La ICO británica aclara conceptos equivocados sobre el uso de datos personales en el desarrollo de IA generativa.
El tratamiento incidental de datos personales sigue estando sujeto al RGPD.
No existen excepciones para la IA en la normativa de protección de datos.
Las organizaciones deben aplicar principios de transparencia y protección desde el diseño.
La importancia de la protección de datos en la IA generativa
La Information Commissioner’s Office (ICO), autoridad británica en protección de datos, ha publicado una serie de aclaraciones sobre conceptos erróneos comunes detectados tras una consulta pública sobre el uso de IA generativa. Estas aclaraciones buscan guiar a los desarrolladores hacia el cumplimiento normativo en protección de datos, dada la creciente relevancia de estos sistemas en el ámbito digital.
1. El tratamiento «incidental» también se considera tratamiento de datos personales
Aunque algunos desarrolladores aseguren que el tratamiento de datos personales es accidental o no intencionado, esto no exime del cumplimiento del RGPD. Cualquier uso de datos personales, incluso incidental, está sujeto a la normativa de protección de datos. Es esencial evaluar de forma precisa si los modelos de IA manejan datos personales y aplicar las medidas correspondientes.
2. La práctica común no justifica el incumplimiento de expectativas razonables
El hecho de que ciertas prácticas sean habituales no implica que sean aceptables desde la perspectiva de los interesados. Usar datos personales para entrenar modelos de IA sin informar debidamente a los usuarios —por ejemplo, mediante técnicas como el web scraping— contraviene el principio de transparencia del RGPD. Es clave comunicar de manera clara y accesible el uso que se dará a los datos.
3. Diferencia clave entre «PII» y «datos personales»
Muchas organizaciones centran su cumplimiento en torno a la «información de identificación personal» (PII), pero el concepto legal relevante en el RGPD es más amplio: “dato personal” abarca cualquier información que pueda identificar directa o indirectamente a una persona física. Ignorar esta diferencia puede conducir a errores de cumplimiento.
4. La jurisprudencia sobre motores de búsqueda no es aplicable a la IA generativa
Algunos intentan aplicar decisiones judiciales relacionadas con buscadores al contexto de la IA generativa. Sin embargo, esta comparación no es válida. A diferencia de un buscador, la IA generativa sintetiza y crea nuevo contenido, lo que implica otros riesgos y obligaciones legales, especialmente en cuanto al ejercicio de derechos como el de supresión.
5. Los modelos de IA pueden incorporar y retener datos personales
Aunque algunos desarrolladores sostienen que sus modelos no almacenan datos personales, en realidad pueden retener información del entrenamiento. Esta información puede ser recuperable, lo que plantea implicaciones importantes respecto a la minimización de datos y al derecho de supresión establecido en el RGPD.
6. Protección de datos y su relación con otros marcos normativos
La protección de datos no debe utilizarse para interpretar la legalidad en otros marcos jurídicos. Si bien el tratamiento ilícito en otros ámbitos puede implicar una infracción del RGPD, las autoridades de protección de datos no son competentes para pronunciarse sobre otras normativas distintas a la de protección de datos.
7. No existe una excepción para la IA en el RGPD
Algunos desarrolladores han sugerido que la IA generativa debería tener un tratamiento especial dentro del RGPD, pero esto no es correcto. No existen excepciones ni exenciones generales: si se tratan datos personales, debe cumplirse íntegramente la normativa. Además, debe aplicarse la protección de datos desde el diseño y por defecto en todo el proceso de desarrollo y uso de la IA.
Una aportación clave
La publicación de la ICO representa una aportación clave para clarificar las obligaciones legales en el desarrollo de IA generativa. Estas orientaciones ayudan a evitar malentendidos y a garantizar el respeto a los derechos de los ciudadanos. Desde la AEPD se considera importante difundir estos mensajes para reforzar la responsabilidad de quienes desarrollan y utilizan sistemas de IA.
Esta información complementa otros recursos publicados por la AEPD, como:
Nota técnica EDPS-AEPD: 10 Malentendidos sobre el Machine Learning (sep 2022)
Requisitos para Auditorías de Tratamientos que incluyan IA (ene 2021)
Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial (feb 2020)
Guía de Privacidad desde el Diseño (oct 2019)
