A pesar de su carácter transversal, la Data Act llama la atención no solo por sus nobles objetivos y las nuevas reglas del juego que impone, sino también por otros aspectos más secundarios, como puede ser un redactado excesivamente vago en algunos artículos clave que nos abocan inevitablemente a la confusión, pasándole delibera y anticipadamente la patata caliente al TJUE para que nos alumbre el camino de la interpretación, con conceptos clave ausentes de definición y conceptos jurídicos indeterminados, que a más de uno le estarán acentuando la migraña o la imaginación.

Además de las notorias erratas de traducción en las versiones oficiales en diferentes idiomas, cambiando sustancialmente el significado de algunos de sus preceptos, en función de la versión que uno lea.

Pero si hay algo que realmente clama al cielo, es lo descaradamente desapercibido que está pasando a pesar de su inminente aplicación, debido a la total consagración -casi mesiánica- que le estamos otorgando al Reglamento de Inteligencia Artificial, monopolizando el foco normativo y relegándolo al segundo plano, como ese invitado incómodo al que nadie quiere mirar, pero que tiene las llaves del edificio.

Con un enfoque intersectorial y un alcance extraterritorial, con una rabiosa interacción con el RGPD, este nuevo reglamento va a suponer un punto de inflexión.

La Data Act ya está aquí, y está aquí para quedarse.

¡Pero no todo puede ser tan negativo! La Data Act tiene realmente aspectos muy positivos, empezando por su principal objetivo, que es desmantelar el monopolio de datos, de modo que estos dejen de estar solamente en manos de los fabricantes y puedan ser accedidos, usados y monetizados por los usuarios, que, en definitiva, son los generadores de esos datos.

Con el fin de responder a las necesidades de la economía digital y eliminar obstáculos en un mercado interior de datos, el Reglamento establece un marco armonizado que especifica quién tiene derecho a utilizar los datos, en qué condiciones y sobre qué base.

Empecemos por el principio:

Generalmente, al adquirir un producto tradicional, el usuario recibe el producto, con sus componentes y accesorios. Sin embargo, en la era del Internet-Of-Things (IoT) disponemos de productos, tanto de uso industrial como de uso doméstico, que están conectados a internet y son capaces de generar datos nuevos por el simple uso del producto. Estos datos, se suman al producto, pero hasta la fecha, solo han sido accesibles, y, por ende, utilizados y explotados por el fabricante o el titular de los datos (que en la mayoría de los casos suele ser la misma entidad), sin que el usuario, que es quien los genera en primer lugar, pueda beneficiarse en manera alguna de estos. Y aquí es donde, en esencia, entra este Reglamento en juego, otorgando a las personas y empresas el derecho a acceder a los datos producidos mediante la utilización de objectos, máquinas y dispositivos inteligentes.

En este sentido, la definición de “dato” es total, pues lo abarca, por definición, practicamente todo: cualquier representación digital de actos, hechos o información, en formato sonoro, visual o audiovisual. Y sí, como has imaginado, también incluye datos de carácter personal.

-RGPD entró en el chat-.

Esos datos generados por el uso de un producto conectado representan tanto la digitalización de las acciones del usuario como de eventos. Es decir, abarcan tanto los datos registrados de manera intencionada, como los datos resultantes indirectamente de la intervención del usuario, así como los datos relativos a las interacciones del producto conectado. Es decir: datos personales, datos no personales, datos relativos al rendimiento, datos relativos al uso, al no-uso y datos relativos al entorno de los productos conectados y los servicios relacionados.

Por ejemplo, podríamos estar hablando tanto de los registros de actividad de una máquina industrial, como los datos generados automáticamente por sus sensores (p.ej. velocidad, temperatura, humedad, etc.), así como de los datos registrados por aplicaciones integradas, incluidas las aplicaciones que indican el estado del hardware y los fallos de funcionamiento.

Esto incluye también los datos generados por el producto conectado durante el periodo en el que el usuario no interviene, como cuando este decide no utilizarlo durante un periodo de tiempo determinado, dado que el estado de un aparato, por ejemplo, sus pilas o baterías, suele variar cuando este se encuentra en modo de espera o apagado.

En lo material:

El ámbito material de aplicación del Reglamento se centra en los datos brutos (datos primarios), es decir, en esos datos que se generan automáticamente en el producto conectado sin ninguna forma de tratamiento posterior, así como en los datos pre-tratados, que son aquellos datos que, previamente a su tratamiento y análisis, han sido objeto de un tratamiento destinado a hacerlos comprensibles y que puedan ser utilizados. Por ejemplo, con un sencillo cambio de formato que permita la lectura de esos datos.

Cabe destacar que esto no debe interpretarse en el sentido de imponer al fabricante o al titular de datos una obligación de realizar inversiones sustanciales en el limpiado y la transformación de los datos, pues como ha recientemente puntualizado la Comisión Europea, se espera que el usuario o tercero destinatario de los datos, tenga un nivel razonable de capacidad técnica para interpretar esos datos.

A todo esto, el legislador ha optado por incluir los metadatos correspondientes para facilitar esa interpretación y utilización de dichos datos.

En cambio, toda la información que se infiera o se derive (datos secundarios) de tales datos, como resultado de inversiones adicionales en la asignación de valores o conocimientos que aportan los datos, en particular, mediante algoritmos complejos, no están sujetos a la obligación del titular de datos de ponerla a disposición de un usuario o destinatario.

A modo de ejemplo:

Datos derivados: podrían ser informaciones obtenidas a partir de otros datos mediante cálculos: si tienes una lista de cifras de ventas, los ingresos totales serían datos derivados.

