Impacto de la Inteligencia Artificial en la Protección de Datos Personales

Entrevista con Oscar Raúl Puccinelli, Doctor en Derecho Constitucional por la Universidad de Buenos Aires

En entrevista con Foro Jurídico, conducida por el Dr. Julio César Bonilla Gutiérrez, Oscar Raúl Puccinelli, Doctor en Derecho Constitucional por la Universidad de Buenos Aires, advierte que actualmente, además de ChatGPT, existen diversas aplicaciones de inteligencia artificial (IA) en el ámbito jurídico, aunque todavía presentan desafíos como las “alucinaciones” (errores en las respuestas), su potencial es indiscutible y se espera que evolucione rápidamente. Estas herramientas van desde sistemas expertos que buscan información en lenguaje natural, hasta software especializado en gestión de datos y análisis de riesgo.

Considera Puccinelli que la aparición de OpenAI y la competencia entre los gigantes tecnológicos en el desarrollo de IA generativa ha generado preocupaciones desde el lanzamiento de GPT-1, especialmente tras la victoria de la IA AlphaGo sobre el campeón mundial de Go en 2016, lo que encendió alarmas sobre el impacto de la IA. Esto dio inicio a una serie de directrices éticas y normativas, comenzando con las europeas para una IA fiable en 2018. A lo largo de los años, organizaciones como la OCDE, la Unesco y la Asamblea Global de Privacidad han publicado principios y resoluciones para regular el desarrollo y uso de la IA. En 2023, la UE adoptó la Declaración Europea sobre Derechos y Principios Digitales, y en 2024, se aprobó el Reglamento 1689-2024 sobre IA.

Explica el entrevistado que las IA generativas pueden garantizar la privacidad de los datos personales utilizando técnicas como la anonimización (eliminar identificadores de individuos) y la seudonimización (sustituir los datos reales por pseudónimos). Además, el aprendizaje federado permite entrenar modelos de IA sin centralizar los datos, manteniéndolos en su ubicación original y evitando su compartición, lo que mejora la privacidad y eficiencia, especialmente en áreas como la salud. Sin embargo, el desafío sigue siendo el equilibrio entre privacidad y la necesidad de que las tecnologías aprendan de los usuarios.

Con respecto a las medidas de seguridad que se deben implementar para la protección de datos personales, Oscar Raúl Puccinelli opina que en un entorno más riesgoso es fundamental implementar medidas de seguridad robustas, como el cifrado de datos en tránsito y reposo, y fortalecer los controles de acceso para prevenir fraudes y estafas mediante IA generativa. Recomienda establecer palabras clave entre familiares y amigos para evitar que los estafadores utilicen IA para manipular la comunicación. Además, es crucial realizar auditorías de seguridad regulares, usar técnicas avanzadas de detección de intrusiones, y tener respuestas rápidas ante incidentes de seguridad, tal como lo exige el Reglamento General de Protección de Datos de la UE y las directrices de protección de datos en Américas. Presentamos a nuestros lectores la parte fundamental de esta interesante entrevista.

JULIO CÉSAR BONILLA GUTIÉRREZ (JCBG): ¿QUÉ TIPO DE APLICACIONES CON INTELIGENCIA ARTIFICIAL ESTÁN DISPONIBLES ADEMÁS DEL CHAT GPT Y QUÉ REPRESENTA PARA LOS ABOGADOS?

OSCAR RAÚL PUCCINELLI (ORP): Chat GPT es la tecnología más disruptiva que ha existido en la historia de la humanidad por su capacidad de emular el pensamiento humano y abrir nuevas expectativas sobre áreas del pensamiento sobre las cuales la humanidad no ha razonado, que está demostrando una enorme capacidad para cambiar nuestro ambiente, y lo va a hacer en todas las áreas en la medida en que evolucione. En este momento Chat GPT es como un adolescente, pero en breves años va a ser un posdoctorado probablemente en todas las áreas. Es extraordinario lo que hace en el ámbito judicial porque reemplaza a otros sistemas expertos que no generaban, a través de lenguaje natural, búsquedas en un tiempo extraordinario y con asociaciones a través de redes neuronales que nos permiten llegar a conclusiones de una manera mucho más rápida y fundamentada, aunque todavía con algunas dificultades, específicamente las alucinaciones, es decir, errores o imprecisiones en las respuestas que el modelo genera, cuando da información incorrecta, inventada o completamente falsa, sin que el sistema sea capaz de identificarlo. Por lo tanto, tenemos que verificar la información, pero en breve esto ya no será necesario.

