Capítulo 1 sobre el Artificial Intelligence Act: Los espacios controlados de pruebas para la IA
Como la privacidad y la protección de datos no son inmunes a las modas, durante los próximos meses desde Citizen8 realizaremos algunas publicaciones en torno al inminente Reglamento europeo sobre Inteligencia Artificial, también conocido como Artificial Intelligence Act (‘AIA’ en adelante).
Esta propuesta de Reglamento, que puso en marcha la Comisión Europea en abril de 2021, se encuentra actualmente en la fase final de su tramitación dentro del procedimiento ordinario legislativo de la UE. En concreto, en la fase de negociación conocida como los trílogos, en la que España está jugando un papel protagonista dado que ocupa actualmente la Presidencia del Consejo de la UE.
En este contexto, y para no especular sobre el contenido de un texto cuya redacción final está por conocer, hemos decidido comenzar el análisis de la regulación de la IA por una norma que ya ha entrado en vigor en España y que está relacionada, precisamente, con esa propuesta de Reglamento AIA: el Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.
España quiere jugar con la IA y se ha ido al parque por su cuenta
No es ningún secreto que el Gobierno de España se ha marcado como hito que el AIA sea aprobado durante su mandato en la Presidencia del Consejo de la UE. Anotarse este tanto tiene un especial valor para la Secretaría de Estado de Digitalización e Inteligencia Artificial (‘SEDIA’) de Carme Artigas.
No obstante, los trílogos parecen estar complicándose un poco, especialmente en torno a la regulación de los modelos fundacionales (a.k.a. ChatGPT y análogos). España trata de poner paz, pero lo cierto es que la consecución de este hito no parece asegurado -el mandato de la Presidencia caduca el 31 de diciembre de 2023-.
Ansiosa por salir a jugar, España se ha mostrado decidida a impulsar en paralelo -o liderar si se prefiere- una agenda regulatoria de la IA desde sus competencias y alineada con los avances de la UE en la materia. Su ansia no ha estado exenta de polémicas como, por ejemplo, la surgida a raíz de la externalización del diseño de la futura Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que tendrá su sede en A Coruña.
En cualquier caso, esta iniciativa marca España ha incluido la creación de un entorno controlado de pruebas para la IA a través del mencionado RD 817/2023, de 8 de noviembre.
A nivel jurídico, no deja de ser curioso que este Real Decreto vea la luz antes de la aprobación definitiva del Reglamento europeo que pretende desarrollar y, de hecho, tome como referencia de dicho texto la posición del Consejo de la Unión Europea del 25 de noviembre de 2022 -según la exposición de motivos de este Real Decreto-. Esta paradoja se ha resuelto declarando que este entorno controlado de pruebas es, en realidad, una prueba en sí misma. Por eso, en su Disposición final segunda declara que tendrá vigencia hasta que sea aplicable en España el AIA y su título habla de un ‘ensayo del cumplimiento’ de la propuesta de Reglamento.
¿Cómo que un arenero para jugar con la IA?
Las traducciones en la UE son cosa seria, ya se sabe. Los “regulatory sandboxes” son espacios o entornos controlados de pruebas. No deja de ser una pena el no haberlos bautizado como ‘areneros’. Si pudimos con la ‘responsabilidad proactiva’ del RGPD o con el ‘vigilante humano’ que propone el mismo AIA, podían haber hecho aquí un sacrificio por la literalidad, y por los jajas.
El fundamento básico de los espacios controlados de pruebas es la de proporcionar un entorno seguro y delimitado en el que puedan testarse soluciones y/o herramientas de innovación durante un tiempo determinado, pudiendo dar cuenta de los resultados obtenidos durante esas pruebas, tanto para demostrar en su caso el cumplimiento normativo y la seguridad de las soluciones testadas, como para obtener datos que permitan mejorar esas mismas soluciones y otras futuras.
