En Citizen, hemos hablado unas cuentas veces de IA: el 1º post grupal de pautas de uso para ChatGPT/Generativas,  el de Guillermo sobre “areneros”, el de Sara sobre la versión final del RIA, el de Jorge sobre oposición al entrenamiento de IA de META, o el de Carmen con el ejemplo algorítmico del sistema BOSCO. Con todo, no habíamos aterrizado el punto ya vigente de las finalidades prohibidas del RIA sobre uno de los “areneros” menos vigilados del momento: los micropagos en los videojuegos. Vivimos rodeados del ansia viva de un sector que cada vez tiene menos freno: jugadores que pasan de leer, desarrollos cada vez más caros, despidos masivos para mantener las primas y beneficios, o adopción sin pasar por legal (o pasando sin mirar mucho) de cualquier innovación que pite.

En la hegemonía actual de los juegos como servicio (“games as a services”), nos encontramos de bruces con el artículo 5.1, apartados a y b del RIA.

“(a) la comercialización, la puesta en servicio o el uso de un sistema de IA que utilice técnicas subliminales que escapen a la conciencia de una persona o técnicas deliberadamente manipuladoras o engañosas, con el objetivo o el efecto de distorsionar materialmente el comportamiento de una persona o de un grupo de personas, mermando de forma apreciable su capacidad de tomar una decisión con conocimiento de causa, haciéndoles tomar una decisión que de otro modo no habrían tomado, de forma que causen o sea razonablemente probable que causen a esa persona, a otra persona o a un grupo de personas un daño significativo;”

“(b) la comercialización, la puesta en servicio o el uso de un sistema de IA que explote cualquiera de las vulnerabilidades de una persona física o de un grupo específico de personas debido a su edad, discapacidad o una situación social o económica específica, con el objetivo, o el efecto, de distorsionar materialmente el comportamiento de esa persona o de una persona perteneciente a ese grupo de manera que cause o sea razonablemente probable que cause a esa persona o a otra un daño significativo;”

¿El literal de cada apartado recuerda a alguna cosa que se ve/sufre en los videojuegos más conocidos? ¿Recuerda muy mucho a gastar irreflexivamente cantidades importantes de dinero en loot boxes, sobres, bailes, skins y demás objetos digitales in-game  a “bajo precio”? Con estos recuerdos de Vietnam, vamos a jugar en este artículo. Vamos a intentar aterrizar el RIA sobre los micropagos, vía psicología aplicada.

Técnicas subliminales, manipuladoras, vulnerabilidades y efectos significativos

Partiendo de la presunción iuris tantum de que del otro lado de la pantalla esté alguien de la hermandad jurídica (necesaria para entender el latinismo usado), podemos prescindir de las definiciones de IA y de algoritmo que todos controlamos más o menos. Y así ahorramos palabras, que no se viene un artículo precisamente corto. Al final, es el tema de moda sobre el que todos estamos intentando retener conocimiento al estilo de aquel niño chino que “absorbe el libro”.

De lo que es mejor no prescindir para nada, es de definir los elementos clave de estos dos apartados del 5.1 del RIA. Al igual que el GT29 nos dio las directrices sobre decisiones automatizadas que aterrizan los conceptos de decisión, perfilado, efectos jurídicos o significativamente similares (tampoco en el RGPD había maticez que se pillaban bien); la Comisión Europea ha sacado el borrador de las directrices sobre finalidades prohibidas del RIA (efectos secundarios de su aplicabilidad desde el 2 de febrero).

• Técnicas subliminales: no se definen en el articulado del RIA, pero la Comisión Europea lo aterriza, vía lo dispuesto en el Considerando 29: “capaces de influir en el comportamiento de forma que la persona no sea consciente de dicha influencia, de cómo funciona o de sus efectos sobre la toma de decisiones o la formación de valores y opiniones de la persona. Básicamente, provocar una respuesta inconsciente en el cerebro para que hagamos, demos o digamos lo que quiera el que lo dispuso. Aquí sería el pasar por caja, pero el ejemplo más clásico es de las imágenes intercaladas en un vídeo para que lo captes de manera subconsciente.
• Técnicas deliberadamente manipuladoras o engañosas: tampoco se definen a nivel del RIA, pero podríamos decir que serían todas aquellas encaminadas a intentar confundirnos con tácticas no tan extremas como las subliminales. A efectos, los patrones oscuros, engañosos y adictivos que todos sufrimos. Donde juegan los GAFAM continuamente, y el tipo principal del que vamos a hablar luego. Bueno, hablaremos del subtipo interesante de “patrón adictivo”.
• Distorsión material del comportamiento y efectos significativos: muy en la línea de lo que ya se necesita justificar en las decisiones totalmente automatizadas. En este caso, el perjuicio ocasional de que realices un gasto no previsto/decidido por una técnica subliminal o manipuladora. Nos quedaría colgando el punto de la vulnerabilidad, pero tampoco es algo distinto a lo que ya se tenía que valorar por protección de datos (sobre lo que la ICO ha desarrollado más en guías enfocadas). Lo bueno para nuestro caso, es que la Comisión aprovecha para incluirlo en uno de los pocos ejemplos sobre videojuegos que da en este documento:

