Miguel Recio (APEP·IA): “La Administración pública debe ser transparente y aplicar las normas porque son para todos”
El presidente de la entidad señala que el sector público debe ser un ejemplo de transparencia; algunas empresas usan inteligencia artificial sin controlar los riesgos
Miguel Recio no tiene una sola ocupación. Preside la Asociación Profesional Española de Privacidad e Inteligencia Artificial (APEP·IA), es asociado en CMS Albiñana & Suárez de Lezo y profesor en la Universidad CEU San Pablo. Reconoce que el trabajo ocupa buena parte de su tiempo. Fuera de ese entorno prefiere planes sencillos: pasear, leer, ver alguna película y pasar tiempo lejos del ruido regulatorio que rodea a la IA —el próximo 2 de agosto entra en vigor buena parte del reglamento europeo—. Recio recibe a CincoDías en la sede de su bufete para charlar sobre sus funciones al mando de la institución, de la privacidad, gobernanza de la inteligencia artificial o los retos que plantea su aplicación para empresas, Administraciones públicas y ciudadanos.
Pregunta (P). Ha cumplido un año desde que tomó la presidencia de la APEP·IA. ¿Qué balance hace de este primer ciclo?
Respuesta (R). Diría que el balance es positivo. Estamos muy activos dando cada vez más formación especializada en inteligencia artificial. También estamos potenciando la figura del delegado de protección de datos y su relación con otros perfiles, como el responsable de inteligencia artificial o los expertos vinculados a la ciberseguridad.
P. ¿Qué espera conseguir cuando termine su mandato?
R. Espero que la APEP se siga posicionando como una de las principales asociaciones en materia de protección de datos, privacidad, ciberseguridad e inteligencia artificial. También avanzaremos hacia publicaciones específicas y especializadas que ayuden a los profesionales de la privacidad a poner el foco en cuestiones concretas y puntuales. Queremos ser un interlocutor relevante para las autoridades de protección de datos de España.
P. El reglamento IA acaba de ajustarse con el Ómnibus Digital. ¿Cree que Europa está regulando demasiado rápido?
R. Estas normas van a tener impacto en empresas, Administraciones públicas y desarrolladores de inteligencia artificial. No se puede acelerar y aprobar una norma sin más, porque hay múltiples cuestiones que van a requerir guías, directrices o recomendaciones. Y eso podría ser incluso negativo, porque al final habrá que manejar una gran cantidad de documentos que no forman parte del propio texto del reglamento, lo que puede generar dudas. Es importante que estas normas se tramiten con el tiempo necesario y prestando atención a todas las partes involucradas para facilitar su cumplimiento.
P. España ya está tramitando su propia ley. ¿Qué aspectos considera imprescindibles para que sea realmente eficaz? ¿Qué debería evitar a toda costa?
R. Lo primero que habrá que ver es si finalmente se aprueba en esta legislatura o es otra más que queda como proyecto. La ley nacional tiene cuestiones interesantes, especialmente el régimen de responsabilidad. Hay aspectos positivos, como el listado de infracciones y sanciones, pero también cuestiones discutibles. Desde APEP·IA hemos sostenido desde hace tiempo que las Administraciones públicas también deberían estar sujetas a algún tipo de sanción. El proyecto de ley orgánica se centra en el sector estatal, es decir, en la Administración General del Estado y en el sector institucional, como agencias, empresas o fundaciones. Puede parecer novedoso, pero en otras áreas, como el medio ambiente, todas las Administraciones públicas están sujetas al cumplimiento de la normativa y pueden ser objeto sanción. En protección de datos, sin embargo, no ocurre así.
P. ¿Cree que el etiquetado basta para proteger a los ciudadanos frente a la desinformación?
R. El etiquetado puede ayudar en buena medida, pero hay que hacer que ese etiquetado sea claro, transparente y que todo el mundo pueda saber perfectamente qué significa y cómo se está poniendo en los diferentes medios, porque seguramente habrá alguien que intente saltarse el etiquetado y habrá que analizar esas garantías.