Datos inferidos: podrían ser informaciones deducidas a partir de datos existentes: predecir las preferencias de tu cliente basándose en su historial de compras.

El motivo principal de su exclusión es, por un lado, el hecho de que el Reglamento no pretenda desincentivar la inversión interna por parte del fabricante o del titular de los datos en tecnologías de datos, y por el otro, evitar conflictos de propiedad intelectual, ya que los datos protegidos por IP (p.ej. patentes, diseños, copyrights) quedan excluidos.

Por eso, todo gira en torno a los datos primarios, y no en el contenido como tal.

Por poner un ejemplo: si estás leyendo un e-book, escuchando música en Spotify o mirando Boston Legal (recomendadísima) en Netflix, podrás tener acceso como usuario a los datos que genere tu SmartTV donde indique que tal día como hoy, de 09:00h a 12:00h, la aplicación de Netflix estuvo activa, pero no al contenido de lo que leíste, escuchaste o viste, pues obviamente se trataría de contenido protegido por derechos de autor.

Secretos comerciales:

Entrando en materia de exclusiones, y dada la vasta definición de “dato” bajo el prisma la Data Act, que como veremos a continuación, implicará alguna que otra “friction by Design” con el RGPD, si hay un tema más caliente que Córdoba en agosto es el hecho de que los secretos comerciales no quedan excluidos de la obligación por parte del fabricante o titular de los datos de ponerlos a disposición del usuario o de un tercero de su elección.

Repito: los secretos comerciales no están excluidos. Ni frente al usuario ni frente a un tercero que esté actuando en su representación, siempre y cuando haya una condición que se cumpla: los secretos comerciales se preservarán y se revelarán cuando el titular de datos y el usuario hayan adoptado medidas técnicas y organizativas (las famosas “TOMs”) necesarias para preservar su confidencialidad, tales como cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos, aplicación de códigos de conducta, etc.

Y es solo en caso de desacuerdo sobre las medidas a implementar, o cuando el usuario no las aplique debidamente, donde el titular, por regla general, podrá retener o suspender esa puesta a disposición de los datos identificados como secretos comerciales.

El Reglamento establece algunas excepciones de dudosa aplicabilidad en la práctica (p.ej. una demostración del riesgo concreto basada en elementos objetivos de la alta probabilidad de sufrir un perjuicio económico grave que implique una pérdida económica significativa como consecuencia directa de su revelación…) a esta regla, terminando todas ellas con la obligación de notificar a la autoridad competente de tu negativa a compartir tus secretos comerciales tras el requerimiento por parte de un usuario o de un tercero actuando en su nombre.

Este es un tema que promete generar mucho litigio, pues a parte de la legitima negativa por parte de empresas de tener que verse obligados a compartir semejante información sensible en términos de negocio con cualquier usuario o tercero que este capacitado para solicitarlo, no deja de ser en sí paradójico: si el titular de los datos tiene que firmar un contrato con terceros donde, entre otras cosas, se especifiquen los secretos comerciales y las medidas a adoptar para preservar su confidencialidad, en si se contradice la idea de secreto comercial, ya que un secreto comercial es, por definición, una información que no es generalmente conocida ni fácilmente accesible, incluso entre las personas que normalmente manejan ese tipo de información. Compartir listas exhaustivas de secretos comerciales con miles de destinatarios y usuarios, implica, a la larga, que esos datos se acaben volviendo generalmente conocidos, y por ende, pierdan su valor comercial.

A título personal, soy de la opinión de que parte de la respuesta la encontramos en el mismo Reglamento: todos los datos sujetos a las obligaciones impuestas por la Data Act emanan de una premisa clave: el diseño. Los datos que los fabricantes tienen la obligación legal de compartir a partir del 12 de Setiembre de 2025, son, por definición, los que ellos mismos han diseñado para que puedan ser extraídos de sus productos (ya sea mediante una conexión física o electrónica), y, por ende, compartidos.

Si un dato no ha sido diseñado para ser extraído del producto conectado, queda automáticamente fuera del alcance del Reglamento. Así que, quizás, sería una buena estrategia, dentro de la libertad de empresa de la que gozan los fabricantes, empezar a identificar los datasets críticos y plantearse la viabilidad, costes y las consecuencias de rediseñar ciertos aspectos…

Huelga decir que una gran cantidad de datos agregados, aunque por separado no constituyan un secreto comercial, pueden utilizarse para determinar cómo funciona un dispositivo o para descubrir secretos comerciales.

En lo territorial:

En cuanto al ámbito territorial, la Data Act tiene un régimen parecido al del RGPD, pues se aplica independientemente del lugar de establecimiento de los fabricantes, proveedores de servicios y titulares de datos. Los fabricantes y proveedores establecidos fuera de la UE deben cumplir con la normativa si su producto conectado o servicio relacionado se introduce y comercializa en el mercado de la UE y, en el caso de los titulares de datos, si ponen los datos a disposición de destinatarios de datos en la UE.

Aquí es vital matizar conceptos: “introducir en el mercado” hace referencia a la transferencia de propiedad, posesión u otro derecho de propiedad entre dos agentes que ocurre después la fase de fabricación. Como tal, un producto conectado solo se ‘introduce en el mercado’ una vez. Todas las operaciones posteriores se consideran como ‘puesta a disposición en el mercado’.

Por cierto, el concepto se refiere a cada producto individual, no a un tipo de producto.

Los usuarios están definidos como personas físicas o jurídicas que poseen un producto conectado o a la que se le han transferido contractualmente derechos temporales de uso (p.ej. leasing). Basta con que estén en la Unión para poder hacer uso de los derechos que les otorga el Reglamento.

