base jurídica y, cuando corresponda, garantías reforzadas, “especialmente exigibles” en recopilaciones masivas o cuando la empresa invoca el interés legítimo.

Los estándares también ordenan la relación con los proveedores. Si un proveedor usa los datos de un cliente para entrenar sus propios modelos, eso es, en general, una finalidad distinta del servicio contratado y necesita habilitación expresa y base jurídica propia. Y la responsabilidad no se traslada: es responsable quien decide los fines y medios del tratamiento “aunque no entrene ni controle técnicamente el modelo”. Usar un modelo de terceros no exime a la empresa de evaluar las garantías del proveedor.

Inferencias, transparencia y control humano

Las predicciones y los perfiles que genera un sistema pueden ser datos personales cuando se refieren a personas identificables, y si la IA deduce salud, ideología u orientación sexual a partir de datos aparentemente neutros, se aplica la protección reforzada de los datos sensibles.

En transparencia, avisar que se usa IA “no cumple necesariamente con el deber de informar”, según la AEPD: hay que explicar para qué se usa el sistema y qué consecuencias puede tener, sin escudarse en el secreto empresarial. Las personas podrán saber si sus datos se usaron en un sistema de IA y, frente a decisiones automatizadas, impugnarlas y exigir intervención humana real. Si quien revisa “se limita a refrendar lo que propone la IA”, no hay intervención humana efectiva.

Si un modelo no permite borrar del todo los datos de una persona, la organización deberá justificarlo, informarle y tomar medidas como excluir esos datos de futuros entrenamientos. El texto además declara incompatibles con la protección de datos los sistemas que manipulan de forma engañosa, explotan la vulnerabilidad o puntúan socialmente de manera discriminatoria. Su capítulo final fija reglas para cinco patrones: IA generativa, IA agéntica, biometría y emociones, puntuación y selección de personas, y datos accesibles al público.

Un estándar orientador, no una ley

El propio documento se define como un “instrumento orientador” para favorecer una interpretación común en la región. No reemplaza las leyes nacionales ni crea obligaciones generales nuevas: precisa cómo aplicar las existentes cuando un tratamiento incorpora IA, con un enfoque basado en el riesgo.

Según la AEPD, el texto surgió de una consulta técnica entre las autoridades miembros de la red, a partir de una versión inicial del consultor Marcos Sánchez Acevedo, y lo financió la Unión Europea en el marco de la Alianza Digital UE-ALC.

Qué significa para las empresas de la región

• Revisa de dónde salen los datos de tus modelos. Si entrenas o ajustas IA con información sacada de internet (perfiles, reseñas, directorios), documenta la base jurídica y para qué se publicó cada dato.
• Lee los contratos con tus proveedores de IA. Verifica si pueden usar los datos de tus clientes para entrenar sus modelos y exige que eso quede escrito; la responsabilidad sigue siendo tuya.
• No basta con decir “usamos IA”. Prepara una explicación simple de qué hace el sistema y qué efectos tiene en el cliente, sobre todo en crédito, empleo o acceso a servicios.
• Haz real la revisión humana. Si tu equipo solo aprueba lo que sugiere el sistema, para los reguladores eso no cuenta como intervención humana.

Qué mirar

Cómo trasladan las autoridades nacionales estos criterios a sus guías, inspecciones y sanciones, y si los legisladores, a quienes también se dirige el texto, los incorporan. También, si los grandes proveedores de modelos ajustan sus condiciones de uso de datos de clientes.

A partir de información de Red Iberoamericana de Protección de Datos (documento de los estándares) y Agencia Española de Protección de Datos (comunicado).