P. ¿Se cumplirá?
R. Habrá que ver qué papel tienen las autoridades supervisoras, va a ser muy importante la coordinación entre todas ellas. Tenemos multitud de autoridades que van a ser competentes en cada uno de esos ámbitos. Será necesario comprobar que finalmente exista coordinación entre las mismas y que haya una autoridad capaz de aplicar, si fuera necesario, la sanción correspondiente.
El etiquetado tiene que ser claro, porque seguramente habrá alguien que intente saltárselo y habrá que analizar esas garantías
P. ¿Le preocupa que puedan aparecer solapamientos o zonas grises entre autoridades?
R. Es una preocupación existente. En el proyecto de ley orgánica no están solo AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) o la AEPD (Agencia Española de Protección de Datos), sino que también aparecen el Consejo General del Poder Judicial, el Banco de España, la Dirección General de Seguros y, en general, todas aquellas que tienen competencias en sus respectivos ámbitos. Si no existe esa coordinación, sí podemos encontrarnos con claros solapamientos en la práctica, que incluso podrían tener repercusiones a la hora de imponer una sanción. Si se trata de una cuestión de protección de datos, obviamente tendrá que intervenir la Agencia Española de Protección de Datos. Pero aun así será necesario que las autoridades actúen de manera coordinada y cooperen entre ellas, porque habrá situaciones en las que, por razón de la materia, dos autoridades tengan que tramitar un procedimiento si fuera necesario.
P. La ley habla de transparencia, pero Hacienda podrá hacer uso de la IA sin que los contribuyentes se enteren
R. Diría que a la Administración Pública le aplica plenamente. ¿Qué vamos a hacer el día en el que Hacienda se haya basado en una decisión automatizada tomada por una IA sin más y que termine con la apertura de un procedimiento sancionador? Estamos creando indefensión. Al final tendrán que cumplir con legislación vigente: la Ley 39/2015 y la 40/2015. Debe ser tan transparente como las empresas privadas y aplicar las normas porque son para todos. Además, deben dar ejemplo, no puede ser que hagan uso de la IA sin más.
P. ¿Cómo puede defenderse un contribuyente si no conoce, ni siquiera de forma general, los criterios automatizados que han influido en una inspección?
R. Va a tener que analizar muy bien por qué se le ha abierto el procedimiento sancionador. El contribuyente va a poder hacer las preguntas necesarias para determinar si ha habido una decisión automatizada sin intervención humana. Y en su caso, comprobar si Hacienda ha incumplido alguna obligación con el tratamiento de la IA.
P. Muchas empresas están perdidas con la implantación de la IA en su estructura. ¿Qué están haciendo mal?
R. Las organizaciones no entienden el uso de esas tecnologías de la información, piensan que se puede hacer todo. Podemos estar simplemente subiendo documentos a una herramienta de IA y, sin ser conscientes de ello, estar incumpliendo obligaciones en materia de protección de datos personales. También puede haber cuestiones relativas a propiedad intelectual, de quién es la es el contenido que se está subiendo. Y, dentro de esa confidencialidad, puede haber secretos empresariales. Por eso es necesario tener identificados los riesgos, conocerlos y adoptar las medidas adecuadas. Una buena política de IA es esencial para poder mantener a la organización alejada de determinados riesgos.
P. Se habla del gasto que conlleva la IA
R. Es un tema clave. De nuevo, hay una propuesta reciente de la Comisión Europea sobre los centros de datos, que van a ser fundamentales para el desarrollo de la IA en la Unión Europea. El gasto de agua que conlleva la IA es una cuestión que no se plantea por primera vez. Ya ocurrió con la nube, cuando se debatió mucho sobre el consumo energético que necesitaba. Ahora empieza a hablarse también de que, para el uso de la IA, muchas tecnológicas podrían necesitar incluso su propia central nuclear para generar toda la energía que van a requerir. Como digo, hace años esto ya se planteaba con la nube, pero con la IA el impacto es muchísimo mayor.
