RGPD (GDPR) & AI Compliance

Overview

El Reglamento General de Protección de Datos (RGPD) es el marco integral de protección de datos de la Unión Europea, que entró en vigor en mayo de 2018. Establece normas estrictas sobre cómo las organizaciones recopilan, almacenan, tratan y transfieren los datos personales de los residentes en la UE. Para los equipos de IA y aprendizaje automático, el RGPD plantea retos particulares, porque los datos de entrenamiento suelen contener información personal y los resultados de los modelos pueden revelar sin querer detalles sobre personas incluidas en el conjunto de entrenamiento.

El RGPD se aplica a cualquier organización que trate datos personales de residentes en la UE, con independencia de dónde esté establecida. Este alcance extraterritorial significa que los equipos de IA de todo el mundo deben tener en cuenta el RGPD cuando sus modelos se entrenan con datos que incluyen información sobre personas en la UE. El Reglamento exige una base jurídica para el tratamiento y fija los principios de minimización de datos y limitación de la finalidad. También reconoce a los interesados derechos como el de acceso, rectificación, supresión y oposición, además de protecciones específicas frente a las decisiones automatizadas.

Para los profesionales de la IA, las normas del RGPD sobre decisiones automatizadas (artículo 22) y las obligaciones de transparencia de los artículos 13 a 15 son especialmente relevantes. Las organizaciones deben poder ofrecer información significativa sobre la lógica aplicada en las decisiones automatizadas que afectan a las personas, mantener registros de las actividades de tratamiento y aplicar medidas técnicas y organizativas que protejan los datos personales durante todo el ciclo de vida de la IA, desde la recogida de datos hasta el entrenamiento del modelo, su despliegue y su retirada final.

AI-Specific Requirements

El RGPD impone varios requisitos específicos a los sistemas de IA que tratan datos personales. El artículo 22 reconoce a las personas el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente de modo similar. Esto significa que las organizaciones deben implantar mecanismos de supervisión humana para las decisiones basadas en IA que afecten al empleo, el crédito, los seguros u otros resultados de consecuencias similares. Además, los responsables del tratamiento deben facilitar información significativa sobre la lógica aplicada en las decisiones automatizadas.

El principio de minimización de datos del Reglamento (artículo 5(1)(c)) exige que solo se traten datos personales adecuados, pertinentes y limitados a lo necesario para la finalidad especificada. En el entrenamiento de IA, esto significa que los equipos no pueden limitarse a agregar todos los datos disponibles: deben seleccionar con cuidado los conjuntos de datos para incluir solo lo estrictamente necesario para la función prevista del modelo. La limitación de la finalidad restringe además la reutilización de datos personales para entrenamiento más allá del propósito original de su recogida. El Dictamen 28/2024 del Comité Europeo de Protección de Datos añade que no puede presumirse que un modelo entrenado con datos personales sea anónimo: si pueden extraerse datos personales de él debe evaluarse caso por caso.

Las evaluaciones de impacto relativas a la protección de datos (EIPD) son obligatorias, según el artículo 35, para los tratamientos que probablemente entrañen un alto riesgo para los derechos y libertades de las personas. La mayoría de los sistemas de IA que tratan datos personales a gran escala activarán este requisito. Las EIPD deben describir las operaciones de tratamiento, evaluar su necesidad y proporcionalidad, valorar los riesgos para los interesados y exponer las medidas previstas para afrontarlos. Las organizaciones deben además mantener registros detallados de las actividades de tratamiento según el artículo 30, que recojan qué datos se tratan, con qué finalidad y quién tiene acceso a ellos.

How Ertas Helps

Ertas Studio entrena modelos en las GPU en la nube de Ertas, por lo que el conjunto de datos con el que entrena se sube a Ertas y se almacena para poder repetir las ejecuciones. Si ese conjunto contiene datos personales, la subida forma parte de su tratamiento y requiere una base jurídica y unas condiciones de tratamiento de datos acordadas previamente con nosotros. Para la mayoría de los proyectos, la vía más sencilla es minimizar antes de subir: seudonimizar o anonimizar cuando la tarea lo permita y conservar solo los campos que el modelo necesita. Data Craft, el generador de conjuntos de datos de Studio, le permite editar cada ejemplo y hacer seguimiento de su estado de aprobación antes del entrenamiento, y puede eliminar un conjunto de datos subido cuando su finalidad se haya agotado.

El modelo entrenado es suyo. Expórtelo en GGUF o safetensors y ejecútelo en su propio entorno: los datos personales de las peticiones y las respuestas durante la inferencia nunca llegan a Ertas. El archivo exportado no cambia hasta que vuelva a entrenar, de modo que la versión que evaluó en su EIPD es la que está en producción. Si prefiere no operarlo usted mismo, el endpoint de modelo adaptativo y los desarrollos empresariales a medida pueden ejecutar el modelo en su propia nube o en sus propias instalaciones (on-premise), además de en infraestructura gestionada por Ertas.

Las obligaciones del RGPD siguen correspondiéndole a usted como responsable del tratamiento: la base jurídica, la EIPD, los registros de tratamiento, las solicitudes de los interesados, las garantías del artículo 22 y la seguridad del entorno donde se ejecuta el modelo. En línea con el dictamen del Comité Europeo de Protección de Datos, evalúe si podrían extraerse datos personales de su modelo entrenado antes de tratarlo como anónimo.

Compliance Checklist