“Un juego utiliza IA para analizar el comportamiento y las preferencias individuales de los niños, a partir de las cuales crea recompensas personalizadas e impredecibles mediante programas de refuerzo adictivos y bucles dopaminérgicos para fomentar el juego excesivo y el uso compulsivo. El juego está diseñado para ser altamente adictivo, explotando las vulnerabilidades inherentes a los niños, incluida su limitada capacidad para comprender las consecuencias a largo plazo, su susceptibilidad a la presión, su falta de autocontrol y su inclinación hacia la gratificación instantánea.  

Las consecuencias de esta explotación posibilitada por la IA pueden ser graves y duraderas para los niños, incluyendo un comportamiento potencialmente aditivo, problemas de salud física debidos a la falta de ejercicio y sueño, deterioro de la vista, problemas de concentración y capacidades cognitivas reducidas, bajo rendimiento académico y dificultades sociales. Puede repercutir significativamente en el desarrollo y el bienestar del niño, con posibles consecuencias a largo plazo que pueden extenderse también a la edad adulta.”

Y nunca hay que olvidar el punto de que la finalidad prohibida venga sin que se busque en origen. La típica de que el sistema la líe por el data set de base aportado, o por los mil sesgos aprendidos porque patata. Aquel algoritmo de Amazon para contratar que discriminabas a las mujeres por el histórico de mayoría de hombres contratados para perfil técnico.

Teoría de la autodeterminación y juegos como servicio

¿Cómo se consiguen aterrizar en el mundo real del videojuego (o lo que sea) estas técnicas que distorsionan sin conocimiento/control pleno tus acciones? Como casi todo en este mundo: a través de la psicología aplicada.

En 2025 nos creemos que se inventan muchas cosas, pero la mayor parte de veces son vueltas de tuerca de conceptos o actuaciones más viejas que una Secuoya. La diferencia estriba en la palabrería marketiniana y en la fanfarria de lucecitas digitales. Toda la vida la publicidad ha intentado “pulsarnos las inquietudes y las pasiones”, pero el mundo digital es el que ha conseguido llevarlo al summum de la inmediatez y del consumismo acelerado. La omnipresencia bolsillesca del móvil no es inocua para nadie.

Un videojuego, como casi cualquier otro producto o servicio, necesita ser atractivo para el público objetivo. A todos nos suena la famosa teoría del juego que se aplica a las tragaperras para que nunca te vayas ni seas consciente del despilfarro, pero no tanto la “teoría de la autodeterminación”, aka cubrir las necesidades psicológicas básicas de todo ser humano:

• Autonomía: esa necesidad de libre albedrío y de que tú seas el dueño absoluto de tus acciones. En los videojuegos se fuerza con las mil misiones que sólo puedes hacer tú como el héroe inigualable que eres.
• Socialización: esa caprichosa necesidad de los animales gregarios de vivir en la manada que es la sociedad. El ser parte de algo más grande que tú mismo. En los videojuegos se fuerza con recompensas que sólo puedes conseguir con cooperación con otros jugadores. También con falsa cooperación (el dar vidas a amigos que “haces” de la lista que te doy para ello del Candy Crush), pero queda más claro con el 1º ejemplo de juego tipo Destiny o «mazmorras para varios jugadores».
• Dominio: esa necesidad de creer que siempre mejoras en lo que haces o en lo que te gusta hacer. Los videojuegos lo aterrizan con niveles, mejoras y “dificultad dinámica” (luego hablamos de ello).