Esta figura tiene su origen en el ámbito financiero y, de hecho, no es nueva en nuestro ordenamiento jurídico. La Ley 7/2020, de 13 de noviembre, para la transformación digital del sistema financiero, ya puso en marcha un entorno controlado de pruebas para proyectos tecnológicos de innovación en el sistema financiero, o más recientemente en la Ley 28/2022, de 21 de diciembre, de fomento del ecosistema de las empresas emergentes, o para el fomento de la investigación y la innovación en el sector eléctrico en el Real Decreto 568/2022, de 11 de julio.
Las cositas básicas de los areneros promovidos por el AIA
A falta de conocer la redacción final del AIA en lo relativo a los areneros, hay ciertos aspectos fundamentales de los mismos que podemos destacar de estas figuras incluidas como medidas en favor de la innovación en esta propuesta de Reglamento.
- Se trata de entornos controlados y creados por una autoridad pública para facilitar el desarrollo, la prueba y la validación de sistemas de IA innovadores durante un período limitado, antes de su introducción en el mercado y con arreglo a un plan específico sujeto a supervisión reglamentaria.
- Los proveedores de sistemas de IA podrán acceder con carácter voluntario a los areneros y, al mismo tiempo, en condiciones igualitarias entre dichos proveedores -a efectos de admisibilidad, procedimientos de participación y derechos y obligaciones- favoreciendo su libre competitividad.
- Obligación de mitigar y, en su caso, suspender los procesos de prueba de los sistemas de IA en caso de detección de un riesgo significativo para la salud, la seguridad y los derechos fundamentales. Los proveedores serán responsables de cualquier perjuicio infligido a terceros como resultado de la experimentación realizada en el espacio controlado de pruebas de acuerdo con la legislación aplicable al caso en materia de responsabilidad.
- Posibilidad de crear areneros por los Estados Miembro y también por el SEPD o la propia Comisión. Está por ver si finalmente se incluye la obligación de establecer, al menos, un arenero por Estado Miembro. En cualquier caso, parece que será posible establecer areneros a distintos niveles (tanto por ámbito territorial, regionales o incluso involucrando a más de un Estado, como por la temática del propio arenero, pongamos un arenero de salud en el que la AEMPS supervise el testeo de productos sanitarios con IA).
Queda por ver qué incentivos incorpora la participación en estos espacios, en particular si se incluyen incentivos normativos como el propuesto por el Parlamento Europeo en su versión de 14 de junio de 2023: establecer una presunción de cumplimiento normativo del AIA respecto de aquellos requisitos específicos que hayan sido testados de forma satisfactoria dentro del arenero y de acuerdo con los informes de salida elaborados por la autoridad creadora del mismo.
El arenero muy español y mucho español supervisado por la SEDIA
Recordemos que el RD 817/2023, de 8 de noviembre, establece provisionalmente una prueba del futuro entorno de pruebas que se creará a partir del mandato definitivo establecido en el AIA. En cualquier caso, estas son las condiciones bajo las que se pondrá en funcionamiento este arenero provisional para jugar con la IA en España.
- ¿Para qué? El arenero se establece para ensayar el cumplimiento de ciertos requisitos de los sistemas de IA (como, por ejemplo, de transparencia, de supervisión humana o de precisión, solidez y ciberseguridad) y el RD 817/2023 es de aplicación tanto para AAPP y entidades del sector público institucional, como para las entidades privadas que puedan participar en el mismo.
- ¿Quién puede jugar? Pueden participar proveedores -desarrolladores que pretendan comercializar un sistema de IA- y también usuarios -personas jurídicas privadas o administraciones que vayan a usar el sistema bajo su autoridad-, que sean residentes en España o que tengan un establecimiento permanente en España.
- ¿Con qué sistemas se puede jugar? Tanto con sistemas de IA de alto riesgo, como IA de propósito general o modelos fundacionales. La IA debe haber alcanzado un nivel de desarrollo suficientemente avanzado como para poder comercializarse o ponerse en servicio dentro del marco temporal del entorno controlado de pruebas o a su finalización.
