El uso de la IA para recopilar datos es una cuestión clave para los reguladores de privacidad de la UE

Este artículo fue escrito por Isabel Gottlieb. Apareció anteriormente en la Terminal Bloomberg.

La tensión entre el voraz apetito por datos de la IA generativa y las limitaciones de la ley de privacidad de la UE sobre la recopilación de información es uno de los problemas más críticos que enfrentan los responsables de formular políticas, dijo uno de los principales funcionarios de privacidad del bloque.

“El mayor desafío es conocer y comprender para qué fines se recopilan los datos”, y cómo se transferirán entre las entidades, dijo Wojciech Wiewiórowski, Supervisor Europeo de Protección de Datos.

Señaló que los conceptos de limitación de propósitos y minimización de datos, que requieren que los datos se recopilen solo para fines específicos y solo cuando sea necesario para esos fines, son cruciales para evaluar las implicaciones de privacidad de la IA.

Wiewiórowski, quien supervisa la protección de datos dentro de los organismos e instituciones de la UE y asesora a los legisladores sobre las implicaciones para la privacidad de la política de la UE, habló con Bloomberg Law en una entrevista pregrabada que se transmitió el miércoles.

Implicaciones de privacidad de la IA generativa

Las plataformas de IA generativa ingieren grandes cantidades de datos para entrenar. No está claro cómo o si ese modelo colisionará con la ley de privacidad de la UE, que considera la privacidad como un derecho fundamental y pone límites a la forma en que se utilizan los datos personales.

La tecnología ya ha sido objeto de escrutinio de los reguladores de privacidad de la UE.

ChatGPT fue bloqueado en Italia a principios de este año cuando la autoridad de protección de datos del país investigó la plataforma, aunque desde entonces se ha restaurado el acceso.

Las empresas que desarrollan y utilizan la tecnología deberían realizar una autoevaluación sobre cómo están utilizando los datos, en lugar de que los reguladores prohíban muchos usos de la tecnología, dijo Wiewiórowski. Los funcionarios europeos de protección de datos apoyan la prohibición de la IA aplicada al reconocimiento facial y las tecnologías biométricas remotas, agregó.

“Lo que mi cliente sabe sobre las cosas que se hacen con sus datos, con información sobre él, es lo más importante”. Prefiero insistir en que las empresas o entidades o los científicos se hagan estas preguntas ellos mismos, y puedan responderlas y registrar las respuestas que dieron”, dijo.

La UE está negociando una Ley de Inteligencia Artificial, que determina un mayor escrutinio para los usos de mayor riesgo de la IA, como la puntuación crediticia para préstamos o la aplicación de la ley. Pero la Ley de IA no hará mucho para abordar las preocupaciones de privacidad, agregó Wiewiórowski.

En su impresión inicial, una Ley de IA de la UE “no cambia nada desde el punto de vista de la protección de datos porque la mayoría de las preguntas de protección de datos ya están respondidas en el Reglamento General de Protección de Datos (RGPD) y la otra regulación”. Pero un proyecto de ley más reciente, con su marco basado en el riesgo, puede facilitar la autoevaluación de las empresas y el monitoreo del mercado, dijo.

No obstante, dijo que los reguladores ya tienen una “caja de herramientas” para lidiar con la IA.

“Por supuesto, esta caja de herramientas se puede mejorar”, agregó. “Pero eso no significa que estemos indefensos en este momento”.

Aplicación centralizada del RGPD

Según Wiewiórowski, los reguladores europeos de la privacidad también están considerando reformas del RGPD, centradas en facilitar la aplicación transfronteriza de la ley.

Una revisión comenzará el próximo año, sentando las bases para que el Parlamento Europeo y la Comisión Europea propongan cambios en 2025, dijo Wiewiórowski. Añadió que en el corto plazo no se introducirán cambios sustanciales en la ley europea sobre protección de datos.

Los procedimientos para la aplicación del Reglamento General de Protección de Datos, la histórica ley de privacidad de la UE que entró en vigor en 2018, pueden resultar insuficientes cuando las quejas abarcan múltiples estados miembros, dijo Wiewiórowski.

“Tienes las quejas, que provienen de 29 países, y el país 30 es donde se realiza el procedimiento”, dijo.

El RGPD permite a las personas presentar quejas a sus autoridades nacionales de protección de datos sobre cómo se han manejado sus datos personales.

Las respuestas a preguntas como qué tan rápido o robusto es el proceso pueden diferir de un país a otro o cuando se trata de grandes empresas tecnológicas, añadió.

Wiewiórowski ha pedido que la aplicación del RGPD sea más centralizada para ayudar a abordar los enfoques desiguales de su aplicación.

“No me refiero al establecimiento de un organismo central o una autoridad central de protección de datos, sino más bien al papel del CEPD, el Comité Europeo de Protección de Datos, como organismo que conecta a todos los comisarios de protección de datos en Europa”, dijo.

¿Convergencia EE. UU. y la UE?

La falta de una ley federal de privacidad en EE. UU. no es necesariamente un obstáculo importante para la alineación con la UE, dijo Wiewiórowski. Algunos países sin leyes integrales de protección de datos son aceptables para la UE, mientras que otros, como China y Rusia, tienen leyes integrales de privacidad, pero la UE no los reconoce como respetuosos de la privacidad, agregó.

“¿Cuáles son las principales diferencias? Bueno, alguien dijo hace años que la definición de una ley de privacidad infernal sería la ley europea con aplicación estadounidense”, dijo. “En mi opinión esa sería una buena solución”. Los europeos son buenos creando bases legales para la protección de la privacidad, y EE. UU. es bueno en la aplicación punto por punto, agregó.

“Así que no hablemos mucho sobre las diferencias. Las conocemos. Sabemos que existen”, dijo. “Tratemos de hablar sobre las formas de construir puentes y cooperar juntos, lo cual es posible”.