Todo videojuego que se precie de serlo, busca el equilibro entre estas tres pautas. Por no enrollarnos más de lo necesario, tendríamos tres fases o hitos cronológicos de aplicación/mal uso de esta base psicológica para hacer dinero:

– Juegos como producto: aquella época maravillosa hasta el advenimiento de las plataformas y apps/launchers en la que el dinero venía de hacer y vender juegos + posibles expansiones de contenido. El marketing estaba en forma de anuncios que serían muy discutibles legalmente por el tono y por dirigirse a menores a saco, pero que nos respetaba sin “publicidad dirigida”.  Nos respetaban porque era “dirigida” a que te tomaras el tiempo y el esfuerzo en rellenarlo, revisarlo y enviarlo por correo (postal, claro). Un consentimiento libre de verdad.

– Juegos como servicio: con la estandarización de las bibliotecas de juegos unidas a un perfil/cuenta de usuario, llegó la posibilidad de hacer la publicidad dirigida, programática y cansina vía cookies y tecnologías equivalentes que seguimos sufriendo. Todo a lo que juegues, mires y compres se va a analizar y parametrizar para proponerte comprar cositas que saben que te interesan más de lo que quieres reconocer. No se cumple con todo lo que se debería en lo legal, pero no es nada nuevo que no pase en los mil servicios, app y lo que sea. Ojalá se hubieran quedado aquí.

– Juegos como servicio en el último círculo del infierno: una de las peores cosas que han demostrado juegos como Fornite o Candy Crush, es que se puede estirar el chicle de un juego sacando contenido cosmético o potenciadores in aeternum. Los famosos “free to play”, “freemium”, “Pay to Win”, “Pay to Progress” o “Pay to Fast”.

¿Ejemplos? Casi todo lo multijugador de gran presupuesto a lo que juegan los mayores y los menores (puedan por edad recomendada o no): Fornite, Candy Crush, Clash Royale, Call of Duty Warzone, Geshin Impact, World of Tanks, World of Warships, League of Legends, Counter Strike, Apex Legends, Marvel Snap, Valorant, FIFA Ultimate Team o Roblox.

Micropagos y loot boxes

¿Qué contenidos o potenciadores se ofrecen para reducir nuestra cartera? Podemos hacer dos tipos de microtransacciones (por no utilizar el mismo concepto de micropago para todo): micropagos y loot boxes.

– Micropagos: se suelen entender como un concepto único, pero si nos ponemos algo pejigueros tiene subtipos:

• Objetos cosméticos: aquellos que únicamente alteran la estética del personaje, apariencia del arma, interfaz de juego, narración de voz, animaciones de victoria, bailes y todo lo que no suponga una ventaja frente a jugadores. Lo más conocidos son los emotes de Fornite y las skins.
• Potenciadores: aquellos que sí otorgan ventajas en el juego, ya sean en la propia partida o para agilizar el progreso en el mismo. Candy Crush juega fuerte a este tipo de micropago.
• Conversiones a dinero del juego: aunque no parezca un micropago como tal, lo es en el sentido de actuar como casa de cambio de moneda con a interés fijo. Moneda real en moneda del juego que no puede volverse a convertir en dinero de curso legal. Y con el punto de que los precios se ajustan para obligarte a pasar a convertir varias veces: justito te falta un poco para lo que quieres, pero acabas con un excedente de moneda de juego que inconscientemente ya estás pensando en qué más gastarlo.
• Downloable Content o DLC: los más viejos del libro. Contenido jugable del propio juego: mayor extensión, duración o profundidad que los anteriores. Se pervierte mucho este tipo en la actualidad, pero debería ser la típica expansión del modo historia o un contenido majo con fondo de bastantes personas jugables nuevos.
• Pago con anuncios: el que no se considera como tal por no saca dinero de manera directa del jugador, pero que lo es por “obligarte” a ver el vídeo para obtener la recompensar. El micropago que honra la legendaria cita de: “Si no pagas por el producto, entonces tú eres el producto”.

