"Los ómnibus son siempre complejos. Hay que tener muchas cosas en cuenta", resume una alta fuente diplomática por los pasillos de la rotonda Schuman. Sobre la mesa de los Veintisiete continúa uno de los principales reflejos de la reforma de parte de la regulación digital comunitaria. Este viernes, un nuevo expediente de reforma del Reglamento General de Protección de Datos (RGPD) se someterá al examen de las capitales con el objetivo de aportar mayor seguridad jurídica al uso de datos personales en los procesos de desarrollo y entrenamiento de sistemas de inteligencia artificial.
El equipo negociador de la Presidencia irlandesa del Consejo de la Unión Europea llega a la reunión defendiendo que la propuesta que se debatirá busca, precisamente, aportar claridad jurídica al tratamiento de datos personales en el contexto del desarrollo de la IA, sin alterar el marco general de protección establecido por el RGPD.
Según ha podido saber DEMÓCRATA, la idea que Irlanda trasladará a la sala es que las obligaciones del Reglamento General de Protección de Datos se mantienen, incluido uno de sus elementos centrales y más discutidos: el artículo 6, que establece las bases jurídicas que permiten tratar datos personales de forma lícita.
Los Estados miembros recibieron el último borrador de la propuesta este mismo lunes y "todavía se está estudiando", explican fuentes del Ejecutivo español. Dublín defiende que actualmente el RGPD no contiene una disposición específica sobre el desarrollo de sistemas de inteligencia artificial ni sobre cómo abordar jurídicamente determinadas operaciones de tratamiento de datos vinculadas a estas tecnologías.
Irlanda busca despejar la incertidumbre jurídica
La Presidencia irlandesa no pretende plantear, según su interpretación de la propuesta, un alejamiento de las obligaciones y salvaguardas previstas para los usuarios. El objetivo declarado es introducir una referencia jurídica específica que permita determinar en qué condiciones puede utilizarse información personal durante el ciclo de desarrollo de los sistemas de IA.
El texto permitiría el tratamiento de datos personales para el desarrollo y entrenamiento de estos sistemas "cuando exista un interés legítimo", aunque esta posibilidad quedaría sometida al resto de requisitos establecidos por el RGPD. La cuestión central pasa, por tanto, por determinar qué significa exactamente ese "interés legítimo" y hasta dónde puede utilizarse como base jurídica para alimentar sistemas de inteligencia artificial.
Irlanda explica que la propuesta que ahora se discute no modifica la obligación del responsable del tratamiento de seleccionar una base jurídica apropiada para cada operación de tratamiento conforme al RGPD. Esa base podría ser, por ejemplo, el consentimiento del interesado, pero también otras de las previstas en el Reglamento, entre ellas el interés legítimo.
El equipo encargado de elaborar la propuesta sostiene que las medidas apropiadas, las salvaguardas y las protecciones de los derechos y libertades de los interesados seguirían siendo aplicables. El cambio busca, por tanto, precisar cómo encajar determinadas operaciones relacionadas con la IA dentro del marco jurídico existente.
España mantiene una posición más flexible
España mantiene en estos debates una posición que las voces consultadas definen como "más flexible que otros Estados miembros", aunque todavía no se ha producido un intento de elevar el documento hasta el nivel de los embajadores permanentes.
Hasta ahora, las discusiones se han mantenido en una escala inferior, dentro del grupo de trabajo correspondiente del Consejo. Ante las preguntas de DEMÓCRATA, el Gobierno ha evitado valorar por el momento el contenido del último texto de compromiso. El proceso avanza además en paralelo a las negociaciones del Parlamento Europeo, que también trabaja en la construcción de su propia posición sobre la reforma.
Noticia destacada
Laura Ballarín (S&D) : "La Inteligencia Artificial no puede quedar solo en manos de las grandes empresas"
10 minutos
El ajuste del marco jurídico aplicable al tratamiento de datos personales en los servicios de inteligencia artificial responde a una petición de los Estados miembros derivada del conocido como "ómnibus digital", la reforma de parte de la legislación digital europea que entró en vigor en julio.
Aquella modificación abrió la puerta a una revisión más específica de determinadas cuestiones vinculadas al uso de datos para el desarrollo de sistemas de IA. La petición de las capitales se ha traducido ahora en un texto de compromiso elaborado por la Presidencia irlandesa.
Este tipo de documentos constituye una herramienta habitual de las presidencias rotatorias para intentar desbloquear expedientes legislativos. El texto de compromiso sintetiza las diferentes posiciones nacionales e intenta acercarlas hacia una fórmula susceptible de reunir el consenso de los Veintisiete, aunque no constituye todavía el resultado definitivo de la negociación.
El interés legítimo, en el centro del debate
El borrador ahora en discusión deja claro que el uso de datos personales en herramientas de inteligencia artificial deberá estar respaldado por una base jurídica válida conforme al RGPD y acompañado de salvaguardas específicas. La principal novedad introducida por Irlanda se encuentra precisamente en la concreción del interés legítimo como una de las vías que podrían utilizarse para el desarrollo y entrenamiento de sistemas de IA.
La Presidencia plantea que pueda recurrirse al interés legítimo del responsable del tratamiento o de un tercero siempre que no prevalezcan los derechos y libertades fundamentales del interesado. El texto presta especial atención a los casos en los que los datos pertenecen a menores, para los que se contemplan garantías reforzadas.
