Tuvieron que pasar varios intentos y reuniones a nivel técnico para que los embajadores de los Veintisiete se decidieran a dar su visto bueno a la posición negociadora sobre las nuevas reglas digitales comunitarias. Los últimos flecos del paquete con el que Bruselas pretende simplificar el marco normativo tecnológico y, al mismo tiempo, "estimular la innovación" habían encontrado resistencias entre algunas capitales, con Alemania entre los países que mantenían bloqueado el acuerdo.
Ha sido esta semana cuando los últimos ajustes del denominado "ómnibus digital" han recibido el aval del Consejo de la UE para comenzar las negociaciones con el Parlamento Europeo de cara a su adopción definitiva.
Lo cierto es que el texto introduce modificaciones clave en el Reglamento General de Protección de Datos (RGPD), la Ley de Datos y la Ley de Inteligencia Artificial. Fuentes comunitarias aseguran que el objetivo central "es eliminar complejidad", aunque los más escépticos advierten de que la reforma estaría abriendo la puerta a utilizar información especialmente protegida durante el entrenamiento de sistemas de IA.
"La Presidencia irlandesa ha trabajado para lograr un acuerdo oportuno en el Consejo, de modo que estas mejoras puedan empezar a generar beneficios reales cuanto antes", afirmaba la ministra de Asuntos Exteriores de Irlanda, Helen McEntee.
El interés legítimo entra en el entrenamiento de la IA
Finalmente, el borrador sobre el que comenzará a negociarse el acuerdo definitivo establece reglas específicas para habilitar y regular el uso de datos personales a lo largo de todo el ciclo de vida de los sistemas de inteligencia artificial. Esto incluye desde su entrenamiento hasta las fases de prueba, validación y funcionamiento posterior.
Los Estados miembros han acordado aclarar explícitamente que el desarrollo y funcionamiento de sistemas de IA, incluidos los grandes modelos de lenguaje y los sistemas de vídeo generativo, puede fundamentarse en el interés legítimo del responsable del tratamiento, una de las bases jurídicas contempladas en el RGPD. Del mismo modo, las autoridades y organismos públicos podrán apoyarse en la base jurídica del interés público o del ejercicio de poderes públicos cuando desarrollen o entrenen sus propios modelos de inteligencia artificial.
Sin embargo, el desarrollo de un modelo de IA no constituirá, por sí solo, un interés legítimo automático. Su aplicación deberá evaluarse en cada caso concreto, ponderando la finalidad perseguida por el desarrollador frente a los derechos y libertades de los usuarios.
Esta base jurídica no podrá utilizarse cuando prevalezcan los derechos de los interesados, especialmente si se trata de menores, o cuando una disposición legal exija expresamente el consentimiento para realizar un determinado tratamiento.
¿Qué ocurre con los datos sensibles?
Una de las principales novedades técnicas del acuerdo reside en la manera de abordar la presencia imprevista de datos especialmente sensibles, como los relativos a la salud, el origen étnico o las opiniones políticas, en los grandes volúmenes de información utilizados para entrenar modelos de inteligencia artificial.
El Consejo apuesta por introducir un nuevo supuesto de excepción para permitir el tratamiento incidental y residual de categorías especiales de datos cuando estos no constituyan el objetivo del responsable del tratamiento. Es decir, la flexibilización no supone una autorización general para recopilar deliberadamente información sensible con la finalidad de entrenar sistemas de IA, sino que pretende ofrecer una respuesta jurídica a aquellos supuestos en los que estos datos aparecen de manera imprevista en los conjuntos de entrenamiento.
Para ello, los desarrolladores deberán aplicar previamente medidas técnicas y organizativas, como mecanismos de filtrado durante la fase de recopilación, destinados a evitar la incorporación de información especialmente protegida.
Ahora bien, si, pese a estas precauciones, se detectan datos sensibles en los conjuntos de entrenamiento, durante la validación o en el propio sistema, el responsable estará obligado a eliminarlos sin dilación indebida.
