El RGPD cuando una tarea es asumida por la IA

Por qué automatizar es una cuestión de datos

Cuando una tarea pasa de una persona a un sistema, a menudo no solo cambia quién hace el trabajo, sino también cómo se tratan los datos personales. Un empleado que evalúa una consulta de un cliente lee los datos, los pondera y decide. Un sistema que asume la misma tarea trata esos datos de otra manera: de forma estructurada, repetible, a veces con almacenamiento o transmisión que antes no existía. El RGPD se fija en el tratamiento, no en si una tarea suena "automatizada". Eso convierte la automatización, en esencia, en un acontecimiento de protección de datos, incluso si el resultado para el cliente parece el mismo.

Esto se aplica en cada nivel de automatización, desde un simple script hasta un sistema de IA que extrae conclusiones de forma autónoma. Al evaluar la idoneidad de una tarea para la IA, por tanto, también hay que preguntarse qué datos intervienen y si su tratamiento sigue encajando dentro de la finalidad para la que se recopilaron en su día. Por eso, cómo evaluamos una tarea presta atención a la naturaleza del tratamiento de datos, además de a si la tarea en sí es apta para transferirse a un sistema.

Qué cambia exactamente

Habitualmente cambian tres elementos cuando una tarea se automatiza:

La forma de tratamiento. Un sistema puede combinar datos, elaborar perfiles o conservarlos más tiempo del que una persona hacía en la práctica. Lo que antes era una consulta en un único expediente puede convertirse en una vinculación automatizada entre varias fuentes.
El grado de intervención humana. ¿Decide el sistema de forma autónoma, o sigue habiendo una persona que aprueba o rechaza con motivación? Esa distinción no solo es relevante para la calidad de la decisión, sino también para determinar si se trata de decisiones automatizadas en el sentido del RGPD, con los requisitos adicionales que ello conlleva.
Las finalidades. Los datos recopilados para una tarea a veces se reutilizan para entrenar un sistema o hacerlo funcionar para otra tarea. Eso constituye una nueva finalidad, y una nueva finalidad requiere su propia evaluación.

Ninguno de estos cambios es por definición un problema. Sí son un momento para revisar el tratamiento de nuevo, en lugar de asumir que una base legal existente se traslada automáticamente a la nueva forma de trabajar.

Cuándo se necesita una nueva base legal

Todo tratamiento de datos personales necesita una base legal, por ejemplo el consentimiento, un contrato, una obligación legal o un interés legítimo. Esa base está vinculada a un tratamiento tal como se configuró y evaluó en su momento. Si el tratamiento cambia sustancialmente, la base legal original puede dejar de ser suficiente.

Esto ocurre más a menudo de lo que parece. Un interés legítimo que se ponderó para un tratamiento manual no se sostiene automáticamente si el volumen, la velocidad o el alcance del tratamiento aumentan considerablemente por la automatización. El consentimiento solicitado para una finalidad específica no cubre una segunda finalidad que se añade con una aplicación de IA. Y en el caso de decisiones automatizadas con efectos jurídicos para los interesados, se aplican requisitos adicionales, con independencia de qué otra base legal sea aplicable.

Que una tarea se sitúe en la categoría uno, dos o tres —la IA puede asumirla, la IA puede hacerla parcialmente bajo supervisión, o sigue siendo trabajo humano— no dice nada, por tanto, sobre si el tratamiento de datos subyacente está cubierto. Son dos evaluaciones distintas que sí están relacionadas: una tarea que permanece en la categoría dos o tres por riesgos relacionados con los datos, a menudo lo hace precisamente porque aún no se ha analizado la base legal ni el impacto sobre los interesados.

Dónde encontrar esto

El propio RGPD, las explicaciones de la Autoridad de Protección de Datos y las directrices de las autoridades europeas de supervisión de la privacidad son los lugares donde constan los requisitos vigentes, incluidas eventuales normas especiales para aplicaciones de IA que puedan cambiar después de la publicación de esta página. Aquí no mencionamos deliberadamente números de artículos ni plazos: estos pueden cambiar y pertenecen al texto fuente, no a un resumen que puede haber quedado desactualizado en el momento en que usted lo lea.

Esta página describe el mecanismo, no constituye asesoramiento personalizado. Si una automatización concreta requiere una nueva base legal, justifica una evaluación de impacto relativa a la protección de datos (EIPD) o afecta a decisiones automatizadas, es una cuestión jurídica que debe responderse caso por caso, normalmente con un jurista o un delegado de protección de datos.

Dónde esto confluye con otros procesos

Cuando la automatización afecta a una tarea realizada por varias personas, la cuestión de la privacidad no suele ser la única. También puede entrar en juego la participación de los trabajadores: cuándo interviene el consejo de empresa explica en qué casos se requiere consentimiento o consulta cuando cambian los procesos de trabajo. Ambos procesos —la evaluación de privacidad y la participación de los trabajadores— transcurren en paralelo y no se sustituyen entre sí.

Qué puede hacer ahora

Esta página describe qué cambia en el tratamiento conforme al RGPD al automatizar; no responde si sus propias tareas están jurídicamente cubiertas o son aptas para transferirse a la IA. Para obtener una primera indicación, sin compromiso, de qué parte de las horas de su perfil puede asumir hoy la IA, puede rellenar el quickscan gratuito de ftetoai: doce preguntas, sin necesidad de cuenta. El scan trata sobre el contenido de la tarea, no sobre el tratamiento de datos que la rodea; esa evaluación sigue siendo necesaria por separado. El workscan completo, que profundiza en procesos individuales, todavía está en construcción.