IA generativa y RGPD: guía práctica para DPO, CIO y juristas

¿Se aplica el RGPD a la IA generativa, y puede un modelo eludirlo?

El RGPD se aplica en cuanto un sistema de IA recoge o utiliza datos personales. La CNIL lo formula así: como cualquier tratamiento, la recogida y la utilización de datos mediante un sistema de IA deben respetar el RGPD y los derechos de las personas [2]. Esto vale tanto para los datos de entrenamiento como para los que introducen los usuarios. Una fuente web no oficial lo expresa de la misma manera, a modo ilustrativo [21].

Qué abarca la «IA generativa»

La CNIL designa como «IA generativa» los sistemas capaces de crear contenidos, por ejemplo texto [7]. Distingue esquemáticamente tres categorías de tareas, entre ellas la generación de contenido a partir de una instrucción general [3].

¿Puede un modelo escapar al RGPD?

Sí, en algunos casos, pero el punto debe demostrarse y no presumirse. La CNIL establece dos situaciones:

• Modelo anónimo: algunos modelos de IA son anónimos y no tienen que aplicar el RGPD [1].
• Modelo que memoriza: otros, como los modelos de lenguaje (LLM), pueden estar sujetos al RGPD [1]. Es el caso si memorizan datos personales procedentes de su entrenamiento [6].

Por tanto, el estatus de un modelo no está garantizado de antemano. Requiere un análisis caso por caso, que la CNIL detalla en una ficha práctica específica [6]. Además, recomienda anonimizar los datos de entrenamiento o asegurarse de que el modelo es anónimo [10].

Consecuencia para el responsable del tratamiento

Un modelo considerado anónimo no dispensa de justificar esa posición. Todo responsable del tratamiento debe documentar adecuadamente la conformidad de sus tratamientos, por ejemplo en una evaluación de impacto [9].

Este texto explica las recomendaciones de la CNIL. No sustituye la valoración de la conformidad, que corresponde a la empresa y a sus asesores.

¿Qué base jurídica y qué finalidad elegir para cada uso?

Todo sistema de IA que explote datos personales debe apoyarse en una base jurídica. Según la CNIL, solo puede ponerse en marcha si responde a una justificación prevista por la ley, y el RGPD prevé seis [5]:

• el consentimiento;
• el cumplimiento de una obligación legal;
• la ejecución de un contrato;
• la ejecución de una misión de interés público;
• la salvaguarda de intereses vitales;
• la satisfacción de un interés legítimo.

Primero la finalidad, después la base jurídica

La finalidad es el «para qué» del tratamiento, y es ella la que permite elegir la base jurídica adecuada. La CNIL confirma que la IA es compatible con el RGPD, siempre que se cumplan ciertas condiciones y no se crucen ciertas líneas rojas. El principio de finalidad forma parte de esas condiciones [11]. Por ello, hay que definir una finalidad y una base jurídica para cada uso, y no una única para la «IA» en general. Un resumen de contenidos, una ayuda para redactar respuestas a clientes y una clasificación de candidaturas no tienen ni las mismas finalidades ni los mismos riesgos.

Ejemplo: el nombre de un cliente o un contrato en un prompt

Pegar el nombre de un cliente, el expediente de un empleado o un contrato en un prompt equivale a transmitir esos datos a un proveedor. Es un tratamiento, que exige una finalidad y una base jurídica [30]. Este ejemplo procede de un sitio de formación, fuente no oficial: ilustra el razonamiento, pero no es un texto de la CNIL. No obstante, encaja con el enfoque que consiste en identificar los tratamientos en cada etapa: prompts, documentos, entrenamiento y respuestas [15].

Oupi está concebido, desarrollado y alojado en Francia (más información). Esto no elige la base jurídica en lugar de la organización: la valoración de la conformidad sigue siendo responsabilidad de la empresa y de sus asesores.

¿Qué datos se pueden enviar a una herramienta de IA generativa?

El principio de minimización marca la regla: enviar a una herramienta de IA generativa únicamente los datos personales estrictamente útiles para la finalidad perseguida. El RGPD exige que los datos recogidos sean «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados» por el responsable del tratamiento [23]. En la práctica, el uso no está prohibido ni es libre: es posible siempre que no se aporte más de lo necesario y que se sepa dónde van los datos [24]. Esta fórmula procede de un actor comercial, pero recoge el principio de minimización.

Los flujos que hay que cartografiar antes de cualquier uso

Hay que identificar los datos tratados en cada etapa del ciclo [15][18]:

• los prompts: lo que escriben los usuarios;
• los documentos: archivos adjuntos o conectados a la herramienta;
• el entrenamiento: la eventual reutilización de los datos para mejorar el modelo;
• las respuestas: una información falsa sobre una persona también puede ser un dato personal [15].

Esta cartografía también permite designar las responsabilidades y las garantías que deben preverse [18].

Lo que recomienda la CNIL

En sus recomendaciones sobre el desarrollo de sistemas de IA, la CNIL propone, cuando sea posible, reglas generales de detección y seudonimización de datos personales, en lugar de una lista negra [10]. También recomienda anonimizar los datos de entrenamiento o asegurarse de que el modelo es anónimo [10]. Estas recomendaciones se refieren al desarrollo de sistemas de IA. Aplicarlas a los prompts y documentos de los usuarios es una extrapolación prudente, no una exigencia formulada por la CNIL.

Elegir una herramienta concebida, desarrollada y alojada en Francia, como Oupi, no dispensa de este proceso: la minimización debe ser valorada por la empresa, con sus asesores.

¿Qué verificar en el proveedor, en particular en caso de transferencia fuera de la Unión Europea?

