Innovación AI en Europa requiere una interpretación equilibrada y basada en el riesgo del RGPD
On 5 November, ITI participated in the European Data Protection Board’s (EDPB) stakeholder workshop on AI Models. El taller tenía por objeto informar a la opinión de la EDPB sobre el uso de datos personales para los modelos AI, que se espera antes de fin de año. Antes del taller, ITI se unió a otras 14 asociaciones industriales en una declaración conjunta (se abre en una pestaña nueva), calling on the EDPB to take a balanced, risk-based, and pro-innovation approach to data processing for AI development and deployment.
Las empresas deben poder acceder y utilizar datos personales para desarrollar e implementar tecnologías innovadoras y transformadoras de IA en Europa. Este acceso es crucial para los objetivos de transformación digital y competitividad de la UE. La opinión debe reconocer que esto puede hacerse de una manera proporcional, basada en el riesgo y alineada con el RGPD.
Para ello, ITI compartió las siguientes recomendaciones:
- El interés legítimo es una base jurídica adecuada para la formación de modelos AI
The EDPB debe reconocer que el interés legítimo es una base jurídica adecuada y sólida para el procesamiento de datos personales para la formación de modelos de IA, como también anteriormente reconocido por otros reguladores europeos como la Autoridad Francesa de Protección de Datos.
Los modelos AI tienen el potencial de beneficiar significativamente a la sociedad, las empresas y los individuos. La IA puede aumentar la productividad, impulsar el crecimiento económico, apoyar el descubrimiento científico y la atención médica, y permitir casos de uso transformador. Estas consideraciones pueden ayudar a inclinar el equilibrio de interés legítimo en favor del controlador.
Por supuesto, esto será posible si se evalúan las circunstancias del procesamiento, y las salvaguardias apropiadas se despliegan cuando sea necesario. Importantly, the opinion should note that the commercial goal of developing an AI model should not prevent legitimate interest. Como lo considera la Corte de Justicia de la UE, puede considerarse legítimo una amplia gama de intereses, incluidos los de carácter comercial.
Finalmente, la opinión no debe considerar el consentimiento como una base jurídica preferida. Dada la magnitud de los datos necesarios para la mayoría de los modelos de IA, obtener el consentimiento sería poco práctico, desproporcionado y llevaría a reducir la representatividad de los conjuntos de datos.
- Los modelos AI no son bases de datos de datos personales
Los modelos AI son una representación matemática de patrones estadísticos. No están diseñados para memorizar información sobre individuos específicos, y una vez entrenados, no son base de datos de datos personales.
The EDPB opinion should reflect this technical reality. Cuando se entrena un modelo AI, los datos de entrenamiento se desglosan en ‘tokens’ numéricos. Por ejemplo, en el caso de un LLM, las fichas representan palabras, su significado y relaciones (por ejemplo, la palabra perro se asocia con ‘animal’ pero no con ‘plant’). El modelo realiza operaciones matemáticas para correlacionar estas fichas, y aprende correlaciones en forma de pesos numéricos. Cuando se le solicite, el modelo proporcionará una salida que predice la respuesta más probable al impulso del usuario, basado en los patrones y correlaciones que ha aprendido. Por ejemplo, en el caso de un LLM, las fichas representan palabras, su significado y relaciones (por ejemplo, la palabra perro se asocia con ‘animal’ pero no con ‘plant’).
Como tal, el modelo en sí no procesa datos personales según el significado del artículo 4 del RGPD, como también lo reconoce el documento de debate (se abre en una pestaña nueva) on Large Language Models (LLMs) from the Hamburg Commissioner for Data protection. Si se procesan datos personales mientras se está formando o desplegando el modelo, se hará de conformidad con el RGPD.
- Se necesita acceso a una amplia variedad de datos para una IA robusta
La opinión debe reconocer que procesar una amplia gama de datos – incluyendo datos sobre temas sensibles – es fundamental para lograr modelos AI robustos y representativos que reflejan la diversidad cultural, geográfica y lingüística de Europa.
Es fundamental que la capacidad de procesar legalmente datos sobre temas sensibles, es decir, información relacionada con atributos sensibles (como el género o la religión), pero fuera del ámbito del artículo 9 del RGPD, sea importante para que las empresas identifiquen y mitiguen posibles prejuicios, que exige la Ley de AI de la UE.
En lugar de centrarse en limitar el uso de datos, que tendrá consecuencias negativas para las empresas y las personas, la opinión debe centrarse en la identificación y aplicación de salvaguardias para garantizar el procesamiento seguro y legal de datos personales.
- Reconocer la diversidad de modelos AI y la complejidad de las cadenas de valor
Las salvaguardias exactas aplicadas a un proyecto específico de IA dependerán de la naturaleza del modelo y de la naturaleza de los datos objeto de tratamiento. Los actores de la cadena de valor AI, como los implementadores y desarrolladores, también tendrán diferentes funciones y responsabilidades de gestión de riesgos. Por ello, la opinión no debe ser prescriptiva y debe mantener un enfoque flexible.
Las empresas pueden implementar diferentes salvaguardias en diferentes etapas de la cadena de valor para garantizar el procesamiento legal de datos. Por ejemplo, las medidas de gobernanza de los datos, la deduplicación, la minimización o la pseudonymización pueden ser útiles para abordar los riesgos específicos de protección de datos en la etapa de capacitación. Por otro lado, medidas como filtros de prontitud y salida pueden ayudar a abordar los riesgos generativos de IA en la etapa de implementación.
La industria trabaja continuamente para mejorar salvaguardias apropiadas, y esperamos continuar nuestra colaboración con los reguladores para explicar el estado del arte. Un enfoque rígido y prescriptivo puede socavar los esfuerzos por desarrollar y desplegar nuevas salvaguardias.
- Los derechos de los sujetos de datos pueden estar sujetos a limitaciones
Los derechos relativos a los datos son de importancia fundamental para la protección de los temas de datos. Sin embargo, la opinión debe reconocer que los derechos sujetos a datos pueden estar sujetos a limitaciones, tanto desde una perspectiva técnica como jurídica.
Por ejemplo, sería técnicamente imposible poner en práctica un derecho de rectificación o borrado de los datos después de que se haya capacitado el modelo, sin volver a entrenar el modelo. Esto sería desproporcionado, costoso e intensivo de recursos. Del mismo modo, sería técnicamente imposible localizar y eliminar datos sobre un individuo específico después de que los datos se hayan transformado y se conviertan en parte de un conjunto de datos de capacitación.
En estos casos se deben considerar medidas alternativas para la protección de los sujetos de datos. Los filtros de nivel de salida, por ejemplo, pueden ser una solución eficaz y proporcional para eliminar el contenido que los sujetos de datos.