En cuanto a los actores se refiere, y para hacer las cosas un poquito más complicadas, existe una especie de multiverso paralelo donde múltiples combinaciones entre ellos son posibles:

Un mismo producto conectado puede tener varios usuarios independientes y de procedencia dispar. Por ejemplo, una empresa (titular de datos) de alquiler de coches, que cada vez que alquila un coche (producto conectado) a una persona distinta (usuario), tiene que poder garantizar el tratamiento separado de los datos de cada usuario distinto, garantizando su confidencialidad y el acceso de estos por separado. También se puede dar el caso que quien alquila (usuario) el coche, no sea una persona física sino una jurídica (otra empresa), relegando a la ecuación la figura de persona física al conductor final del coche, que también puede tener interés en acceder a sus datos para poder subirlos a una app de un tercero (destinatario) que evalúe su manera de conducir y le de consejos para reducir el gasto de gasolina.

Por otro lado, un producto conectado puede tener más de un titular de datos, que necesitan interactuar entre sí. O también se puede dar una situación en la que tengamos un fabricante y un titular de datos que sean empresas diferentes. O diferentes usuarios. O un proveedor de servicios relacionados con el producto conectado que no sea ni el fabricante ni el titular. O incluso un fabricante que también es titular, pero decide contratar a otra entidad para que desempeñe la función de titular de los datos para la totalidad o parte de los productos conectados que fabrica.

Realmente las posibles constelaciones hibridas y variopintas que pueden y van a surgir con este marco regulatorio en una economía global como la nuestra, van a suponer un reto interesante a nivel contractual. Pero las historietas para no dormir las dejaremos para otro día.

“Friction by Design”

La Data Act, en un intento de virtuosismo literario con poca credibilidad práctica, afirma por activa y por pasiva ya en su primer articulado, que sus disposiciones no afectan ni al RGPD ni a la veterana Directiva ePrivacy (ePD), matizando caballerosamente que, en caso de conflicto, les cederá el paso, pues el Derecho aplicable en materia de protección de datos personales o de la intimidad deberá prevalecer. Ambas normativas disponen del mismo rango, pero están dotadas de una norma de conflicto a favor de la protección de datos. Esto implica que ambas normativas deben armonizarse en la medida de lo posible en su aplicación, y solo cuando surja una contradicción irreconciliable, no deberá aplicarse la disposición pertinente a la Data Act, parar garantizar la plena protección de los datos personales.

A tenor de lo anteriormente expuesto, la definición de ‘dato’ bajo la Data Act engloba los datos de carácter personal, quedando automática y paralelamente sujetos al régimen del RGPD. A mayor abundamiento, cuando los datos personales y los no personales de un conjunto de datos estén indisolublemente vínculos (datasets mixtos), también quedarán sujetos a la primacía del RGPD.

Esto lógicamente implica que todo tratamiento de datos personales en virtud de la Data Act deberá cumplir con el RGPD, empezando por el requisito de disponer de una base jurídica válida para el tratamiento con arreglo al Art.6 RGPD, y, cuando proceda, con una excepción del Art.9 RGPD e incluso del Art.5.3. ePD.

Sin embargo, la Data Act como tal, a diferencia de lo que hemos visto con otra normativa reciente europea, no constituye una base jurídica para el tratamiento como tal.

Es decir, el Reglamento impone a los titulares de datos la obligación de poner los datos personales a disposición de los usuarios o de los terceros elegidos por el usuario. Para eso, deberá proporcionarse el acceso a los datos personales que el titular de datos trate basándose siempre en alguna de las bases jurídicas del Art.6 RGPD.

No obstante, cuando el usuario no sea el interesado, el presente Reglamento no contiene ninguna base jurídica para que se proporcione acceso a los datos personales o estos se pongan a disposición de un tercero, y no concede ningún nuevo derecho al titular de datos a utilizar los datos personales generados por el uso de un producto conectado o de un servicio relacionado.

Llegados a este punto, la Data Act, cual atleta olímpico, hace una pirueta con doble tirabuzón:

• 1er tirabuzón: semi-invirtiendo la carga de la prueba al proponer que “podría redundar en interés del usuario facilitar el cumplimiento de los requisitos establecidos en el Art.6”. Es decir, en caso de sofocos buscando una base legitimadora, se le puede pedir al usuario que colabore un poco y nos traiga de casa un consentimiento firmado bajo el brazo o, al menos, una LIA ponderada como Dios manda.
• 2o tirabuzón: luego, por si fuera poco, introduce a modo de traca la palabra mágica “anonimización” como vía de escape. Huelga recordar que la anonimización (cada más cuestionable en términos absolutos, habida cuenta de la tecnología actual) constituye un tratamiento en sí, el cual también requiere de base legal.

En conclusión: la Data Act no constituye una base jurídica ni para la recogida o generación de datos personales por parte del titular de datos, ni para proporcionar el acceso a eso datos.

-RGPD salió del chat-.

Cierto es que, antes de determinar en qué base jurídica del RGPD podemos subsumir nuestra empresa, en un contexto de cesión de datos a terceros, deberíamos evaluar detenidamente si los datos de carácter personal afectados realmente lo son, en base a la doctrina Scania y demás jurisprudencia del TJUE.