La propuesta también contempla aquellos escenarios en los que el borrado resulte técnicamente imposible o exija un esfuerzo manifiestamente desproporcionado. Por ejemplo, cuando determinada información haya quedado "memorizada" en los pesos del modelo y su eliminación requiera un nuevo proceso de entrenamiento. En estos supuestos, el responsable deberá garantizar una protección eficaz de los datos afectados, impidiendo que continúen siendo tratados, evitando su utilización para generar inferencias y adoptando medidas para que no puedan revelarse a terceros.
Más flexibilidad, pero también nuevas salvaguardias
Para compensar esta flexibilización de las bases jurídicas, el texto incorpora una serie de obligaciones adicionales dirigidas a los desarrolladores de inteligencia artificial. En primer lugar, deberán aplicar el principio de minimización de datos desde la propia selección de las fuentes de información, además de implementar instrumentos destinados a prevenir filtraciones o divulgaciones indebidas.
Junto con estas garantías, la propuesta reconoce a los usuarios el derecho incondicional a oponerse al tratamiento de sus datos personales para el desarrollo de estas tecnologías.
Otro de los cambios relevantes afecta a la propia interpretación del concepto de dato personal. Los Estados miembros han querido aclarar que, siguiendo la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE), una información no debe considerarse necesariamente un dato personal para cualquier entidad por el mero hecho de que un tercero pueda identificar al usuario.
De este modo, cuando una organización no disponga de medios razonables para identificar a una persona, esa información podrá dejar de considerarse un dato personal desde la perspectiva de dicha entidad. Esta interpretación también afecta a los datos seudonimizados transmitidos a terceros, que podrán quedar fuera de esta consideración para el receptor cuando la posibilidad de reidentificación sea insignificante o técnicamente imposible.
Asimismo, el borrador introduce ajustes en el ejercicio de los derechos de acceso contemplados en el RGPD. Los responsables del tratamiento podrán rechazar o cobrar por aquellas solicitudes que resulten manifiestamente abusivas o excesivas, incluidas las peticiones automatizadas masivas lanzadas mediante agentes de IA maliciosos.
Una reorganización del ecosistema regulatorio europeo
Más allá de la protección de datos, el ómnibus digital plantea una reestructuración del ecosistema normativo europeo con un impacto directo sobre la competitividad del sector tecnológico de la Unión.
La propuesta contempla la derogación de capítulos completos de la Ley de Gobernanza de Datos y la integración de las disposiciones de la Directiva de Datos Abiertos dentro de la Ley de Datos. Con ello, Bruselas pretende concentrar buena parte del marco regulatorio en dos grandes instrumentos normativos, reduciendo la fragmentación legislativa y las cargas administrativas para las empresas.
Según defienden las instituciones comunitarias, esta reorganización permitirá simplificar los procedimientos necesarios para acceder a datos públicos y de investigación, facilitando su reutilización por parte de los operadores económicos. Además, los registros de servicios de intermediación de datos y de organizaciones de altruismo de datos pasarán a tener carácter voluntario, acompañados de un sello de reconocimiento de la UE.
El texto también incorpora disposiciones destinadas a reforzar la posición de las pequeñas y medianas empresas frente a las grandes plataformas tecnológicas. En particular, las autoridades públicas podrán establecer condiciones especiales y tarifas más elevadas para los gatekeepers, es decir, los guardianes de acceso designados en virtud de la Ley de Mercados Digitales, cuando soliciten reutilizar determinados datos abiertos o protegidos.
Por último, el Consejo introduce un denominado "mecanismo de freno de mano" destinado a proteger los secretos comerciales e industriales frente a las solicitudes de acceso procedentes de terceros países. Esta herramienta permitirá establecer restricciones cuando existan riesgos de filtración de información empresarial sensible o cuando las jurisdicciones solicitantes no ofrezcan garantías legales suficientes para asegurar su protección.
Con este conjunto de modificaciones, los Veintisiete buscan avanzar hacia un marco digital menos fragmentado y más favorable al desarrollo tecnológico europeo. Sin embargo, el equilibrio entre la simplificación normativa, la competitividad de la industria y la protección efectiva de los derechos fundamentales volverá a situarse en el centro de las negociaciones con la Eurocámara, especialmente en lo relativo al uso de datos personales y categorías especiales de información para el entrenamiento de la inteligencia artificial.