Noticia destacada
Cómo la decisión de Trump sobre Anthropic impulsa una revolución digital "Made in Europe"
6 minutos
El consentimiento constituye otra de las bases jurídicas relevantes. La Presidencia irlandesa plantea mantener su plena validez cuando sea exigido expresamente por otras normas de la Unión Europea o por la legislación nacional aplicable, así como cuando el propio responsable del tratamiento decida solicitarlo. La tercera vía contemplada es el interés público, que podría resultar aplicable al tratamiento realizado por autoridades y organismos públicos en el ejercicio de sus competencias.
La arquitectura propuesta no elimina, por tanto, las diferentes bases jurídicas previstas por el RGPD. Lo que pretende es definir con mayor precisión cómo pueden operar en un entorno tecnológico en el que el tratamiento masivo de información constituye una parte esencial del desarrollo de los modelos de IA.
Minimización, transparencia y derecho de oposición
Para que un tratamiento basado en el interés legítimo pueda considerarse lícito durante el ciclo de vida de un sistema de IA, los Estados miembros discuten además una serie de condiciones adicionales.
Una de ellas pasa por evaluar si el desarrollo del modelo aporta beneficios para los usuarios o para la sociedad. Entre los ejemplos que se manejan aparecen el desarrollo de mecanismos destinados a detectar y eliminar sesgos discriminatorios o la mejora de la precisión y seguridad de los resultados generados por los sistemas.
Las capitales también estudian reforzar la aplicación del principio de minimización de datos, de manera que este se tenga en cuenta desde la fase de selección de las fuentes y durante las distintas etapas de entrenamiento y prueba del modelo.
La lógica es que los desarrolladores no puedan tratar indiscriminadamente toda la información disponible por el mero hecho de que pueda resultar potencialmente útil para entrenar un sistema. El tratamiento deberá guardar una relación con la finalidad perseguida y respetar las garantías generales del RGPD.
A ello se suma la obligación de proporcionar información clara a los interesados sobre el uso de sus datos personales para el desarrollo de sistemas de IA. Irlanda ha propuesto además que los usuarios dispongan de una posibilidad incondicional de oponerse a que sus datos personales sean procesados para fines relacionados con la inteligencia artificial.
El texto plantea igualmente que los desarrolladores deban respetar las indicaciones y limitaciones técnicas incorporadas en sitios web o servicios para restringir el uso de determinados datos por terceros. Se trata de introducir en el propio proceso de recopilación una consideración específica de las restricciones que los titulares de los contenidos puedan establecer.
El límite de los datos sensibles
Uno de los puntos más delicados del expediente afecta al tratamiento de categorías especiales de datos personales, cuya utilización está sometida a garantías reforzadas por el marco europeo de protección de datos. La última propuesta plantea que la presencia de este tipo de información en conjuntos de datos utilizados para entrenamiento o validación solo pueda justificarse de manera excepcional cuando sea incidental, no intencionada y residual.
Se trata de información especialmente sensible relacionada, entre otras cuestiones, con la salud, la religión, las opiniones políticas o los datos biométricos. Dublín plantea que los responsables del tratamiento puedan aplicar técnicas destinadas a evitar la recopilación de este tipo de información. En caso de que, pese a esas medidas, se detecten datos sensibles dentro de los conjuntos utilizados para el desarrollo del sistema, el responsable deberá eliminarlos sin dilación.
Noticia destacada
Demócrata entra en el debate del dilema europeo sobre la IA: regular sin frenar la innovación
7 minutos
El borrador contempla, sin embargo, una situación especialmente relevante para los desarrolladores: que la eliminación de esa información resulte técnicamente imposible o requiera un esfuerzo desproporcionado.
En ese supuesto, no se impondría necesariamente la destrucción del modelo completo. En su lugar, el responsable debería bloquear y proteger eficazmente los datos afectados para impedir que puedan volver a ser tratados, utilizados para inferir resultados o revelados a terceros.
Esta cuestión resulta especialmente relevante porque introduce una distinción entre el dato personal concreto y el propio modelo de IA. El objetivo es evitar que la aparición incidental de información sensible obligue automáticamente a descartar todo el sistema desarrollado, siempre que existan mecanismos eficaces para impedir que esos datos continúen produciendo efectos.
Un texto todavía abierto antes de llegar a Coreper
Irlanda llegará a la reunión del grupo de trabajo del viernes con esta propuesta bajo el brazo, después de haber consultado previamente el estado de ánimo de las distintas capitales.
Los Estados miembros todavía tienen margen para oponerse a determinados elementos del texto o plantear nuevas enmiendas. El siguiente paso dependerá precisamente de hasta qué punto la Presidencia considere que existe una base suficiente para elevar la discusión. Solo si se percibe un nivel elevado de consenso el expediente podría avanzar hacia la mesa de los representantes permanentes de los Veintisiete, el conocido como Coreper, para posteriormente continuar su tramitación a nivel ministerial.
Fuentes diplomáticas consultadas por DEMÓCRATA apuntan, no obstante, a que el documento podría llegar a los embajadores incluso con "uno o dos artículos pendientes de consenso", de modo que sean los propios representantes permanentes quienes intenten cerrar esas cuestiones.
El expediente se encuentra, por tanto, todavía en una fase abierta. La discusión del viernes no determinará necesariamente el texto definitivo, pero sí permitirá comprobar hasta qué punto las capitales están dispuestas a aceptar una fórmula que busca introducir mayor seguridad jurídica para el desarrollo de la IA sin alterar la arquitectura general del RGPD.
"Tampoco se sabe aún si el texto estará maduro para Coreper", señala otra fuente presente en las negociaciones en el Consejo. Esa será precisamente una de las principales incógnitas que deberá despejar la reunión del grupo de trabajo.