En otro orden de cosas, también cabe destacar los siguientes extremos en cuanto a la interacción con el RGPD:

• Los datos personales solo pueden ser solicitados por un responsable del tratamiento o un interesado.
• El encargado de tratamiento no es ni usuario ni titular de datos.
• Cuando el titular de datos y el usuario sean corresponsables del tratamiento, deberán determinar de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de la Data Act.
• Por otro lado, cuando el usuario sea el interesado, el derecho de acceso y el de portabilidad con base al RGPD no se ve afectado por la Data Act. Cuando la parte solicitante (usuario) de los datos es también el interesado, la base jurídica del Art.6 RGPD no suele plantear problemas, pues bastaría, por ejemplo, con su consentimiento, el cual, posiblemente formaría parte implícita de la propia solicitud de acceso.
• Sin embargo, cuando el usuario no sea el interesado, sino una empresa (incluido un empresario individual), el usuario tendrá la consideración de responsable del tratamiento. Por consiguiente, dicho usuario, que como responsable desea solicitar los datos personales generados por el producto conectado, deberá tener también una base lícita del RGPD para el tratamiento, como puede ser el consentimiento del interesado, un interés legítimo o la ejecución de un contrato en el que el interesado sea parte.

Supongo que en un futuro será común que, en estos escenarios, las empresas que deseen utilizar datos personales pidan el consentimiento de los interesados, o bien recogiéndolos ellos mismos para luego adjuntarlos a la solicitud de acceso, o bien pidiéndoles directamente a los interesados que envíen ellos mismos sus consentimientos al titular de los datos.

En otro orden de cosas, en cuanto a la aplicación y ejecución de ambos reglamentos se refiere, la Data Act establece que cada Estado miembro designará a una (o varias) autoridad nacional competente para garantizar la aplicación y ejecución del Reglamento. Sin embargo, también establece, que las autoridades de control responsables de supervisar el RGPD, tendrán la responsabilidad de supervisar también la Data Act en todo lo que respecta a la protección de datos personales.

En caso de designar una autoridad de control para la Data Act que no sea la propia autoridad responsable del RGPD, quedará por ver como se garantiza una supervisión homogénea y coordinada, sin que termine siendo un lastre técnico y burocrático para el afectado que se atreva a hacer valer sus derechos.

Y todo esto… ¿para qué?

Como sucintamente nombrado al inicio del post, la idea final es que este nuevo marco regulatorio, aparte de conllevar una democratización de los datos al permitir un acceso más justo y equitativo, elimine los obstáculos del intercambio de datos, los silos, cuellos de botella, desde un punto de vista técnico y contractual, sin abuso de desequilibrios, produciéndose un auténtico incremento de la competitividad y la innovación, impulsando el desarrollo de nuevos modelos de negocios basados en la reutilización de esos datos para nuevos fines y de modo ilimitado, sin pérdida de calidad ni de cantidad.

Así las cosas, más allá de teorías y objetivos nobles, ahora tocará esperar a que la realidad se imponga y nos muestre si este paso pionero que hemos dado a nivel europeo ha sido un acierto, o por el contrario, hemos acabado exponiendo y regalando a nuestros competidores el “know-how” que nutre nuestro tejido industrial, ahogados en un laberinto de solicitudes y protocolos.

Sergi Ariño Mayans

Abogado

La entrada La Data Act ya está aquí… y el silencio es ensordecedor se publicó primero en Citizen8.

Plenty has been said and written around the AI Act and its different versions and much more will need to be said. This article aims to be the first of a series in which we will explore opportunities and battles won and lost on the last version of the AI Act in general and when compared with the previous versions.

The lost principle-based approach

The GDPR is a principle-based regulation, Article 5 sets out the data protection principles that shall govern all data processing activities: lawfulness; fairness, and transparency; purpose limitation; data minimisation; accuracy; storage limitation; integrity and confidentiality; and accountability. The wording is clear and not subject to interpretation: the Data Controller is responsible for demonstrating at all times that personal data processing activities are carried out complying with each and every one of said principles, regardless of the nature of the data processing, its scope, duration or location. The principles must be complied with at all times, and they conform a threshold for data protection authorities and the judiciary to decide whether data protection rights have been violated.

In the EU, when the High Level Expert Group on AI (HLEG) in 2019 published the ‘Ethics Guidelines for Trustworthy AI’ it identified 7 ethical principles that should govern all AI systems: (1) human agency and oversight; (2) technical robustness and safety; (3) privacy and data governance; (4) transparency; (5) diversity, non-discrimination and fairness; (6) societal and environmental wellbeing; and (7) accountability. Since then, international organisations and governments have been publishing similar policies identifying ethical principles that should govern the development and use of AI (the OECD, UNESCO, US, China, Japan, etc.).

The principles identified by the HLEG have been embedded in the draft proposal for a Regulation on AI since the very beginning, since the Commission’s proposal in 2021. Articles 10, 13, 14 and 15, amongst others, address directly those principles, with one major caveat: they solely apply to high-risk AI systems. What falls under the definition of a high-risk AI system has not been undisputed during the run of the AI Act, but one thing is clear, the majority of AI systems on the market or that will be placed on the market in the years to come, will not be categorised as high-risk.

In this manner, and perhaps due to the advent and blossoming of GenAI models like ChatGPT (launched in November 2022) which would not be categorised as high-risk AI systems in most instances (although the Act contains specific requirements for these systems), the European Parliament’s (EP) mandate on the AI Act published in June 2023, included a rather novel provision under Article 4 (a) of the AI Act: General principles applicable to all AI systems. The article provided that all operators (i.e. developers of AI, providers and deployers) shall make best efforts to develop and use AI systems in accordance with a detailed and specific list of principles that resulted to be the same principles identified by the HLEG.

