Una propuesta en la Unión Europea busca reformar el Reglamento General de Protección de Datos (RGPD) para permitir que las empresas utilicen datos personales en el entrenamiento y operación de modelos de inteligencia artificial, invocando un 'interés legítimo' sin necesidad de consentimiento individual. Esta iniciativa, impulsada por el Consejo Europeo, pretende agilizar el desarrollo de la IA en la región, considerándola un asunto geopolítico crucial. Sin embargo, la medida aún está en fase de propuesta y debe ser negociada.
Aunque la inteligencia artificial (IA) es un tema constante en la conversación actual, algunas de sus aplicaciones y servicios han encontrado barreras en Europa. No obstante, una propuesta para modificar el Reglamento General de Protección de Datos (RGPD) podría abrir la puerta a que estas empresas entrenen y operen modelos de IA utilizando datos personales sin requerir el consentimiento explícito de cada individuo.
Para lograrlo, podrían recurrir a un concepto denominado "interés legítimo". Aunque esta posibilidad podría ser atractiva para algunas grandes tecnológicas, es importante señalar que la propuesta aún no ha sido convertida en ley.
El 21 de octubre, el Coreper, un comité que reúne a embajadores de los Estados miembros, acordó la posición con la que el Consejo Europeo negociará con el Parlamento Europeo el Digital Omnibus, un paquete destinado a simplificar diversas normativas digitales. El Consejo ha publicado un documento de 179 páginas que detalla modificaciones propuestas para el reglamento europeo de protección de datos, la directiva ePrivacy (que regula las cookies), el Reglamento de Datos y la directiva de ciberseguridad NIS2.
Uno de los objetivos de estos cambios, según se expone en el documento y se ha informado, es facilitar el entrenamiento de modelos de inteligencia artificial. Esto se lograría permitiendo a las empresas utilizar datos personales basándose en un interés legítimo, dado que la IA se ha convertido en una cuestión no solo tecnológica, sino también geopolítica, en la que la UE busca no quedarse rezagada.
Hasta el momento, el RGPD no hace mención explícita a la IA, pero en su versión actual, establece bases legales para el tratamiento de datos personales sin consentimiento, incluyendo el mencionado "interés legítimo". Una empresa puede utilizar datos si posee un interés justificado y los derechos del individuo no prevalecen. Esto exige una evaluación caso por caso, y esta ponderación es precisamente el punto de conflicto entre las empresas de IA y los defensores de la privacidad.
Un dato personal se define como información sobre una persona identificada o identificable. El RGPD prohíbe el tratamiento de datos sensibles (como los relacionados con la salud o el origen étnico), salvo en contadas excepciones. Cualquier persona tiene derecho a oponerse al tratamiento de sus datos basado en el interés legítimo. Existen casos, como la reutilización de datos de usuario para investigación científica, que ya se consideran compatibles con la finalidad original de proteger los derechos del usuario. En estas situaciones, es necesario implementar medidas para asegurar que esos derechos no sean vulnerados.
Si el texto propuesto por el Consejo avanza, una empresa podrá desarrollar y operar modelos de IA con datos personales, apoyándose en su propio interés legítimo o el de un tercero, sin requerir consentimiento. Es relevante aclarar que el RGPD actual tampoco exige consentimiento cuando existe un interés legítimo. La novedad de esta propuesta es que esta posibilidad se establecería explícitamente para la IA (mediante un nuevo artículo 88 bis) y se reducirían algunas limitaciones. En la página 145, el Consejo elimina salvaguardas previamente añadidas por la Comisión, como el derecho de oposición incondicional y la excepción expresa para menores y para leyes que exigen consentimiento.
"Estas medidas reducirán los costes de cumplimiento e impulsarán la competitividad y la innovación", afirmó Thomas Byrne, Ministro de Estado para Asuntos Europeos y Defensa de Irlanda.
Adicionalmente, se introduciría una nueva excepción que permitiría el tratamiento incidental y residual de datos sensibles, mencionados anteriormente, durante el desarrollo y funcionamiento técnico del sistema, siempre que la empresa no tuviera la intención de recopilarlos. Si dichos datos se filtran sin que la empresa lo deseara, esta tendría la obligación de evitarlos, eliminarlos tan pronto como los detecte y protegerlos. Esta excepción no aplicaría a los datos proporcionados directamente por el usuario, como lo que se escribe en un chatbot, ni al uso intencionado de, por ejemplo, voz o imagen.
El Consejo también busca facilitar la investigación científica, incluyendo la realizada por empresas privadas con fines comerciales, siempre que esta sea autónoma e independiente, y la empresa justifique en cada caso su autonomía y que sus resultados sean verificables y transparentes. Además, propone que los datos seudonimizados, aquellos donde la identidad de la persona ha sido separada, dejen de ser considerados datos personales para el tercero que los reciba si este no puede identificar a nadie. Si la identificación es posible, seguirían sujetos al RGPD.
Aunque ya han circulado mensajes en redes sociales interpretando esto como una modificación de la ley o un cambio radical en la postura europea, es crucial entender que se trata de una propuesta y que aún queda un largo camino de negociación por delante. De hecho, gran parte de los detalles aún deben ser definidos, ya que el Consejo, la Comisión Europea y el Parlamento Europeo (que todavía no ha fijado una postura) deberán negociar cualquiera de estos cambios planteados. El tiempo apremia, pues el Consejo Europeo solicitó cerrar todos los "ómnibus" pendientes antes de que finalice este año.
Es importante no confundir esta reforma propuesta con la Ley Europea de IA (AI Act), ya que esta última sigue un proceso legislativo distinto.