P. ¿El delegado de protección de datos va a convertirse en un perfil más relevante?
R. Debería ser ya un perfil relevante. El delegado de protección de datos (DPO) va a ayudar a asesorar a la organización, a mitigar los riesgos que puedan surgir y a garantizar el cumplimiento del Reglamento General de Protección de Datos y del resto de normativa aplicable. Esta figura es clave, especialmente por la interrelación que pueda tener con otras figuras involucradas en el uso de la IA. Es necesario contar con delegados bien formados, que sepan dar ese asesoramiento, que entiendan cómo se está desplegando la IA dentro de su organización y que, en última instancia, puedan ayudar a respetar el derecho fundamental a la protección de datos personales.
P. ¿Habrá más contratación de estos perfiles?
R. Lo lógico es que más y más organizaciones recurran a delegados de protección de datos y, obviamente, que se les siga reconociendo su ámbito de actuación y la importancia que tiene esta figura.
P. ¿Cree que la población está sacrificando privacidad por comodidad sin ser conscientes?
R. Por supuesto, no estamos siendo conscientes. Lo primero que tenemos que saber es el valor que tienen nuestros datos. Directamente no leemos los términos y condiciones. Pensamos que por preguntar algo no pasa absolutamente nada y, a lo mejor, le estamos contando a alguien nuestros problemas de salud, cosas que no contamos ni dentro de nuestra propia familia. No se lo decimos a la persona que tenemos al lado, pero sí a nuestro ordenador sin saber realmente quién va a tratar esa información ni para qué la va a tratar.
Pensamos que por preguntar algo no pasa nada y, a lo mejor, le estamos contando a alguien nuestros problemas de salud
P. ¿Qué peligro estamos subestimando más?
R. Si hablamos desde el punto de vista del ciudadano, el uso de nuestros datos personales. Puede afectar a nuestro derecho fundamental a la protección de datos. Incluso diría, en muchas ocasiones, cuando preguntamos determinadas cuestiones, a nuestro derecho fundamental a la intimidad. Vamos a ver varios derechos fundamentales que podrían estar implicados. Si hablamos desde la perspectiva de las empresas, los contratos. En muchas ocasiones hay organizaciones que tienen contratos a su vez con otras empresas porque son proveedores. Y si recurrimos a la IA sin ningún tipo de control podemos estar incumpliendo un contrato que hayamos firmado y asumiendo responsabilidad civil elevada en muchas ocasiones.
P. ¿Estamos educando suficientemente a los ciudadanos sobre sus derechos digitales?
R. Quizás haría falta más formación en el día a día y más recursos. Y no siempre es fácil para el ciudadano acceder a ellos. Por ejemplo, yo no he visto ninguna campaña en televisión, en radio o en otros medios en la que se explique: “Tenemos la IA, ¿cuáles son sus aspectos positivos? ¿Cuáles son las cuestiones negativas?” Durante un tiempo hubo bastantes noticias de cómo se usa, pero nadie ha dicho cómo utilizarla tomando las cautelas necesarias. Nadie nos explica los pasos.
P. ¿Qué no nos podemos permitir hacer mal en los próximos años con la inteligencia artificial?
R. No podemos pasar por alto el desconocimiento que existe sobre lo que implica el uso de la IA. A estas alturas, además, ya deberíamos contar con una experiencia consolidada sobre las distintas evoluciones tecnológicas que se han producido a lo largo del tiempo. Deberíamos ser capaces de entender que siempre hay riesgos. La inteligencia artificial tiene beneficios muy importantes y nos va a facilitar muchísimo la vida. Nos está ayudando en todos los ámbitos, pero también debemos ser conscientes de los riesgos que puede conllevar e intentar anticiparnos a qué será lo próximo.