Havien de passar diversos intents i reunions a nivell tècnic perquè els ambaixadors dels Vint-i-set es decidissin a donar el seu vistiplau a la posició negociadora sobre les noves regles digitals comunitàries. Els últims flecs del paquet amb què Brussel·les pretén simplificar el marc normatiu tecnològic i, al mateix temps, "estimul·lar la innovació" havien trobat resistències entre algunes capitals, amb Alemanya entre els països que mantenien bloquejat l'acord.
Ha estat aquesta setmana quan els últims ajustos del denominat "òmnibus digital" han rebut l'aval del Consell de la UE per començar les negociacions amb el Parlament Europeu de cara a la seva adopció definitiva.
El cert és que el text introdueix modificacions clau en el Reglament General de Protecció de Dades (RGPD), la Llei de Dades i la Llei d'Intel·ligència Artificial. Fonts comunitàries asseguren que l'objectiu central "és eliminar complexitat", tot i que els més escèptics adverteixen que la reforma estaria obrint la porta a utilitzar informació especialment protegida durant l'entrenament de sistemes d'IA.
"La Presidència irlandesa ha treballat per aconseguir un acord oportú en el Consell, de manera que aquestes millores puguin començar a generar beneficis reals quant abans", afirmava la ministra d'Afers Exteriors d'Irlanda, Helen McEntee.
L'interès legítim entra en l'entrenament de la IA
Finalment, el borrador sobre el qual començarà a negociar-se l'acord definitiu estableix regles específiques per habilitar i regular l'ús de dades personals al llarg de tot el cicle de vida dels sistemes d'intel·ligència artificial. Això inclou des del seu entrenament fins a les fases de prova, validació i funcionament posterior.
Els Estats membres han acordat aclarir explícitament que el desenvolupament i funcionament de sistemes d'IA, incloent-hi els grans models de llenguatge i els sistemes de vídeo generatiu, pot fonamentar-se en l'interès legítim del responsable del tractament, una de les bases jurídiques contemplades en el RGPD. Del mateix mode, les autoritats i organismes públics podran recolzar-se en la base jurídica de l'interès públic o de l'exercici de poders públics quan desenvolupin o entrenin els seus propis models d'intel·ligència artificial.
Tanmateix, el desenvolupament d'un model d'IA no constituirà, per si sol, un interès legítim automàtic. La seva aplicació haurà d'avaluar-se en cada cas concret, ponderant la finalitat perseguida pel desenvolupador davant dels drets i llibertats dels usuaris.
Aquesta base jurídica no podrà utilitzar-se quan prevalguin els drets dels interessats, especialment si es tracta de menors, o quan una disposició legal exigeixi expressament el consentiment per realitzar un determinat tractament.
Què ocorre amb les dades sensibles?
Una de les principals novetats tècniques de l'acord resideix en la manera d'abordar la presència imprevista de dades especialment sensibles, com les relatives a la salut, l'origen ètnic o les opinions polítiques, en els grans volums d'informació utilitzats per entrenar models d'intel·ligència artificial.
El Consell aposta per introduir un nou supòsit d'excepció per permetre el tractament incidental i residual de categories especials de dades quan aquestes no constitueixin l'objectiu del responsable del tractament. És a dir, la flexibilització no suposa una autorització general per recopilar deliberadament informació sensible amb la finalitat d'entrenar sistemes d'IA, sinó que pretén oferir una resposta jurídica a aquells supòsits en què aquestes dades apareixen de manera imprevista en els conjunts d'entrenament.
Per això, els desenvolupadors hauran d'aplicar prèviament mesures tècniques i organitzatives, com mecanismes de filtratge durant la fase de recopilació, destinats a evitar la incorporació d'informació especialment protegida.
Ara bé, si, malgrat aquestes precaucions, es detecten dades sensibles en els conjunts d'entrenament, durant la validació o en el propi sistema, el responsable estarà obligat a eliminar-los sense dilació indeguda.
La proposta també contempla aquells escenaris en què el borrat resulti tècnicament impossible o exigeixi un esforç manifestament desproporcionat. Per exemple, quan determinada informació hagi quedat "memorizada" en els pesos del model i la seva eliminació requereixi un nou procés d'entrenament. En aquests supòsits, el responsable haurà de garantir una protecció eficaç de les dades afectades, impedint que continuïn sent tractades, evitant la seva utilització per generar inferències i adoptant mesures perquè no puguin revelar-se a tercers.
