La AEPD publicó el pasado 21 de julio una nota técnica que aborda una cuestión hasta ahora poco desarrollada: cómo se proyectan la exactitud y la minimización del RGPD sobre tratamientos con sistemas de inteligencia artificial. El documento constituye una de las primeras aproximaciones regulatorias que analiza de forma específica y sistemática la relación entre calidad de los datos, exactitud y desarrollo de sistemas de IA desde la óptica de protección de datos, el documento está pensado para Responsables, Encargados y DPD, y también para quienes desarrollan, prueban o mantienen sistemas que necesitan conjuntos de datos para funcionar.
Calidad de los datos y exactitud del RGPD: ¿son lo mismo?
Todo el análisis parte de una distinción de base. El RGPD, de hecho, no usa la expresión “calidad de los datos”, solo aparece, de pasada, en el art. 47.2.d, sobre normas corporativas vinculantes, pero en cambio, sí regula dos principios con una función instrumental parecida: la minimización (art. 5.1.c) y la exactitud (art. 5.1.d). La calidad de los datos, tal como la definen estándares como ISO 25012, ISO 8000 o ISO 22989, es un concepto más amplio: se aplica también a datos no personales y remite, en el fondo, a si esos datos sirven para lo que se necesitan en un contexto de uso concreto.
Ahí está el matiz que la AEPD quiere dejar claro: el término “exactitud” de los estándares técnicos, la llamada “exactitud-ISO”, el grado en que un dato refleja correctamente un valor real no equivale a la exactitud del RGPD. La primera puede ayudar a alcanzar la segunda, pero no la agota ni es siempre necesaria La AEPD propone interpretar la exactitud del RGPD como un requisito vinculado a la idoneidad de los datos para cumplir la finalidad del tratamiento, lo que según el caso puede traducirse en precisión, granularidad, frecuencia de actualización o ausencia de sesgo, sin que la veracidad o la actualidad absolutas sean exigibles en todos los supuestos.
La lectura tiene su reverso: forzar una exactitud entendida como veracidad y actualidad plenas, más allá de lo que exige la finalidad, chocaría con la minimización y supondría, según la nota de la AEPD, una carga desproporcionada para Responsables, Encargados y, sobre todo, para quienes desarrollan sistemas de IA.
Del dato individual al conjunto de datos.
Una de las aportaciones más útiles del documento es separar la calidad de un dato aislado de la calidad del conjunto de datos “el dataset”, algo que cobra especial peso en los sistemas basados en aprendizaje automático.
La AEPD pone un ejemplo sencillo: una tabla de registros puede cumplir sobradamente los criterios ISO evaluados registro a registro y, aun así, estar sesgada en su conjunto, por ejemplo en relación con el género. Si la finalidad exige estimaciones o decisiones representativas de todos los colectivos afectados, ese conjunto no sirve, por bien que puntúe cada fila.
En el desarrollo de estos modelos pesa más la representatividad, la ausencia de sesgo, las propiedades estadísticas, la relevancia de las muestras de entrenamiento o el poder predictivo de las variables que la exactitud de cada registro por separado. De ahí que, en aplicación del principio de exactitud y de responsabilidad proactiva, el Responsable deba poder trazar el conjunto de datos utilizado: de dónde viene, qué transformaciones ha sufrido y con qué criterio se incluyó o excluyó cada dato.
Sintéticos, anonimizados, corregidos: ¿siguen siendo exactos?
La nota entra también en un terreno delicado: qué ocurre con las técnicas que, precisamente, alteran los valores reales. Imputar estadísticamente los campos vacíos, generar datos sintéticos, anonimizar, aplicar privacidad diferencial o corregir sesgos por grupo son prácticas habituales en el desarrollo de IA que introducen valores que no reflejan la realidad de nadie en concreto.
Para la AEPD, esto puede ser perfectamente compatible con la “exactitud-RGPD” aunque sacrifique la “exactitud-ISO” de un registro puntual, siempre que el conjunto resultante sirva a la finalidad y no perjudique a las personas afectadas.
Eso sí, el grado de exigencia varía: los tratamientos agregados o estadísticos toleran más transformación, mientras que los que afectan directamente a personas concretas exigen mayor rigor sobre el resultado final.
También cuentan los resultados, no solo la entrada.
La calidad no se queda en la puerta de entrada: se proyecta sobre todo el tratamiento, incluidos los resultados que produce el sistema de IA: inferencias, predicciones, decisiones, contenidos… que tampoco pueden distorsionar o desproporcionar la imagen de las personas afectadas.
¿De qué depende el nivel mínimo exigible a esos resultados?