Unfortunately, this Article 4(a) has disappeared from the leaked and presumably last version of the AI Act, therefore, losing the momentum for a principle-based approach applicable to all AI systems.

Facial recognition

Undoubtedly, one of the most contested and controversial provisions has been the use of real -time remote biometric identification – Article 5(1)(d) of the AI Act. Since the beginning, this provision was added under Title II of the AI Act dedicated to providing a list of prohibited AI practices. However, the provision is subject to various exceptions making it a rather ‘partially prohibited practice’, moving it away from the definition of a prohibited practice and closer to a regulation of a high-risk AI system. In any case, the provision has suffered substantial changes during the different versions of the AI Act, and it has been subject to much criticism from civil society organisations.

The initial text referred to the prohibition of ‘real-time’ remote biometric identification for the purposes of law enforcement with the exception of, amongst others, searching for a perpetrator or suspect of a criminal offence punishable by a custodial sentence or a detention order for a maximum of at least three years, which in practice, covers most crimes, and making it subject to prior judicial authorisation. This position was seconded by the Council’s text with some nuances. Notwithstanding, the EP’s mandate eliminated all the exceptions allowed for the use of real time biometric identification systems and equally important, it removed the application of the prohibition solely when used for law enforcement purposes, making it applicable to any kind of remote biometric identification systems including those that might be used by private companies. The EP’s mandate only allowed for ‘post’ remote biometric identification with previous judicial authorisation. Nevertheless, the provision contained in the leaked text has pretty much returned to its beginnings and has put back the exceptions and the prohibition only linked to law enforcement purposes and just added a paragraph stating that for purposes other than law enforcement, Article 9 of the GDPR shall apply.

The possibility of using real time biometric identification systems by private actors should not be taken lightly. Let us remember what happened last year in the US where some individuals were barred from entering the Madison Square Garden because they were employees of a law firm in litigation with the company. Or the system implemented by a large supermarket chain in Spain, Mercadona, to detect individuals with restraining orders or criminal convictions for crimes committed against the supermarket or its employees. Mercadona was sanctioned with a EUR 2.5 million fine by the Spanish Protection Authority acting ex-officio and it was considered that the personal data processing was unlawful.

One may wonder what other uses and practices for real time biometric identification will come in the future. Live facial recognition used in public spaces for law enforcement but also for private purposes might increase during the upcoming years and the line with mass surveillance will not be easily drawn. We all have (reluctantly) gotten used to CCTV exposure over the last decade, but the use of facial recognition systems is a sharp turn very much liked by authoritarian regimes. Trade-offs between privacy and security are old, will the provisions in the AI Act maintain the balance? Will it be Article 9 of the GDPR? Or will the balance tip in favour of security?

FRIAs: light at the end of the tunnel or lost opportunity?

There is one specific provision that made its way through the text:  the fundamental rights impact assessment (FRIA). This provision contained in Article 29 (a) was not contemplated either in the Commission’s draft or the Council’s draft, but it was added by the EP. It obliges deployers of high-risk AI systems to perform a FRIA prior to putting the system into use. One of the main supporters of this provision has been the Dutch Government, which after the so-called ‘Dutch Scandal’ would like to ensure that history does not repeat itself. The case derived from the use by public authorities in the Netherlands of an AI system that aimed at detecting fraud in the receipt of childcare benefits. Thousands of families -often with low incomes- were wrongly accused of having committed fraud and were compelled to repay thousands of euros received throughout the years, leaving many of them in bankruptcy and poverty. The system was flawed and biased since some of the families were put under scrutiny simply because of their ethnic origin or dual nationality. The scandal ended with the Dutch Prime Minister resigning and the Dutch government advocating for the introduction of a mandatory FRIA in the text of the AI Act.

In practical terms, it is still unclear how a FRIA should look like. It is stated in the AI Act that the AI Office shall develop a template for a questionnaire which shall be filled by in by deployers and sent to the market surveillance authority along with other documentation, but presumably handing over a filled in template will not be enough. A FRIA – as with any other impact assessment – shall be considered carefully. First question that comes to mind is, what fundamental rights should be taken as the basis to perform the FRIA? The Charter of the EU? The European Convention on Human Rights? The answer should contemplate that country specifics should be taken into consideration. Constitutional systems are not harmonised within the EU and fundamental rights are defined and protected differently across different countries. For instance, in addition to data protection, in Spain there is a specific Organic Law for the protection of the right to honour, personal and family intimacy, and self-image; derived directly from Article 18 of the Spanish Constitution, these rights are not contemplated as such in other jurisdictions. In Germany, criminal law prohibits the public denial of the Holocaust while in other countries it could be protected under freedom of expression.

In addition, the scope of Article 29 (a) has deviated significantly from the EP’s text where it was first introduced. The EP’s version established the obligation to perform a FRIA in all instances when the deployer was to use a high-risk AI system. However, the leaked text only contemplates FRIAs for public authorities, private operators providing public services, and operators (public or private) deploying AI systems to evaluate credit worthiness and risk assessments and pricing in life and health insurance. Leaving the provision almost with no teeth and the obligation by private operators to evaluate the impact of their systems on fundamental rights almost non-existent.

Conclusion

There is a lot to read and a lot to think and yet we will not have all the answers, but one thing is certain, in the medium term, AI will shape our lives in a turn that may be comparable to the advent of the Internet. It will be a positive turn in many instances, but it will be also challenging. Experience has proven that technology comes first, and regulation follows oftentimes when it is too late, but perhaps in the digital landscape the pace is even harder to keep up. Being the first continent having a regulation on AI shows a strong societal and policy commitment to prevent AI wrongdoings but concerns around hindering innovation with overregulation could have diluted such efforts.

