Algunas cuestiones relevantes en la nota técnica de la AEPD sobre exactitud, idoneidad y calidad de los datos en tratamientos de datos con IA
Es una nota técnica ambiciosa en la que se interpreta el principio de exactitud del artículo 5.1.d) del RGPD desde una perspectiva funcional y finalista, dando por superada la noción absoluta de veracidad que se seguía en España desde la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Según la AEPD el principio de exactitud recogido en el RGPD no exige que los datos sean siempre plenamente veraces o estén completamente actualizados, sino que sean adecuados para cumplir la finalidad del tratamiento. Esto supone una evolución interpretativa que supera un enfoque más restrictivo que vinculaba la exactitud exclusivamente a la veracidad de los datos personales.
En la práctica, esto permite justificar, por ejemplo, que técnicas como la generación de datos sintéticos o las correcciones de sesgo (que alteran valores individuales) no vulneran per se el principio de exactitud si el conjunto de datos resultante sigue siendo idóneo para cumplir la finalidad perseguida.
También es muy positiva la distinción que hace la AEPD entre calidad del dato individual y calidad del conjunto de datos, un aspecto fundamental en el desarrollo de sistemas de aprendizaje automático donde la representatividad, la ausencia de sesgos y las propiedades estadísticas del conjunto de datos prevalecen sobre la exactitud de cada registro aislado. La aplicación en la práctica de esta distinción servirá para que el marco regulatorio en protección de datos no se convierta en un obstáculo insalvable para el desarrollo tecnológico.
Ahora bien, la nota técnica hace que surjan algunas cuestiones que pueden dar lugar a que su aplicación sea compleja. Una de estas cuestiones es el riesgo de instrumentalización del principio de finalidad, ya que, si se supedita la exactitud exclusivamente a la finalidad del tratamiento, se puede correr el riesgo de que los responsables del tratamiento tengan que definir las finalidades de manera amplia para poder cumplir con la calidad. El RGPD exige finalidades “determinadas, explícitas y legítimas” (art. 5.1.b)), pero la nota técnica no profundiza en los límites que la finalidad impone como marco de control.
Vinculado con lo anterior, si bien se afirma que la calidad no es estática y requiere monitorización continua, la nota técnica tampoco ofrece indicadores concretos que orienten a los responsables del tratamiento sobre cómo implementar ese seguimiento en la práctica.
La nota técnica deja claro que, en virtud del principio de responsabilidad proactiva, el responsable del tratamiento tiene que analizar con cautela y de manera detallada cada tratamiento de datos personales para garantizar el cumplimiento de la normativa sobre protección de datos. Sobre los datos utilizados durante el desarrollo de un sistema de IA y los de salida, la nota técnica señala que la calidad de cada uno de ellos debe analizarse por separado.
La AEPD señala la importancia de determinar qué datos personales se tratan, tanto si son, según cada caso, datos de entrada al tratamiento como de salida, ya que se deberán adoptar medidas para asegurar la calidad de los datos y cumplir con los demás requisitos, en particular los de exactitud y minimización, aplicables en materia de protección de datos.
El diseño del tratamiento y las salvaguardas que se deban adoptar son las claves, según la nota técnica. En el diseño de cada operación de tratamiento es necesario considerar la exactitud de los datos personales, el principio de minimización, la calidad y la idoneidad respecto a la finalidad del tratamiento. Y, a la vista de las conclusiones que se incluyen en la nota técnica, hay que resaltar que “debe asumirse que no existen tratamientos perfectos” y que “es necesario determinar el grado de calidad mínimo aceptable que deben reunir los resultados del tratamiento para cumplir su finalidad, definir métricas que permitan evaluarlo e incorporar al diseño del tratamiento mecanismos de seguimiento, control y gestión de incidencias que garanticen la idoneidad de dicho tratamiento.”
En definitiva, la nota técnica es una orientación valiosa para actualizar la interpretación del principio de exactitud del RGPD en un contexto tecnológico que la Directiva 95/46/CE, hace ya más de tres décadas, no pudo prever. Sería deseable que futuras revisiones y actualizaciones de la nota técnica complementen el análisis que ha hecho la AEPD con directrices operativas y mecanismos efectivos de control que permitan conjugar la innovación tecnológica con el derecho fundamental a la protección de datos personales.