– Cajas de botín o “Loot Boxes”

El tipo de microtransacción que se hizo tan conocido y odiado no hace tanto tiempo. Nuestro extinto Ministerio de Consumo lo intentó regular de una manera tan atroz que se quedó durmiendo el sueño de los justos como anteproyecto en 2022. En Europa empezaron a pintar bastos cuando las autoridades de países como Bélgica y Holanda las consideraron juego regulado que debía cumplir con esta normativa tan restrictiva y específico. Poca broma con la obligación de autorización administrativa previa, registro de jugadores a los que prohibir el acceso, o registro de familiares de empleados para evitar amaños……

Hubo debate jurídico sobre si cumplía los tres elementos del concepto de “juego” de la ley pero ahí se quedó. Se decía que no encajaba porque aquí no se arriesgaba cantidades de dinero por siempre tocar algo, pero lo cierto es que mucho de lo que toca carece de valor real para el jugador. El punto más puñetero era de la trasmisibilidad entre participantes que encaja muy bien en el póker, pero aquí haría una buena parte de loot boxes se quedarán fuera.

Las particularidades de este tipo de microtransacciones: aleatoriedad algorítmica o “probabilidad, segregación de objetos por calidad e incentivos sonoros y visuales. Siendo independiente de si permiten o no el intercambio de lo obtenido entre cuentas de varios jugadores.

Este tipo concreto de microtransacciones se popularizó más de lo debido por los cientos de influencers de alto copete grabándose abriendo cajas, sobres y +. De manera patrocinada, sin que ellos perdieran ni un chavo y con alguna sospecha de manipulación algorítmica para que parezca que toca más de lo toca. Al fin y al cabo, la gente que ve este tipo de contenido son potenciales compradores a captar.

Aunque ya están de capa caída, en el proyecto de «Ley Orgánica para la protección de las personas menores de edad en los entornos digitales» (ya en tramitación parlamentaria) tenemos rescatado el concepto. El legislador nunca supo bien qué hacer, pero mantiene el intento miope de Garzón de no darse cuenta que todos los micropagos juegan a lo mismo. ¿Tiene sentido penalizar a un Clash Royale y dejar vivo sin mácula a un Candy Crush? ¿Conseguimos mayor protección para el menor si todos se pasan al modelo micropago manipulador no aleatorio para esquivar el grano de arena regulado? ¿No es bajarse los pantalones hasta los tobillos añadir la coletilla siguiente? : “En su caso, reglamentariamente podrán determinarse los supuestos excepcionales en los que podrá flexibilizarse dicha prohibición, siempre garantizando el principio de protección a la infancia que inspira esta Ley.”. Artículo 5 del proyecto.

Patrones adictivos

¿Qué tipo de acciones concretas basadas en esa psicología aplicada existen para lograr la manipulación subliminal?  Patrones oscuros del subtipo de adictivos.  

A casi todo el mundo le suena el concepto de patrón oscuro, “dark pattern”, “deceptive pattern” o “patrón engañoso”. Sea por la definición y enfoque original de Harry Brignull, o por las variaciones que se han ido haciendo.

El EDPB en sus directrices sobre targeting en redes sociales (mareando más de lo que debería por no mantener los denominativos originales más estandarizados). O los más clásicos: preguntas trampa, sneak into the basket, roach motel, privacy zuckering (ese Zuckerberg, sí), confirmshaming, bait and switch, nudge techniques o continuidad forzada (Mil ejemplos en la página del bueno de Harry Brignull).

Estos patrones que consiguen aterrizar esa psicología aplicada que comentaba al principio para que acabes haciendo/dando/comprando lo que quieren sin que seas consciente de que no ha sido tu decisión real, son el genérico. Para lo que no interesa aquí y ahora, tenemos el subtipo de patrón adictivo que hace más hincapié en el punto de gasto irreflexivo.

Tenemos la suerte de que la AEPD se atreviera a hacerse un informe sobre los mismos (Patrones adictivos en el tratamiento de datos personales Implicaciones para la protección de datos). Y todavía más afortunados por el hecho de que han aterrizado con bastante tino los más conocidos en el mundo de los videojuegos.  Nos quedamos con 6 + 1 ejemplo más novelado de “continuidad forzada del tipo de temporizador”:

“Imaginemos un videojuego de fantasía. El jugador quiere forjar una espada legendaria y el juego le permite crearla, pero esta tarea tardará 4 horas en completarse. El jugador no puede acelerar el proceso; sólo esperar.

Durante estas 4 horas, el jugador se mantiene conectado al juego. Puede que se esté ejecutando en segundo plano, pero es probable que el jugador realice comprobaciones periódicas del progreso del proceso. El jugador necesitará 1 día para actualizar el castillo. Para entrenar tropas, 2 días. Y así sucesivamente para otros recursos valiosos.