La entrada Opportunities and perils of the leaked AI text se publicó primero en Citizen8.

La cantidad de horas que pasamos al día en internet ya supera en ocasiones a la cantidad de horas que dormimos. Navegamos por internet en nuestro tiempo de ocio, en el trabajo, cuando estamos con gente y cuando estamos a solas. Navegamos por internet desde nuestro móvil, nuestro ordenador, y ahora también desde nuestros relojes o televisores.

Sin embargo, la mayoría de las páginas que visitamos durante estas horas son gratuitas. Redes sociales, buscadores, infinidad de blogs y periódicos, páginas informativas o de know-how, vídeos, música… En un mundo en el que cada vez se fomenta más el consumo y existen menos cosas gratis… ¿Por qué no pagamos por aquello a lo que le dedicamos tantísima atención? ¿Qué sacan las plataformas de ofrecernos esos servicios “gratis”? Es más: ¿cómo puede ser que, usándolo tanto, sepamos tan poco de internet y lo que hay detrás?

TLDR: Si no te apetece leer hoy, tienes un vídeo y un resumen al final del artículo.

La adtech y la publicidad personalizada

La publicidad ha existido siempre. Bueno, no siempre, pero casi siempre desde que la mayoría podemos recordar. Solo hay que pensar en esos antiguos anuncios de Coca-Cola, por ejemplo. Hoy en día, ya entendemos la publicidad como parte del ecosistema capitalista y de consumo (y de otros ecosistemas, seguramente, pero este es el nuestro). La publicidad empezó en carteles en las paredes, vallas en las carreteras y páginas en los periódicos. Después, saltó a la televisión, en anuncios cada vez más originales y que competían por llamar la atención.

Hoy, la publicidad ya está en todas partes. Y donde más la consumimos es en internet. Si buscas en Google, los primeros resultados serán “promocionados”. En Instagram y Twitter, verás tweets, stories y posts publicitarios según hagas scroll. En el artículo que te han pasado por el grupo de Whatsapp también habrá publicidad. Y, sin embargo, si yo entro en ese mismo artículo, no veré los mismos anuncios que estás viendo tú. O que verá tu madre cuando lo lea. ¿Por qué?

Os damos la bienvenida al mundo de la publicidad personalizada; es decir, a publicidad seleccionada para ti en base a unos criterios definidos con base en la información que alguien tiene sobre ti.

Y hay toda una industria enorme detrás de la publicidad personalizada; la industria que sostiene el modelo actual de internet: la adtech (advertising technology, o tecnología publicitaria), con sus gigantes tecnológicos, con sus editores y su miríada de intermediarios. Intentaremos aclararlo más adelante, pero como el propio internet sobre el que se asienta, es un simbionte que puede cambiar en cualquier momento.

La mayoría de la gente que navega por internet (o sea, casi toda en nuestro contexto) lo hace sin saber de la existencia de esta industria y de sus consecuencias. Si has llegado hasta aquí y te interesa, debajo te contamos un poquito más de qué es esta industria y cómo funciona. Si no… imaginamos que ya no estarás leyendo.

El iceberg de la adtech

Empecemos con algo más visual. El iceberg que ves debajo ilustra de forma simplificada de qué van el famoso modelo de internet y la adtech:

Ahora sí, vamos con la explicación seria:

El cuento de Hansel y Gretel: de migas y cookies

Cuando navegas por internet, vas dejando miguitas de pan. Sí, como hacían Hansel y Gretel en el cuento, pero un rastro que ofrece más información de tu viaje: tu “huella digital” Esas migas de pan trazan el camino que has recorrido. Sin embargo, aunque los dos hermanos lo hacían conscientemente, para no perderse; tú… no.

En este modelo de internet, el que existe hoy en día, cada miga de pan que dejas sirve para algo: para seguirte, conocerte, entenderte y monitorizarte. Y existen una serie de actores que las recogen precisamente para estos propósitos. Pero esas migas o rastro que vamos dejando sobre todo lo que hacemos a través de internet, ¿cómo las recogen aquellos que nos quieren perfilar para fusilarnos a publicidad personalizada?

Las cookies

¿Se te viene a la mente alguna otra cosa que también nos encontramos cada día en internet, además de la publicidad, una y otra vez, en cada página web que visitamos? ¡Efectivamente, los ***** avisos de cookies!

Vale, pero… ¿qué tiene todo esto de la adtech y la publicidad que ver con las dichosas cookies?

Mucho.

Las cookies son unos pequeños archivos que las webs envían a tu ordenador, móvil o lo que sea con acceso a internet y un navegador cuando las visitas. Estos archivos sirven para recopilar información sobre ti y enviársela a la web. Parte de esta información es necesaria. Por ejemplo, la web necesita recordar qué idioma has elegido o qué tienes en el carrito de la compra. Si no, cada vez que hicieses click en otra parte de la web, todo eso desaparecería (y adiós a tu carrito de Zara en rebajas).

Sin embargo, hay muchos otros tipos de cookies que recopilan diferentes tipos de información. Y, sí, también lo habrás adivinado: no solo les interesa saber en qué idioma quieres ver la web. Estas otras son las cookies que aceptas cuando haces click en “aceptar” sin pensar.

Si te está entrando cargo de conciencia porque recuerdas alguna vez (o veces) que hiciste click instintivamente cuando querías leerlo; no te preocupes, ha sido culpa de la brujería de los patrones oscuros o “dark patterns”. Los patrones oscuros consisten en cosas como botones difuminados con el fondo, ausencia de botón o botones en verde para aprobado/bien y rojo para suspenso/malo, diseñados para que tu cabeza ni se lo piense. Y, aunque estén bastante relacionados con las cookies y esta industria, mejor los dejamos para otro momento.