Més flexibilitat, però també noves salvaguardes
Per compensar aquesta flexibilització de les bases jurídiques, el text incorpora una sèrie d'obligacions addicionals dirigides als desenvolupadors d'intel·ligència artificial. En primer lloc, hauran d'aplicar el principi de minimització de dades des de la pròpia selecció de les fonts d'informació, a més d'implementar instruments destinats a prevenir filtracions o divulgacions indegudes.
Juntament amb aquestes garanties, la proposta reconeix als usuaris el dret incondicional a oposar-se al tractament de les seves dades personals per al desenvolupament d'aquestes tecnologies.
Un altre dels canvis rellevants afecta a la pròpia interpretació del concepte de dada personal. Els Estats membres han volgut aclarir que, seguint la jurisprudència del Tribunal de Justicia de la Unió Europea (TJUE), una informació no ha de considerar-se necessàriament una dada personal per a qualsevol entitat pel mero fet que un tercer pugui identificar l'usuari.
D'aquesta manera, quan una organització no disposi de mitjans raonables per identificar una persona, aquesta informació podrà deixar de considerar-se una dada personal des de la perspectiva d'aquesta entitat. Aquesta interpretació també afecta als dades pseudonimitzades transmeses a tercers, que podran quedar fora d'aquesta consideració per al receptor quan la possibilitat de reidentificació sigui insignificant o tècnicament impossible.
Igualment, el borrador introdueix ajustaments en l'exercici dels drets d'accés contemplats en el RGPD. Els responsables del tractament podran rebutjar o cobrar per aquelles sol·licituds que resultin manifestament abusives o excessives, incloent les peticions automatitzades massives llançades mitjançant agents d'IA maliciosos.
Una reorganització de l'ecosistema regulatori europeu
Més enllà de la protecció de dades, l'òmnibus digital planteja una reestructuració de l'ecosistema normatiu europeu amb un impacte directe sobre la competitivitat del sector tecnològic de la Unió.
La proposta contempla la derogació de capítols complets de la Llei de Governança de Dades i la integració de les disposicions de la Directiva de Dades Obertes dins de la Llei de Dades. Amb això, Brussel·les pretén concentrar bona part del marc regulatori en dos grans instruments normatius, reduint la fragmentació legislativa i les càrregues administratives per a les empreses.
Segons defensen les institucions comunitàries, aquesta reorganització permetrà simplificar els procediments necessaris per accedir a dades públiques i de recerca, facilitant la seva reutilització per part dels operadors econòmics. A més, els registres de serveis d'intermediació de dades i d'organitzacions d'altruisme de dades passaran a tenir caràcter voluntari, acompanyats d'un segell de reconeixement de la UE.
El text també incorpora disposicions destinades a reforçar la posició de les petites i mitjanes empreses davant de les grans plataformes tecnològiques. En particular, les autoritats públiques podran establir condicions especials i tarifes més elevades per als gatekeepers, és a dir, els guardians d'accés designats en virtut de la Llei de Mercats Digitals, quan sol·licitin reutilitzar determinades dades obertes o protegides.
Per últim, el Consell introdueix un denominat "mecanisme de freno de mano" destinat a protegir els secrets comercials i industrials davant de les sol·licituds d'accés procedents de tercers països. Aquesta eina permetrà establir restriccions quan existeixin riscos de filtració d'informació empresarial sensible o quan les jurisdiccions sol·licitants no ofereixin garanties legals suficients per assegurar la seva protecció.
Amb aquest conjunt de modificacions, els Vint-i-set busquen avançar cap a un marc digital menys fragmentat i més favorable al desenvolupament tecnològic europeu. No obstant això, l'equilibri entre la simplificació normativa, la competitivitat de la indústria i la protecció efectiva dels drets fonamentals tornarà a situar-se al centre de les negociacions amb l'Eurocambra, especialment pel que fa a l'ús de dades personals i categories especials d'informació per a l'entrenament de la intel·ligència artificial.