Esto es eficaz porque garantiza la retención. Una vez que finalice el temporizador, los jugadores interactuarán con el juego para reclamar los resultados (la espada, el nuevo castillo, etc.). En algunos casos, este patrón permite la monetización. Por ejemplo, el jugador puede omitir el tiempo de espera usando la moneda del juego (gemas, monedas). En este caso, el patrón fomenta el compromiso.

Si los temporizadores son demasiado largos, demasiado frecuentes o están relacionados con recursos que los jugadores perciben como de “bajo valor”, estos pueden sentirse frustrados o perder el interés. Los diseñadores de juegos deben lograr un equilibrio entre la anticipación y la molestia.

Perfilan a los jugadores según sus hábitos (duración de la sesión de juego, momento de juego, frecuencia de juego, preferencias de juego, historial de gastos, etc.) para optimizar todas estas características.”

Podríamos poner mil ejemplos ilustrativos con los bailecitos/emotes de Fornite, las muy discutibles skins de Warzone de convertir armas en ¿unicornios, motos, destructores imperiales de Hacendado, barcos piratas y +? (juzguen ustedes mismos vía enlace de ejemplo), pero vamos con Candy Crush. El juego que conocen niños y mayores para conseguir una facturación desmesurada vía microcosas (propiedad de la empresa que compró Microsoft por algún susto en competencia no hace tanto: Activison-Blizzard-King).

Aplicando todo lo comentado a la “drogaína” con forma de caramelo:

• Uso de incentivos visuales y sonoros, similares a los de las máquinas recreativas y tragaperras (clara influencia de la teoría del juego) para generar esa sensación comentada de cubrir la necesidad psicológica de dominio/mejora por haber realizar un nivel entero con un único movimiento que es más cosa del juego que tuya por pericia (si no contamos lo de destacarte la mejor jugada que puedes hacer). Por ejemplo, las explosiones en pantalla de colores o los mensajes narrados o “voz en off” por movimientos del jugador “destacados”: “sweet”, “delicious” o “tasty”.
• Introducción progresiva de potenciadores comprables con moneda del juego que otorgan ventajas al jugador en partida, de manera que cada vez que se avanza sea más difícil conseguirlos sin tener que convertir dinero real en moneda del juego.
• Recompensas por todo: en el sentido de los patrones de la captura anterior de jugar con cita, dotación, grinding (se suele decir más “grindeo”, “farming” o “chino farming”), recompensa periódica o pull to refresh: por darte moneda del juego si vuelves pasado un tiempo, varias recompensas diarias, mil tareas gratuitas para que sigas en el juego, tareas gratuitas que para cobrarlas necesita gastar dinero. Este punto de recompensas por todo también hace combo con el anterior, de manera que las recompensas van siendo menores (o te renten menos) conforme vas avanzando.
• Uso de sistemas de dificultad dinámica: el punto más fino y peligroso de todos. El algoritmo modifica la dificultad de cada nivel según si te vas frustrar tanto que no te vas a ir, o si con ese punto de frustración vas a verte “obligado” a comprar algún potenciador para superarlo. Nunca reconocerán hacerlo en carne propia, pero la vida se abre camino con un mínimo de representantes públicos que sepan ir al hueso. Como ya hay perfilado del jugador, la golosina la tiene al alcance para más cosas

Punto 104 del apartado 4 del documento “Immersive and addictive technologies” elaborado por el Parlamento Británico tras las comparecencias de especialistas en la materia y representantes de la industria: “Moreover, despite concerns around gaming disorder, some parts of the games industry use data collected about players to modify their experience and keep them playing for longer. Alex Dale told us that King does not use player data to change the experience for individual users—a practice known as ‘dynamic difficulty adjustment’—however, other companies do. For example, Electronic Arts has patented systems that mean “the difficulty level of the video game may be automatically adjusted” to “keep a user engaged for a longer period of time.”

De Algoritmos y el RGPD

Del RGPD

Nunca se empieza por los principios del artículo 5, pero es el núcleo de todo. Al igual que todos los caminos conducen a Roma, todos los artículos del RGPD conducen a los grandes principios rectores. Y con el cajón de sastre que es el artículo 25 de privacidad por diseño y por defecto, volviendo a recogerlos para matizar el punto de aplicación de medidas técnicas, organizativas que los garanticen.

