El Grupo Europeo de Protección de Datos emite opinión sobre el procesamiento de datos durante el despliegue de modelos de IA

El organismo de privacidad de la Unión Europea se pronunció sobre los problemas emergentes relacionados con la legalidad de la GenAI. El board exploró lagunas que los desarrolladores de IA pueden explotar para procesar datos personales sin violar la legislación actual.  

El Grupo Europeo de Protección de Datos planteó dudas sobre la base legal para que los desarrolladores de IA procesen los datos personales de los usuarios. En una opinión publicado del 17 de diciembre, el board abordó varias cuestiones de aplicación general en cumplimiento con el artículo 64(2) del RGPD.  

El organismo de privacidad de la Unión Europea se pronuncia sobre problemas en protección de datos y despliegue de IA 

El Grupo Europeo de Protección de Datos (EDPB) emitió la opinión a solicitud de la autoridad supervisora irlandesa. El board señaló que tenía un mandato estatutario bajo el Reglamento General de Protección de Datos (RGPD) para emitir una opinión sobre asuntos que afectan a más de un estado miembro dentro de la Unión Europea. 

La agencia señaló que las solicitudes presentadas por el organismo irlandés se relacionaban con el procesamiento de datos personales durante las fases de desarrollo y despliegue de la Inteligencia Artificial (IA). Limitó la opinión a cuatro cuestiones relacionadas con la protección de datos dentro de la Unión Europea. 

Las cuestiones incluían cuándo y cómo un modelo de IA puede considerarse anónimo y cómo los responsables del tratamiento pueden ilustrar la necesidad de un interés legítimo en el despliegue. El board también exploró las consecuencias del procesamiento ilegal de datos durante la fase de desarrollo de un modelo de IA en la operación posterior del modelo de IA. 

Con respecto a la pregunta de cuándo y cómo puede determinarse el anonimato de un modelo de IA, el organismo declaró que una autoridad local competente debería tomar dicha determinación caso por caso. El board expresó que no consideraba anónimos todos los modelos de IA entrenados utilizando datos personales. 

El organismo recomendó que las autoridades supervisoras nacionales evalúen la documentación relevante que el responsable del tratamiento proporciona para determinar el anonimato de un modelo. Añadió que los responsables del tratamiento también deben tomar las medidas pertinentes para limitar la recopilación de datos personales durante el entrenamiento y mitigar posibles ataques.

Sobre la cuestión del interés legítimo como base legal adecuada para el procesamiento de datos personales durante el despliegue de modelos de IA, el board dejó a los responsables del tratamiento determinar la base legal adecuada para procesar dichos datos. 

El EDPB enfatizó la prueba de tres pasos para determinar el interés legítimo por parte de los organismos supervisores. Los pasos incluían identificar el interés legítimo real y analizar su necesidad. Los responsables del tratamiento también deben evaluar si el interés legítimo se equilibra con los derechos y libertades de los interesados. 

Al evaluar las consecuencias, el organismo remitió la discreción a las autoridades supervisoras en los respectivos estados. Añadió que las AS deberían elegir las consecuencias apropiadas dependiendo de los hechos de cada escenario. 

La Comisión de Protección de Datos de Irlanda comenta la opinión del EDPB sobre la regulación de modelos de IA 

La Comisión de Protección de Datos de Irlanda respondió en un comunicado señalando que la opinión promovería una regulación efectiva y coherente de los modelos de IA en la UE. El comisionado Dale Sunderland comentó:

También apoyará el compromiso de la DPC con las empresas que desarrollan nuevos modelos de IA antes de su lanzamiento en el mercado de la UE, así como el manejo de las muchas quejas relacionadas con la IA que se han presentado a la DPC.

Dale Sunderland 

Las quejas contra el creador de ChatGPT, OpenAI, han sido puestas en el marco de atención en los últimos meses. La Autoridad de Protección de Datos de Polonia planteó dudas el año pasado sobre el cumplimiento del desarrollador de IA con el RGPD. 

La autoridad alegó que OpenAI pasó por alto requisitos como la consulta previa con los reguladores cuando existía riesgo de violación de datos personales. El regulador señaló que OpenAI lanzó ChatGPT sin consultar a los reguladores locales, en contravención de las directrices del RGPD. 

El Garante de Italia también ordenó a OpenAI cesar el procesamiento de datos personales en 2023 antes de abordar los problemas que había identificado con la plataforma de la empresa. Destacó que la empresa con sede en San Francisco carecía de medidas para prevenir el acceso de menores a la tecnología, como exige la ley. 

La autoridad regulatoria advirtió que el incumplimiento de las directrices atraería sanciones, incluyendo un cuatro por ciento de la facturación anual o veinte millones de euros, lo que fuera mayor.