AEPD: Exactitud, idoneidad y calidad de datos en tratamientos de datos personales con IA
1. Introducción
La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica un análisis sobre cómo se proyectan los principios de exactitud y minimización del RGPD en tratamientos de datos con sistemas de inteligencia artificial (IA).
La publicación de esta nota técnica representa uno de los primeros análisis integrales en el mundo sobre la calidad de datos y la aplicación del principio de exactitud del RGPD en contextos de IA.
Este documento proporciona un marco interpretativo que permite aplicar los principios del RGPD en entornos de IA, garantizando la protección de las personas mientras se evitan interpretaciones excesivamente restrictivas que podrían dificultar el desarrollo de estos sistemas.
La iniciativa está dirigida a responsables de tratamiento, encargados de tratamiento y delegados de protección de datos que necesitan criterios prácticos para tomar decisiones en un ámbito especialmente complejo desde perspectivas jurídica y tecnológica.
2. Calidad de los datos vs. Principio de exactitud-RGPD
Un error común en la industria es confundir o asimilar la calidad de los datos con el principio de exactitud del art. 5.1.d) RGPD. El documento aclara que son conceptos estrechamente relacionados, pero no equivalentes:
La calidad de los datos (criterio técnico), se define bajo estándares de industria (como UNE 0079, ISO 25012, ISO 5259 o ISO 8000) como el grado en que las características del dato satisfacen necesidades específicas en un contexto determinado. Estos marcos analizan propiedades como completitud, consistencia, credibilidad, actualidad, precisión o trazabilidad.
El RGPD no recoge de forma explícita el término "calidad de los datos" (salvo en el art. 47.2.d referido a las normas corporativas vinculantes). En su lugar, el artículo 5.1.c establece los principios complementarios de minimización (datos adecuados, pertinentes y limitados a lo necesario) y exactitud (datos exactos y actualizados con respecto a los fines).
La exactitud-RGPD no exige una veracidad absoluta o una actualización en tiempo real de cada registro de forma abstracta, sino que está estrictamente vinculada a la finalidad del tratamiento. Un dato técnicamente desactualizado o ficticio puede ser perfectamente exacto bajo el RGPD si cumple de forma idónea y segura con el fin para el que se trata.
La nota técnica advierte del peligro de aplicar una "calidad de checkbox", que consiste en evaluar las características de calidad en abstracto sin analizar de forma empírica el contexto y la finalidad del tratamiento. No todas las propiedades de los estándares ISO tienen la misma relevancia en cada proyecto, ni la lista de los estándares es exhaustiva; por ejemplo, la ausencia de sesgos o el poder predictivo de las variables son factores clave en IA que van más allá del estándar tradicional.
3. Calidad del dato individual frente a la calidad del conjunto de datos (Dataset)
En los tratamientos basados en aprendizaje automático, el éxito y la idoneidad no dependen del registro aislado de un usuario, sino de las propiedades matemáticas del conjunto de datos de forma agregada (dataset).
El principio de exactitud-RGPD obliga al responsable a evaluar sesgos grupales, propiedades estadísticas, representatividad del entorno geográfico o conductual, y el poder predictivo del conjunto.
Métodos como la imputación de valores vacíos (añadir medias estadísticas para solucionar la falta de completitud), el filtrado de sesgos, la generación de datos sintéticos o técnicas de privacidad diferencial introducen valores que técnicamente no reflejan la realidad exacta de un individuo concreto. No obstante, si el conjunto resultante es idóneo para entrenar el modelo de forma eficaz, se cumple perfectamente el principio de exactitud-RGPD.
La exigencia de veracidad y actualidad absoluta se vuelve crítica en la fase de explotación cuando las salidas del sistema generen efectos o decisiones significativas sobre personas concretas.
4. El desarrollo de IA como un tratamiento diferenciado
La guía subraya que el desarrollo, prueba, validación y evolución de un sistema o modelo de IA (siguiendo ciclos de vida como el estándar ISO 5338) constituye un tratamiento de datos personales totalmente independiente del tratamiento posterior de explotación.
Si un conjunto de datos en origen no reúne la calidad o representatividad mínima necesaria para el entrenamiento del modelo, no puede considerarse "necesario" para el tratamiento bajo el principio de minimización. Su recogida masiva no estaría legitimada, limitándose el acceso únicamente a la fase previa de evaluación de su aptitud.
Definir requisitos de calidad excesivamente bajos compromete el rendimiento de la IA. Sin embargo, fijar requisitos innecesariamente altos o perfectos contradice la minimización de datos, encarece drásticamente la gobernanza del dato y puede provocar la cancelación injustificada de proyectos viables de investigación bajo el supuesto erróneo de que no hay datos "suficientemente perfectos".
5. La idoneidad del tratamiento: "El sistema perfecto es una ilusión"
La AEPD insiste en que ningún sistema de IA es perfecto, y el cumplimiento del RGPD no depende de poseer un software infalible, sino de garantizar la idoneidad del tratamiento en su conjunto mediante el despliegue de salvaguardas y operaciones de control:
- Salvaguardas de entrada: filtros de información personal, preprocesado y control de bucles de retroalimentación en datos dinámicos.
- Salvaguardas de salida y supervisión: métricas objetivas para evaluar los resultados de la IA, supervisión humana cualificada, filtrado de salidas (especialmente en IA generativa), gestión de quejas e incidencias, y control del rendimiento agregado frente a errores individuales.
Si el tratamiento mezcla datos personales con no personales (como estadísticas, baremos o sensores), estos últimos deben cumplir requisitos de calidad estrictos si su falta de precisión puede inducir a un resultado inexacto que afecte a los derechos de las personas.
5. Gobernanza multidisciplinar
El diseño, la adquisición y la evolución de los sistemas de IA a lo largo de todo el ciclo de vida de los datos exigen estructurar procesos de gobernanza sólidos. Para definir requisitos de calidad objetivos basados en evidencias verificables, es obligatorio contar con la participación coordinada de especialistas en ciencia de datos (técnicos) y especialistas en protección de datos (DPD).
6. Anexo histórico: La evolución de la "Exactitud" en España
La nota técnica incluye un análisis histórico que explica por qué existe tanta confusión con la interpretación de la exactitud:
- La Directiva Europea 95/46/CE vinculaba la exactitud a la finalidad del tratamiento.
- Sin embargo, la antigua LOPD española (Ley Orgánica 15/1999) traspuso este principio de forma absoluta, definiendo en su artículo 4.3 que los datos debían ser exactos de forma que "respondan con veracidad a la situación actual del afectado", desvinculándolo de los fines. Esto provocó la errónea interpretación de que todo dato debía ser siempre 100% veraz y actual.
- El RGPD y la actual LOPDGDD han corregido esta desviación, alineando nuevamente la exactitud con la finalidad y la minimización. Exigir veracidad absoluta fuera de lo necesario para el fin puede, de hecho, vulnerar los derechos de los interesados al forzar un tratamiento excesivo de datos personales
Archivos adjuntos
AEPD_calidad-datos-inteligencia-artificial.pdf