El principio de transparencia va al rosco de la información cero que dan, pero ¿cumpliría con el principio de lealtad?. No siempre es fácil aterrizar a elementos concretos estos principios que todos utilizamos dando por sabido lo que significan, pero vamos a tirar del bolso mágico del EDPB (Directrices 4/2019 de privacy by design y default). El de lealtad es el principio específico que determina que un dato personal no debe ser tratado de manera “injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o engañosa para el interesado”. Siniestro total, pero vamos a hacer el parte del perito con varios de los elementos que el EDPB determina para que exista lealtad:

• Expectativas razonables: 10 de 10. Típico tratamiento invisible del que sólo tienes idea si lo investigas o te encuentras con un artículo de este tipo ;).
• Sin discriminación: 100 de 10. Sin comentarios.
• Sin abusos: 1.000 de 10. Nadie está intentando hacer palanca en las necesidades o vulnerabilidades de los interesados.
• Sin engaños: 10.000 de 10. ¿uso de lenguaje o diseño engañoso o manipulador?. Nunca de los jamases del País de Nunca Jamás.
• Ética y verdad: 100.000 de 10. Existe la verdad y la “verdad” + la ética del código de los piratas de Libertalia.
• Intervención humana: poca, pero la línea genérica de derecho a la intervención humana siempre está en las políticas. Se meten todos los derechos, con independencia de que apliquen o no a los tratamientos informados.
• Lealtad en el funcionamiento de los algoritmos: ∞ de 10. Si el tratamiento es tan leal que ni te lo van a decir, pues es complicado que cuente con detalle sobre cómo funciona y qué hace para no discriminarte o perjudicarte. No ayuda que la única razón del ser del asunto sea perjudicarte la cartera.

De Algoritmos

Con todo lo dicho, creo que a nadie se le escapa que este tipo de acciones estarían un poco complicadas de justificar de base. Habemus un tratamiento totalmente automatizado con efectos significativamente similares a los jurídicos. ¿Por qué? Por lo de siempre de cumplir los requisitos del 22 del RGPD:

• Existencia de una decisión sobre el jugador: el hecho de que el algoritmo, previo perfilado del jugador sobre qué compra, qué no, cómo juega y otros elementos relevantes, va a determinar qué patrones adictivos mostrar o cómo mostrarlos para maximizar que el jugador acabe picando. El dar una recompensa especial si detecta un período largo de inactividad (puede que con notificaciones vía dispositivo que sea), el no apretar en dificultar en un nivel para no provocar frustración de la mala para ellos, el subirla para ver si pica el jugador…….
• Realizada por medios totalmente automatizados y sin intervención humana: con el punto del algoritmo ya llevamos puesto el que sea automatizado, pero también el que no haya intervención humana. En un tratamiento a escala completamente global y del nivel de intensidad en los videojuegos de gran público, pues va todo en automático y con decisión aplicada en tiempo real.
• Que provoca efectos significativamente similares a los jurídicos: el punto mucho más líquido que el claro de efecto jurídico, pero que aquí lo tenemos por el hecho de que va a producir una distorsión real y significativa en el comportamiento económico del jugador. Consumo irreflexivo en el momento.

Podríamos comentar la jodida situación de sólo tener el consentimiento explicito para levantar la prohibición del 22, la PIA que en necesidad y proporcionalidad tampoco te va a salir muy allá, los derechos concretos del 22, o el punto de Schufa y sus predicciones algorítmicas y el efecto real de la misma si la respeta/es dimanante para el responsable; pero es más interesante dejar caer el tema de la información.

Hablando de un algoritmo de caja negra como la copa de un pino (lo de operar de manera opaca y no comprensible para el usuario no hace bien), es buena oportunidad para recordar la complejidad de la información del 22. No es nada nuevo que no digan las famosas directrices de decisiones automatizadas del GT29 (una de las asumidas por el EDPB), pero vamos con novedades del TJUE en forma de resolución del TJUE del 2025: C-203/22 (CK contra Dun & Bradstreet Austria GmbH y Magistrat der Stadt Wien). Sí, la ahora de moda/referencia en el tema. Y justo una en la que las cuestiones prejudiciales que le hacen hablan de algoritmos de caja negra:

La resolución tiene la importancia de que es a nivel del TJUE, pero lo más novedoso que no saliera ya en las directrices del GT29 son dos perlitas del Abogado General. Dos concretas sobre que el 15.1.h es un derecho real a que te expliques + vete mandando todo a la autoridad de control o tribunal competente, y luego ya se verá el límite de secreto empresarial y derechos de terceros que existe:

• “Por ello, como ha señalado el Abogado General en el punto 67 de sus conclusiones, procede considerar que el artículo 15, apartado 1, letra h), del RGPD ofrece al interesado un genuino derecho a una explicación sobre el funcionamiento del mecanismo aplicado en la adopción de una decisión automatizada de la que ha sido objeto y sobre el resultado al que ha llevado dicha decisión.”