Pues bien: estas cookies lo que hacen es recopilar toda clase de información sobre ti y lo que haces (y después la unen con la que ya poseen). Esto incluye desde qué ordenador navegas, qué otros dispositivos usas, tu localización, qué otras páginas visitas y qué haces en ellas, desde qué páginas has entrado en la web, con quién te comunicas, qué música escuchas o qué ves, qué aplicaciones usas, qué compras… Básicamente, todo lo que haces online: volvemos a tu “huella digital”.

De hecho, muchas páginas web no usan solamente cookies propias, sino también cookies de terceros; es decir, cookies de Google, o de Facebook, o de otras empresas, que también recopilan esta información.

También, si te fijas en el ejemplo de banner de arriba, encontramos otro elemento más que sumar a esta ya compleja ecuación: “tecnologías similares”. Aquí se engloban todas aquellas tecnologías, como el famoso tracking pixel, que te puede seguir allá por dónde vayas, o el omnipresente java, que actúan como cookies, pero no lo son (aunque, a efectos prácticos y legales, sí se podría decir que lo son). Si quieres saber un poco más sobre esto, te dejamos este enlace.

Por supuesto, y en cuanto a lo que nos ocupa, aquí solo nos interesan las cookies de publicidad comportamental o personalizada (más conocidas, como casi todo, por su nombre en inglés: “behavioural/personalized advertising cookies”), y no otras cookies más benévolas como aquellas que ayudan a mostrar publicidad no personalizada o, como decíamos antes, a conservar las cosas en tu carrito. (Para saber más, te dejamos directamente con la AEPD).

Seguimiento, perfilamiento y segmentación

Pues bien: todas estas empresas y ecosistema generan un perfil detallado e individualizado de cada persona. En este caso, de ti. En ese perfil, al que te asocian con un ID, se incluye absolutamente toda la información que se ha ido recopilando sobre ti. Es, posiblemente, más información de la que tú mismo tengas sobre ti. Esto puede consistir en: dispositivos utilizados, sus localizaciones (es decir, tu ubicación geográfica de prácticamente los últimos 15 años), tus contactos, todo tu historial de navegación, qué has comprado, qué has leído, qué páginas web has visitado, qué te interesa, qué películas y series ves, qué música escuchas, tus hobbies, dónde vives, dónde viven tus padres, en qué trabajas, qué has estudiado… y un largo etcétera.

Todos estos datos no los recopila una sola empresa, sino cientos de ellas, que comparten tus datos unas con otras para elaborar este perfil. Por supuesto, posteriormente, este perfil sirve para etiquetarte. Es decir, segmentarte y discriminarte (tanto en el sentido positivo como en el sentido negativo de la palabra).

En un ejemplo típico de navegación durante una tarde de trabajo y consultas, puedes ver la cantidad de empresas que me han seguido y recopilado mis datos:

Los círculos blancos representan las cookies instaladas en mi ordenador por la propia web visitada. Los triángulos son cookies de terceras webs, que instalan sus cookies a partir de las primeras. Y eso que yo nunca acepto dichas cookies…

La lista de socios de IAB (uno de estos intermediarios que se dedican a la publicidad personalizada) comprende, o ha comprendido, más de 450 socios. Debajo puedes ver qué te indica, por ejemplo, La Razón, sobre las cookies que utiliza. Fíjate en la cantidad de cosas que hacen (no es una lista completa) y, más abajo, en las empresas con las que comparten tus datos. No las he contado, pero son muchísimas (no las he contado porque, como veis en la barrita de scroll al lado de la lista de socios, tendría que ir muuuuy para abajo para contarlas todas).

Si quieres hacer el ejercicio, entra en https://www.larazon.es/ y, cuando aparezca el banner, dale a “configurar”. Ahí podrás ver los propósitos y, más abajo, podrás hacer click también para ver la lista de socios. (Si ya hubieras aceptado o configurado las cookies, puedes entrar en modo incógnito para poder ver el banner de nuevo).

Subasta en tiempo real

Si creías que no podía ser peor y que el negocio no podía ser más oscuro y complicado, espera a saber qué sucede detrás del telón. Cada vez que entras en una página web que te muestra publicidad personalizada, tiene lugar una subasta en la que el mejor postor será el que te enseñe su anuncio. Sí, sí, en ese segundo que tarda en cargar la web, cientos de empresas pujan por ese anuncio mientras comparan todos tus datos (los que hay en tu perfil individualizado) con lo que ellas buscan para elegir lo que más les convenga. Es decir, por cada anuncio que se te muestra en cada página web que visitas, cientos de empresas pasan toda tu vida digital por sus filtros.

Esto se conoce como subasta en tiempo real o “real time bidding” (RTB). Suena divertido, ¿verdad? También suena tremendamente proporcional y transparente (cartel de ironía).

Las consecuencias de todo esto

Antes, que alguien te siguiera por la calle era un motivo para ponerse nervioso. Ahora, solo queremos que los demás nos sigan en redes sociales. Quizá debido a esto y al desconocimiento de lo que realmente sucede, parece que el término “seguir” se ha diluido hasta pasar a no significar nada.

Sin embargo, solo hace falta pensarlo un poco y ponerse en situación para darse cuenta de que lo que sucede en el patio trasero de internet debería asustarnos.

