Reglamento General de Protección de Datos, disposiciones relativas a la IA

Resumen

El RGPD entró en vigor el 24 de mayo de 2016 y se aplica desde el 25 de mayo de 2018. No es una ley específica de IA, pero puede aplicarse al tratamiento de datos personales con IA dentro del ámbito territorial del artículo 3. Evalúe establecimiento, oferta de bienes o servicios o seguimiento del comportamiento en la UE según corresponda; la ciudadanía europea por sí sola no determina el alcance.

El artículo 22 aborda decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos. Determine si se alcanza ese umbral, si existe una excepción y qué garantías se requieren. No toda decisión asistida por IA está prohibida ni genera el mismo derecho a intervención humana. Las obligaciones informativas de los artículos 13 a 15 deben evaluarse en su contexto.

El tratamiento con IA necesita una base jurídica aplicable del artículo 6. Los datos especialmente protegidos requieren además una condición del artículo 9 cuando corresponda. Consentimiento e interés legítimo tienen sus propias pruebas; ninguno permite entrenar modelos de forma general. Las garantías o excepciones de investigación no son una base autónoma del artículo 6. Documente finalidad, papel y condiciones de cada fase.

La minimización de datos (artículo 5, apartado 1, letra c)) plantea una tensión fundamental con el desarrollo de la IA, que a menudo se beneficia de grandes conjuntos de datos. Las organizaciones deben garantizar que solo recopilan datos adecuados, pertinentes y limitados a lo necesario en relación con la finalidad determinada. Esto incide en las estrategias relativas a los datos de entrenamiento de la IA y exige una justificación cuidadosa del alcance de los conjuntos de datos.

Los artículos 13 a 15 incluyen deberes informativos sobre decisiones automatizadas cubiertas, incluida información significativa sobre la lógica y consecuencias previstas cuando proceda. Facilite información comprensible; publicar una ficha de modelo no satisface automáticamente todas las obligaciones de transparencia o acceso.

La evaluación de impacto es obligatoria antes de un tratamiento probablemente de alto riesgo para derechos y libertades conforme al artículo 35. Considere naturaleza, alcance, contexto, fines, supuestos previstos y criterios de la autoridad. El uso o escala de IA no sustituye esa evaluación. Documente necesidad, proporcionalidad, riesgos y garantías.

La limitación de finalidad sigue aplicándose al entrenamiento y uso posterior. Los artículos 5 y 89 contienen reglas y garantías específicas para investigación y estadística; no hacen lícito todo entrenamiento comercial ni eliminan la base jurídica. Evalúe la finalidad investigadora y excepción alegadas, sin considerar todo proyecto de IA automáticamente exento.

Las disposiciones relativas a las transferencias internacionales (capítulo V) también afectan a los sistemas de IA, en particular a los servicios de IA en la nube y a los modelos entrenados con datos procedentes de múltiples jurisdicciones. Las organizaciones deben garantizar salvaguardias adecuadas para cualquier transferencia de datos personales fuera del EEE.

Las autoridades de protección de datos de toda Europa se muestran cada vez más activas en la aplicación del RGPD frente a los sistemas de IA. Acciones de ejecución destacadas se han dirigido contra empresas de reconocimiento facial, sistemas publicitarios impulsados por IA y la calificación crediticia automatizada, estableciendo precedentes que configuran la manera en que las organizaciones deben regir el tratamiento de datos personales por parte de la IA.