Agentes de IA y RGPD en una pyme: aprobación humana y qué revisar

El RGPD sigue aplicando aunque el trabajo lo haga un agente

Si el agente trata datos personales, hay que determinar quién decide los fines y los medios del tratamiento y qué papel tiene cada proveedor. Cuando un proveedor trata datos por cuenta del responsable, el artículo 28 del RGPD exige un contrato u otro acto jurídico con el contenido que fija ese artículo. La AEPD añade un matiz práctico: los servicios externos pueden guardar datos personales en sus registros o en la memoria de sus propios agentes, así que conviene saber dónde queda cada dato.

¿Tu agente toma decisiones automatizadas? El artículo 22

El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente de modo similar. La AEPD aclara que incorporar un agente a un tratamiento puede implicar automatización, pero no siempre implica decisiones automatizadas en ese sentido. Su ejemplo es un agente que selecciona eventos en Internet según los objetivos de la empresa y las categorías de empleados, elabora resúmenes y se los envía según los intereses que ellos han declarado: en ese supuesto, la AEPD no aprecia una decisión del artículo 22.

Para saber si una decisión afecta significativamente a una persona, la AEPD recoge tres criterios: que pueda afectar de forma importante a sus circunstancias, su comportamiento o sus elecciones; que tenga un impacto prolongado o permanente; o, en los casos más extremos, que provoque exclusión o discriminación. Redactar una respuesta, clasificar un correo o preparar una factura para revisión humana no implica por sí mismo una decisión del artículo 22: hay que examinar el efecto real y si la revisión humana puede cambiar el resultado. Si un agente deniega un servicio o descarta a un candidato mediante una decisión únicamente automatizada, con efectos jurídicos o significativamente similares, puede aplicarse el artículo 22. En ese caso hay que evaluar sus excepciones, sus garantías y las obligaciones de información a las personas afectadas.

La aprobación humana ayuda, pero no lo resuelve todo

La AEPD reconoce que la supervisión humana puede ser esencial para gestionar el riesgo. Pero advierte de una tentación: cuando algo falla, hacer recaer la responsabilidad en la persona que supervisaba en lugar de en los problemas del sistema que hicieron posible el fallo. Y señala que, cuando la supervisión humana influye en el tratamiento, hay que auditar con regularidad si es eficaz.

Dicho sin rodeos: aprobar cien mensajes al día sin tiempo suficiente para examinarlos difícilmente ofrece una supervisión eficaz. La aprobación hay que diseñarla: qué se aprueba, quién lo aprueba, con qué información delante y con qué margen para decir que no.

Cómo se diseña la aprobación humana en un agente

• Decidir qué hace el agente solo y qué necesita aprobación. En Astor AI, la aprobación humana de los envíos a clientes y el registro de los cambios de datos son condiciones que van por escrito en cada contrato, como indicamos en nuestra página de seguridad; cómo se aplican en cada proyecto se define y se comprueba con el cliente.
• Poder deshacer. La AEPD recomienda prever desde el diseño la reversibilidad de determinadas acciones de los agentes.
• Registrar cada acción: qué se hizo, cuándo, sobre qué dato y con qué fuente.
• Dar permisos mínimos. La AEPD advierte de que un agente sin control sobre qué fuentes externas consulta, cuántas veces y qué datos recoge puede incumplir el principio de minimización.
• Empezar poco a poco. La AEPD plantea como opción un enfoque incremental: incorporar los tratamientos poco a poco, empezando por los de menor riesgo.
• Cuidar el contrato y el alojamiento. Como indicamos en nuestra página de seguridad, cuando actuamos como encargado el contrato va firmado, la infraestructura está en la UE (o es la del cliente) y los proveedores de modelos se contratan con planes de empresa que excluyen entrenar con los datos. Estas condiciones deben constar en la documentación de cada proyecto.

Ocho preguntas antes de poner un agente a trabajar

1. ¿Qué datos personales toca el agente y para qué finalidad concreta? Si un dato no hace falta, que no lo vea (principio de minimización, artículo 5.1.c del RGPD).
2. ¿Qué acciones hace solo y cuáles pasan por una persona?
3. ¿Alguna decisión se toma únicamente de forma automatizada y afecta significativamente a una persona? Si es así, revisa el artículo 22.
4. ¿Qué papel tiene cada proveedor, dónde se alojan los datos y, si actúa como encargado, hay contrato firmado (artículo 28)?
5. ¿Se puede deshacer lo que hace el agente?
6. ¿Quedan registros proporcionados de las acciones relevantes y la información necesaria para explicar qué ocurrió, respetando la minimización y los plazos de conservación?
7. ¿Hace falta una evaluación de impacto (EIPD)? La AEPD indica que los agentes de IA no la exigen necesariamente en todos los casos: depende del tratamiento en el que se incorporan y del tipo de sistema.
8. ¿Has comprobado qué información debes facilitar a las personas afectadas (artículos 13 y 14) y si corresponde actualizar el registro de actividades de tratamiento (artículo 30)?

Qué no cubre esta guía

Es una guía práctica, no asesoramiento jurídico: cada tratamiento tiene sus particularidades y conviene revisarlo con quien lleve la protección de datos de tu empresa. El Reglamento de IA de la UE establece requisitos que dependen, entre otros factores, del riesgo del caso de uso y del papel de cada operador. En Astor AI clasificamos cada caso de uso por nivel de riesgo antes de construir.