inteligenciaartificial

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat una nota tècnica sobre la relació entre la qualitat de les dades, el principi d’exactitud del RGPD i l’ús de sistemes d’Intel·ligència Artificial. El document ofereix una interpretació especialment rellevant per a les organitzacions que desenvolupen, entrenen o utilitzen solucions d’IA, aclarint que la qualitat de les dades i l’exactitud requerida pel RGPD són conceptes relacionats, però no equivalents.

Un dels missatges principals de l’AEPD és la qualitat de les dades; aquestes, siguin personals o no, han de satisfer necessitats declarades i implícites quan s’utilitzen sota condicions específiques. Aquesta definició vincula el concepte de qualitat de les dades amb l’adequació de les dades per complir la finalitat en un context declarat.

De la mateixa manera, l’exactitud de les dades no s’ha d’interpretar només com a veracitat o actualització permanent de la informació. L’autoritat recorda que l’article 5 del RGPD vincula l’exactitud amb la finalitat del tractament. En conseqüència, les dades han de complir les característiques necessàries per complir adequadament aquest propòsit, i poden incloure aspectes com l’exactitud, la granularitat, la completitud o la freqüència d’actualització, sempre que siguin rellevants per a l’ús previst.

L’AEPD també destaca la relació estreta entre els principis d’exactitud i minimització. Ambdós actuen conjuntament per definir el nivell de qualitat requerit de les dades personals. Tot i que l’exactitud requereix que les dades siguin adequades per assolir l’objectiu perseguit, el principi de minimització impedeix la recopilació o ús d’informació amb un nivell de detall, precisió o freqüència superior al estrictament necessari. Des d’aquesta perspectiva, exigir un nivell de qualitat superior al requerit podria anar en contra del mateix RGPD, ja que implica un tractament excessiu de dades personals.

L’ús d’escales estàndard com l’ISO permet analitzar les característiques de qualitat de les dades dins d’un marc de referència comú; tot i així, aquest fet podria afectar com valorem les dades respecte a un context específic. Dit això, l’AEPD ens recorda evitar cometre errors, com ara aplicar tècniques de “caselles de verificació” on es fa una revisió abstracta del conjunt de dades sense context; establir que totes les característiques són igualment rellevants; o suposar que les característiques a avaluar en el marc són els únics i, que per tant s’esgoten amb aquesta anàlisi.

En aquest sentit, en l’àmbit de la Intel·ligència Artificial, l’AEPD subratlla que l’avaluació de la qualitat no es pot limitar a dades individuals. En molts processos d’aprenentatge automàtic, la qualitat del conjunt de dades adquireix una importància més gran que la del registre aïllat. Factors com la representativitat, l’absència de biaixos, les propietats estadístiques del conjunt o l’adequació al context d’ús poden ser decisius per garantir resultats fiables i compatibles amb la finalitat del processament.

Un altre aspecte rellevant és que la qualitat de les dades sempre s’ha d’analitzar des d’una perspectiva funcional. L’AEPD admet que certes tècniques utilitzades en ciència de dades, com l’anonimització, la generació de dades sintètiques, la reducció de biaix o la imputació de valors que falten, poden introduir elements que no reflecteixen amb precisió la realitat individual d’una persona. Tanmateix, això no implica necessàriament una violació del principi d’exactitud, sempre que el conjunt de dades sigui adequat per a l’objectiu perseguit i no generi efectes adversos sobre els drets de les persones implicades.

Cal recordar que, atès que les dades personals també poden incloure informació no personal que pot influir directament en el resultat obtingut, és necessari que els requisits de qualitat també s’estenen a aquelles dades no personals que condicionen l’idoneïtat del tractament o dels seus resultats.

El desenvolupament de sistemes d’IA és en si mateix un tractament diferent del propòsit o resultat que el sistema pot oferir. En aquest sentit, la qualitat de les dades s’ha d’avaluar en el context de l’ús previst que han de complir un cop desplegats.

De la mateixa manera,  la qualitat de les dades no s’ha d’entendre com una condició estàtica, sinó com un procés continu que requereix monitoratge, revisió i adaptació al llarg del cicle de vida del sistema i del tractament.

Els riscos més grans detectats per l’Agència es troben en dos extrems de la qualitat de les dades: un nivell insuficient compromet l’adequació del sistema i afecta negativament els drets dels subjectes de les dades; d’altra banda, un nivell desproporcionat pot violar el principi de minimització, augmentar innecessàriament els costos d’accés i gestió de dades i fins i tot dificultar la innovació i projectes legítims de recerca.

En conclusió, l’Agència defensa un enfocament basat en la finalitat, la proporcionalitat i l’evidència objectiva. Les dades s’han de definir sota un grau de qualitat que estigui d’acord amb la seva funció i el resultat que ha de produir. Pel que fa a la IA, aquesta definició ha de combinar criteris tècnics i legals, així com mètriques que permetin verificar l’adequació del resultat, el compliment de les normatives de protecció de dades i els requisits del cicle de vida de la IA (Reglament Europeu d’IA). En aquest sentit, la participació conjunta d’especialistes en protecció de dades i ciència de dades és un element clau.

Aquest article analitza en profunditat l’impacte jurídic i administratiu de l’Avantprojecte de Llei per al Bon Ús i la Governança de la Intel·ligència Artificial a Espanya, en connexió estreta amb el Reglament (UE) 2024/1689 del Parlament Europeu i del Consell, de 13 de juny de 2024.

Llegir article: IMPACTO DEL ANTEPROYECTO DE LEY

Després de dures negociacions, el Parlament europeu ha aprovat finalment aquest passat dia 13 de març amb aclaparadora majoria un Reglament europeu sobre intel·ligència artificial (IA), el qual pretén ser un marc de regulació referent amb vocació internacional. Pendent encara de diversos tràmits, es preveu que entri en aplicació al cap de dos anys a partir de la seva pròxima publicació.

Entre altres qüestions, el Reglament prohibeix i regula un seguit de conductes que es podrien dur a terme mitjançant una IA, preveu un règim sancionador específic i conté també la previsió de la creació d’una agència de supervisió a cadascun dels Estats membres. En el cas de l’Estat espanyol, però, ja s’ha creat l’Agència Espanyola de Supervisió de la IA.

A partir de l’entrada en aplicació d’aquest Reglament, molts dispositius de vigilància biomètrica només es podran fer servir de forma temporal i en casos específics sota autorització judicial i supervisió de l’autoritat de protecció de dades.

Algunes de les conductes que el nou Reglament prohibeix de manera general i que podria dur a terme una IA són les següents:

• Categorització biomètrica de persones.
• Captura indiscriminada d’imatges facials d’internet.
• Gravació amb càmeres de videovigilància que permeti crear bases de dades de reconeixement facial.
• Reconeixement d’emocions al lloc de treball o a les escoles.
• Establir sistemes de puntuació ciutadana.
• Actuació policial prospectiva.
• IA que manipuli el comportament humà o exploti vulnerabilitats de persones.

Totes aquestes conductes que es plantegen prohibir no són evidentment supòsits de ciència-ficció en una societat futura i distòpica, sinó que són possibilitats reals que la tecnologia de la IA ja permet actualment. En qualsevol cas, tal com comentàvem anteriorment, encara haurem d’esperar com a mínim dos anys a què el Reglament entri en aplicació. Com sempre la tecnologia corre més que el legislador, i en dos anys encara poden passar moltes coses; en qualsevol cas, el Reglament sobre la IA és una bona notícia d’abast internacional.