Me parecen más inspirados los puntos 64 y 2ª parte del 71 del Abogado General sobre la necesidad de dar contexto inteligible y real de lo técnico para que pueda ejercerse el derecho con el conocimiento de lo que pasa que exige: “El conocimiento de este contexto por parte del interesado debe permitirle comprender el resultado al que se ha llegado mediante la decisión automatizada, al conocer los elementos esenciales del método y de los criterios utilizados. En resumen, el proceso, de carácter técnico, que ha conducido a esta decisión debe hacerse inteligible. Solo de este modo podrá el interesado ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla. (…..). “En segundo lugar, esta información debe ser suficientemente completa y estar suficientemente contextualizada para permitir al interesado verificar su exactitud y si existen una coherencia y una relación de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que ha llegado la decisión automatizada.”

• “Como ha señalado el Abogado General en el punto 94 de sus conclusiones, esta jurisprudencia es plenamente extrapolable al supuesto en el que la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por el artículo 15, apartado 1, letra h), del RGPD pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por el RGPD o bien un secreto comercial, en el sentido del artículo 2, punto 1, de la Directiva 2016/943. En este supuesto también, la referida información debe comunicarse a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión para determinar el alcance del derecho de acceso del interesado a los datos personales que le conciernen.”

El resto lo podemos ejemplificar mejor con lo que dice el GT29:

• A fin de que esta información sea significativa y comprensible, deben ofrecerse ejemplos reales y tangibles del tipo de efectos posibles.

• En lugar de ofrecer una compleja explicación matemática sobre cómo funcionan los algoritmos o el aprendizaje automático, el responsable del tratamiento debe considerar la utilización de formas claras y exhaustivas de ofrecer información al interesado, por ejemplo: las categorías de datos que se han utilizado o se utilizarán en la elaboración de perfiles o el proceso de toma de decisiones; por qué estas categorías se consideran pertinentes; • cómo se elaboran los perfiles utilizados en el proceso de decisiones automatizadas, incluidas las estadísticas utilizadas en el análisis; por qué este perfil es pertinente para el proceso de decisiones automatizadas; y cómo se utiliza para una decisión relativa al interesado.

¿Algo más de la Comisión in love with AI.?

Lo divertido para el caso está al inicio del artículo. Hubiera sido muy raro dejarlo en un apartado final cuando son definiciones básicas del tema a tratar.

Aún con todo, sí se puede hacer un gran finale. La Comisión Europea se fumó alguna sustancia nociva por uno de los ejemplos sobre videojuegos que incluyen . Es cierto que se va a ello, pero ni a medio plazo me creo que comercialmente vayamos a tener nada en el mercado de este estilo. Hay prototipos y ejemplos de gente que hace pinitos con sensores de encefalograma para disparar o moverse con la “mente”, pero la batalla a corto-medio plazo va a ser el eye tracking de los casos de realidad virtual, aumentada o mixta.

Fuera de carta, tendríamos el derecho a explicación de decisiones tomadas individualmente del artículo 86 RIA, y la futura resolución del TJUE ante la 1ª cuestión prejudicial que nos viene sobre interpretación decisión automatizada sobre RIA.

Y hasta aquí llegamos. Podría incluir unas conclusiones para cerrar el artículo, pero casi es final abierto hasta que pase algo. Hemos hecho un recorrido para intentar poner en papel este tema que está ahí, pero el final ya nos lo darán escrito cuando empiecen a venir las investigaciones de autoridades, las denuncias, los cambios en los modelos para evitarlo y las sanciones.

Bueno, sí existe una conclusión importante que podemos dejar apuntada ahora: no jueguen a Candy Crush ni a ninguno de sus primos que utilizan la psicología aplicada para generar una tragaperras con forma de videojuegos. Parecen videojuegos, pero en el fondo son drogaína pura de Walter White.

La entrada ¿Qué tienen que ver las finalidades prohibidas del RIA con los micropagos? se publicó primero en Citizen8.