- ¿Cómo se puede jugar? El RD 817/2023 establece que, en el marco de las convocatorias publicadas por la SEDIA, proveedores y usuarios podrán realizar las solicitudes para participar en el arenero convocado al efecto, que deberán acompañarse de una detallada memoria técnica y que serán evaluadas y resueltas conforme a los criterios que establece la propia norma.
- ¿Cuáles son las reglas del juego? Al inicio, los participantes junto con la SEDIA acordarán qué requisitos deberán ser abordados en un plan de implementación. A partir de aquí los participantes llevarán a cabo las actuaciones que le permitan el cumplimiento de los requisitos según lo acordado en el plan. Para ello la SEDIA podrá aportar guías técnicas de ayuda y asesoría personalizada y los participantes contarán con mecanismos de diálogo e intercambio de información entre ellos y con la SEDIA. Una vez realizadas dichas actuaciones, el proveedor IA participante deberá realizar la declaración de cumplimiento a través de un proceso de autoevaluación. Si el órgano competente considera que no cumple los requisitos, podrá establecer un plazo adicional de tres meses.
- ¿Cómo termina el juego? Hay tres posibilidades. Primera, con el cumplimiento del objetivo del arenero determinado por la SEDIA, es decir, comprobada la correcta y completa autoevaluación de cumplimiento de requisitos. En este caso, los participantes estarán obligados a implementar un sistema de seguimiento posterior a la comercialización y, eventualmente, comunicar cualquier incidente grave en los sistemas del que tuvieren conocimiento. Segunda, por la retirada voluntaria de los participantes. Y, por último, de forma anticipada por resolución motivada y por alguna de las causas establecidas como incumplimiento del régimen jurídico previsto, del deber de facilitar información o incidentes graves o riesgos no previstos, entre otros.
El tratamiento de datos personales en los areneros
Para finalizar, en Citizen8 nos preocupa, por supuesto, qué pasa con los datos de carácter personal en estos espacios.
Desde el AIA hay dos cuestiones fundamentales que orbitan en torno a la protección de datos.
En primer lugar, el rol del SEPD como autoridad competente para la creación de areneros. La propia institución acoge con buenos este rol en su Opinion 44/2023 del pasado 23 de octubre, y celebra que en la versión del Parlamento se incluyese la colaboración del propio SEPD y de las autoridades de control de los Estados en la supervisión del tratamiento de datos de carácter personal en dichos espacios.
En segundo lugar, el desarrollo de bases de legitimación del RGPD para el tratamiento de datos personales en los areneros. De esta forma, declara el AIA que es posible el tratamiento datos personales legalmente recopilados con otros fines para la prueba de sistemas de IA en los areneros, cuando se desarrollen en aras del interés público en alguno de los ámbitos que incluye la propuesta (seguridad y salud públicas o la protección y mejora de la calidad del medio ambiente, entre otros que están siendo discutidos). Establece, además, medidas técnicas y organizativas para la realización de estos tratamientos como que solo se realice si no es posible la utilización de datos anonimizados, sintéticos u otro tipo de datos no personales, la prohibición de que esos datos se transfieran a terceros o su eliminación una vez se concluya su uso en el arenero.
En lo que se refiere a nuestro arenero “de prueba”, se declara la obligación de velar por el cumplimiento de la normativa de protección de datos por parte de los proveedores y los usuarios participantes. Asimismo, se requiere de una declaración responsable que acredite el cumplimiento normativo para la solicitud de participación en el juego, e incluye una lista de documentación que se podrá requerir (registro de actividades de tratamiento, medidas de seguridad, EIPD, o procedimientos para la gestión de brechas de seguridad, entre otros).
Finalmente, dado que el AIA no está en vigor y, por tanto, tampoco el desarrollo de las bases de legitimación del tratamiento en base al interés público que contiene su propuesta, está por ver cómo se justificará el tratamiento de datos personales para cada ensayo en este nuestro arenero.