De los requisitos de idoneidad de la finalidad, del respeto a los derechos de las personas identificadas o identificables, de si existen operaciones posteriores que corrigen esos resultados, y de las salvaguardas incorporadas al diseño.
La Agencia nos subraya que un buen rendimiento agregado puede esconder errores en inferencias individuales, de modo que cuando el resultado afecta a personas concretas hacen falta controles adicionales.
Desarrollar un sistema no es lo mismo que usarlo.
Entrenar, probar y validar un sistema de IA es un tratamiento distinto de explotarlo ya desplegado, y la nota insiste en evaluar ambos por separado. De hecho, los requisitos de calidad para el desarrollo solo pueden fijarse cuando ya se conocen las condiciones de idoneidad de los tratamientos en los que ese sistema va a usarse.
La consecuencia práctica: un conjunto de datos que no tenga la calidad necesaria para ese desarrollo no es “necesario” en el sentido del principio de minimización, así que el acceso a él solo se justifica en la medida imprescindible para comprobar su calidad.
La Agencia también pone en guardia frente a los dos extremos, pedir poco compromete que el sistema resultante funcione, y por el contrario pedir de más contradice la minimización, encarece el acceso a los datos y la gestión del gobierno del dato y, en el peor de los casos, puede acabar frenando proyectos o líneas de investigación por dar por hecho, erróneamente, que no existe o no es accesible, un conjunto de datos con calidad suficiente.
Datos no personales y gobernanza
La nota no se olvida de los datos no personales: bases de datos, parámetros de configuración, baremos, estadísticas… también deben tener la calidad adecuada cuando pueden condicionar la idoneidad del tratamiento o los resultados que afectan a las personas. Y pide algo muy concreto a nivel organizativo: fijar los requisitos de calidad de forma objetiva y ligada a la finalidad, documentarlos, medirlos y revisarlos a lo largo de todo el ciclo de vida del tratamiento, responsabilidad proactiva, art. 24 RGPD, con equipos que integren, como mínimo, ciencia de datos y protección de datos.
¿Qué significa esto para quien tiene que aplicarlo?
Que la exactitud del RGPD deja de leerse como veracidad absoluta y pasa a medirse por la idoneidad respecto a la finalidad, lo que facilita la justificación de técnicas como la imputación de valores, la anonimización, la generación de datos sintéticos o la corrección de sesgos cuando puedan demostrarse adecuadas para la finalidad perseguida.
También obliga a tener métricas de calidad tanto para los datos de entrada como para los resultados del sistema, con más exigencia cuanto más directamente afecten a personas identificadas o identificables. Conviene además leer esta nota junto con otros documentos de la AEPD sobre IA como son las guías sobre auditorías de tratamientos con IA, sobre adecuación al RGPD de tratamientos con IA y sobre IA agéntica, para aplicar el criterio de forma coherente.
Como consultora en protección de datos, considero que esta nota técnica llega en un momento especialmente oportuno. En los últimos años hemos asistido a una cierta simplificación del principio de exactitud, identificándolo casi automáticamente con la veracidad absoluta y permanente del dato. Sin embargo, la realidad de los tratamientos basados en inteligencia artificial es mucho más compleja.
La AEPD recuerda algo que a veces se pierde de vista: la calidad del dato no es un requisito técnico secundario, sino una condición necesaria para que el tratamiento sea conforme al RGPD y para que el propio sistema funcione de forma fiable. Cuando el conjunto de datos que alimenta un sistema no reúne la calidad exigible, la carencia no se queda en el plano normativo, se traslada directamente a los resultados del sistema, en forma de sesgos, pérdida de representatividad o inferencias que no resisten un mínimo control humano
Precisamente por eso, me parece especialmente acertado que la Agencia traslade el foco desde el dato individual hacia la idoneidad del conjunto de datos y del tratamiento en su conjunto. En entornos de aprendizaje automático, la representatividad, la ausencia de sesgos o la relevancia estadística de los datos pueden resultar tan importantes como la exactitud de cada registro considerado aisladamente.
Ahora bien, no deja de tratarse de una nota técnica sin carácter vinculante. Quedará por ver cómo evoluciona este criterio en la práctica supervisora de la Agencia y cómo se coordina con las exigencias de gobernanza y calidad de datos que introduce el Reglamento de IA. En cualquier caso, el documento aporta una reflexión necesaria: la protección de datos y el desarrollo responsable de la inteligencia artificial no pasan por recopilar más datos o por exigir una precisión imposible, sino por utilizar datos adecuados para una finalidad concreta, con criterios objetivos, proporcionales y debidamente documentados.
Una IA construida sobre datos deficientes no solo incumple el RGPD; probablemente tampoco funciona.