¿No nos asustaríamos si el carnicero nos siguiera a todas partes y fuese apuntando en una libreta a dónde vamos, con quién hablamos, qué comemos y qué compramos? ¿Dónde trabajamos y dónde vivimos?

La Asociación Danesa de Consumidores lo ilustra magníficamente con este vídeo:

(Escoge los subtítulos en español o inglés en el vídeo)

Pero no se trata solamente de la recogida de datos, sino de la escala de recogida y perfilado que las nuevas tecnologías hacen posible. Ya no es tu panadero siguiéndote, que tendría un acceso muy limitado a datos sobre tu vida, aun pudiendo seguirte sin que lo denunciaras. Ni siquiera es un detective privado, con más medios. Es todo un sistema montado por las más grandes tecnológicas, que tienen casi el tamaño de países (o sin el casi), y que operan en un contexto virtual en el que hoy en día pasamos gran parte de nuestra vida.

Tampoco se trata ya siquiera de que sepan ya más de nuestra vida que nuestras madres y abuelas (a pesar de que no deja de ser aberrante y peligroso). Las nuevas tecnologías permiten un tratamiento posterior de tus datos que entraña muchísimos más peligros.

Muchos de los datos recopilados sobre ti también sirven para inferir otros datos. Por ejemplo, como se ha ilustrado más arriba, la raza puede ser utilizada para discriminar. Sin embargo, la raza puede no haber sido recopilada directamente como tal, sino inferida de otros datos: dónde vives, dónde estudias, qué idioma hablas, a dónde vas, o qué cultura consumes.

Un estudio muy interesante de The Markup muestra las miles de etiquetas con las que nos segmentan y clasifican. De tus datos pueden inferir, por ejemplo, que estás embarazada, o que tienes SIDA, o problemas de salud mental. Esto ha derivado en situaciones en las que se ha mostrado a mujeres que han perdidos a sus hijos durante su embarazo anuncios de carritos o de leche para bebé. Es fácil imaginarse el daño emocional que algo así puede producir. Y aunque pueda ser un (lamentable) error, también se han hecho cosas parecidas de forma intencional. Por ejemplo, clínicas antiabortistas han pagado para que se mostrasen anuncios de dichas clínicas antiabortistas a mujeres que buscan información de clínicas dónde abortar. ¿No es perverso?

La granularidad es tal que ya se ha comprobado que es posible conseguir que Facebook muestre un anuncio a una persona concreta, en base a sus atributos. ¿Te imaginas a un maltratador utilizando esto para saltarse la prohibición de comunicación con su víctima, al no disponer de otros medios de comunicación? Todo esto suena a Black Mirror, pero es muy real. Por ejemplo, hace ya años que unos periodistas demostraron que Facebook permitía discriminar por raza, discapacidad, u otros atributos, a la hora de mostrar anuncios personalizados de vivienda. En teoría, Facebook ya no permite hacer eso. En teoría.

Estas empresas se justifican en que la publicidad personalizada es la base de este el modelo de internet y en que, sin ella, internet, tal y como lo conocemos hoy, no existiría.

Sin embargo, cuando Apple permitió a sus usuarios elegir si querían o no ser objecto de este seguimiento, la mayoría dijeron que no. Una clara muestra de que, teniendo elección, la gente valora su privacidad y no quiere ser monitorizada. Y, por culpa de este movimiento de Apple, Facebook perdió 10B de dólares (10 billones americanos no son 10 billones europeos, pero siguen siendo muchos ceros) al no poder recopilar datos de estas personas. ¿Pero no decían que esto era gratis?

Se prevé que los beneficios de la adtech alcancen el trillón de dólares en 2030 (o sea, un billón europeo… creo. Como para no perderse con tantos ceros). Un trillón de dólares a cambio de nuestra privacidad. A cambio de nuestra autonomía y nuestra capacidad para decidir. ¿Desde cuándo se pueden comprar los derechos humanos, aún a ese precio?

Si bien es cierto que el modelo actual de internet no está formado solamente por la industria publicitaria, sí que sabemos que todo el modelo está diseñado para lo mismo: para que pensemos menos y actuemos más. Y actuemos más rápido y más impulsivamente, para que así estas empresas nos puedan dirigir más fácilmente. Dirigir nuestros pensamientos y nuestras acciones. Pensaremos menos, y pensaremos como ellos quieren. Consumiremos más, y consumiremos como ellos quieren. Para que puedan llegar a ese trillón de dólares.

Black Mirror comenzó a emitirse en 2011. 12 años después, nuestro mundo se parece más al de la serie que al de hace 20 años. ¿Queremos seguir en esa dirección?

Si no has visto la serie, quizá sea mucho pedir que te veas 27 capítulos y una película después de haberte leído todo este artículo para entender un poco más a dónde nos dirigimos (atención: dramatización). Sin embargo, 4 minutos de vídeo de la Organización Europea de Consumidores (BEUC) cumplen su cometido:

(De nuevo, puedes escoger los subtítulos en español o inglés en el vídeo)

TLDR; Hay miles de empresas que se dedican a recopilar absolutamente todos tus datos y qué haces en internet (y cuando digo todos, son todos) para poder mostrarte publicidad personalizada según tu perfil y embolsarse miles de millones de euros. También utilizan estos datos y todos los medios disponibles a su alcance para segmentarte, discriminarte y manipularte para que hagas lo que ellas quieren y pases más tiempo de internet, y así poder embolsarse todavía más dinero.

DISCLAIMER: Muchos conceptos y procesos han sido simplificados para facilitar su entendimiento. Este artículo no pretende ser académico sino divulgativo.

La entrada En Internet, el producto no solo eres tú se publicó primero en Citizen8.