La CNIL asigna la verificación del proveedor al usuario o al integrador. Según sus preguntas y respuestas sobre la IA generativa, corresponde a quien despliega un sistema de IA generativa preguntar al proveedor por la conformidad de ese sistema con el RGPD, ya que la mayoría se han configurado a partir de datos personales [3]. Esta exigencia forma parte del principio de responsabilidad: que el proveedor afirme ser conforme no dispensa a la empresa de comprobarlo.

Un proveedor establecido fuera de la Unión Europea implica una transferencia de datos que debe enmarcarse. Cuando un colaborador somete datos personales a una herramienta cuyo proveedor está establecido fuera de la UE, esa transferencia debe respetar las condiciones estrictas previstas en los artículos 44 y siguientes del RGPD [20]. Esta fuente es la de un despacho de abogados, no la de una autoridad: aquí sirve de referencia, y el texto del reglamento sigue siendo la fuente a consultar.

Los puntos que conviene que el proveedor precise por escrito se derivan directamente de este marco:

• el país de establecimiento del proveedor y el de sus eventuales subcontratistas;
• el lugar de alojamiento de los datos introducidos (prompts, documentos);
• la existencia de una transferencia fuera de la UE y, en su caso, el instrumento jurídico que la ampara;
• las respuestas del proveedor sobre la conformidad de su sistema con el RGPD [3].

El lugar de concepción y de alojamiento forma parte de los elementos a examinar. Oupi está concebido, desarrollado y alojado en Francia. Para una organización que lleva a cabo esta verificación, esto puede simplificar el análisis de las transferencias, ya que la localización del alojamiento es un criterio que debe instruirse. Esto no equivale a una conformidad automática: la valoración corresponde a la empresa y a sus asesores, en función de sus propios usos, sus finalidades y las garantías contractuales obtenidas.

¿Hay que realizar una evaluación de impacto (AIPD) y cómo documentar el tratamiento?

Todo responsable del tratamiento debe documentar la conformidad de sus tratamientos, y la AIPD (evaluación de impacto relativa a la protección de datos) es uno de los soportes posibles. La CNIL plantea esta exigencia en virtud del principio de responsabilidad: la documentación debe ser «adecuada», «por ejemplo en una evaluación de impacto sobre la protección de datos» [9]. Esta formulación figura en su ficha dedicada al análisis del estatus de un modelo de IA. Por tanto, la AIPD también puede recoger este análisis: ¿memoriza el modelo datos personales procedentes de su entrenamiento?, ¿está sujeto al RGPD? [6][9].

¿Cuándo es obligatoria una AIPD?

Una fuente comercial afirma que la CNIL aplica una regla práctica: un tratamiento que reúna al menos dos criterios se presumiría sujeto a AIPD [31]. Esta regla de criterios acumulativos no está establecida aquí por una fuente primaria. Las listas de criterios y el umbral de la obligación deben verificarse en los textos de la CNIL y del Comité Europeo de Protección de Datos (CEPD), que no figuran en nuestro expediente. Por ello no zanjamos la cuestión de si existe obligación para un uso concreto.

Documentar el tratamiento en el registro

Tanto si la AIPD es obligatoria como si no, el tratamiento debe figurar en el registro. Según fuentes comerciales, hay que documentar en él la finalidad y la base jurídica [28], y el uso de sistemas de IA generativa constituye un tratamiento de datos personales en cuanto se traten tales datos [33].

Para un uso concreto, puede recogerse:

• la finalidad y la base jurídica elegida;
• los datos tratados, por ejemplo los introducidos en los prompts;
• el análisis del estatus del modelo, cuando se haya llevado a cabo [9].

La valoración de la conformidad corresponde a la empresa y a sus asesores.

¿Cómo articular el RGPD, el AI Act y nuevos usos como la IA agéntica?

El RGPD no basta por sí solo para regular la IA, porque es una ley general sobre datos, y el AI Act viene a complementarlo. Según la Agencia Nacional de la Cohesión de los Territorios, la inteligencia artificial plantea cuestiones que el RGPD por sí solo no cubre suficientemente [4].

Dos textos con objetos diferentes

Para un DPO, un director de sistemas o un jurista, conviene razonar en dos niveles:

• El RGPD se aplica en cuanto hay tratamiento de datos personales. La CNIL lo recuerda: la recogida y la utilización de datos mediante un sistema de IA deben respetar el RGPD y los derechos de las personas [2].
• El AI Act aborda los retos propios de la IA, que el RGPD no cubre suficientemente [4].

Las obligaciones de uno no sustituyen las del otro. El expediente de fuentes no permite confirmar un calendario de aplicación del AI Act a partir de un texto oficial. Por ello no citamos ninguno: consulte los plazos directamente en el texto del reglamento.

La IA agéntica, un tema a seguir

La IA agéntica plantea cuestiones nuevas para la protección de datos. La CNIL y el CIANum (Consejo de la IA y del Digital) han llevado a cabo una reflexión conjunta sobre los retos que plantea [8]. Esta publicación merece seguimiento si piensa encomendar a agentes tareas que impliquen datos personales. Por ahora no sustituye el análisis de cada tratamiento: la finalidad, la base jurídica y la documentación siguen por establecer.

Qué cambia con un alojamiento en Francia

Oupi está concebido, desarrollado y alojado en Francia. Esto precisa el marco en el que se tratan los datos, pero no crea ninguna conformidad automática: debe demostrarse caso por caso.

Este artículo explica textos y recomendaciones públicos. No constituye un dictamen jurídico. La valoración de la conformidad corresponde a la empresa, responsable de sus tratamientos, y a sus asesores.