En el ámbito de la justicia la podemos usar de diversas maneras, por ejemplo, para buscar información sobre normas, doctrinas, jurisprudencia, etc. También para que nos ofrezca ideas o alternativas a problemas judiciales planteados que a lo mejor no han sido vistos de cierta manera. Recordemos que AlphaGo le ganó al campeón mundial de Go con la jugada 37 que nunca había sido ejecutada, los expertos creyeron que había sido un error, pero fue la jugada brillante que dio vuelta al partido y ganó la computadora frente al campeón mundial y frente a todos los expertos que presenciaban esa partida. Es decir, la tecnología nos está ofreciendo ideas nuevas que ni siquiera durante miles de años se les ocurrió a los jugadores de Go.

Nos permite generar borradores, modelos de escritos, resoluciones, combinar argumentos jurídicos. Le podemos pedir una mejor estrategia legal a la nuestra, que nos argumente a partir de la perspectiva de tres distintos expertos como si estuvieran compitiendo entre sí. Que argumente con distinta legislación para compararlas. Nos da la posibilidad de abrir nuestro pensamiento, nuestro razonamiento a nuevas alternativas que a lo mejor no fueron nunca vistas ni siquiera por expertos teóricos que toman sus fuentes de distintos lugares.

También nos ayuda a traer información de otras disciplinas, por ejemplo, un juez en Suecia utilizó Chat GPT como si fuera un experto en materia de construcciones y le dio información al juez que terminó de convencerlo. Después verificó la fuente y le ayudó a dictar la sentencia de una mejor manera porque obviamente los jueces no tenemos todos los conocimientos sobre todas las disciplinas y necesitamos ayuda de expertos, además de verificar cuando se sospecha que el experto está de alguna manera inclinado hacia alguna de las partes.

Otra tarea en la que puede ayudar a ponderar son las pruebas más decisivas en un caso determinado, es decir, antes teníamos que utilizar a LexisNexis o Westlaw a buscar información, es decir, teníamos opciones sueltas y Chat GPT unifica el lugar de búsqueda, no reemplaza totalmente los sistemas de expertos, pero sí cumple esa función por el momento y lo va a cumplir de distinta manera con las nuevas versiones.

Hay otros sistemas que podemos mencionar, algunas plataformas para gestionar volúmenes de datos de procesos legales para los estudios jurídicos como Relativity, un software de gestión de casos como Case Feet, Smart Advocate. Hay otros que ayudan a prever con análisis de riesgo a través de algoritmos en el ámbito penal y procesal, incluso hay un caso con el sistema Compas, una herramienta utilizada para establecer el riesgo de reincidencia en el cual se detectaron sesgos raciales.

JCBG: ¿QUÉ REGULACIONES HAY Y CÓMO DEBEN ADAPTARSE PARA ABORDAR LOS DESAFÍOS QUE TIENEN LAS IA’S EN TÉRMINOS DE PROTECCIÓN DE DATOS PERSONALES?

ORP: La aparición de OpenAI y la competencia que se ha generado a través de los distintos gigantes tecnológicos para el desarrollo de sistemas de IA generativa ha producido una preocupación ya desde el GPT-1, sobre todo a partir de la idea de que AlphaGo vence al campeón mundial de Go donde se empiezan a prender todas las alarmas con la jugada 37, empezaron a dictarse determinadas normas, a haber preocupación en el ámbito internacional que se mantiene hasta el día de hoy y que inició básicamente en el ámbito europeo con las Directrices éticas para una IA fiable de 2018. Es decir, prácticamente con la aparición de GPT-1 se empiezan a establecer las directrices, después en 2019 la Organización para la Cooperación y el Desarrollo Económico (OCDE) publicó los principios sobre IA, la Red Iberoamericana en Protección de Datos publicó en 2019 las Recomendaciones Generales para el Tratamiento de Datos de la Inteligencia Artificial. En 2020 la Asamblea Global de Privacidad emitió una resolución sobre rendición de cuentas responsable y demostrable en el desarrollo y la utilización de IA, en 2021 la Unesco emitió una recomendación sobre la ética de la IA y en 2022 la OCDE publicó una declaración sobre un futuro digital fiable sostenible e inclusivo relacionado con la IA, en 2023 se emite la Declaración Europea sobre Derechos y Principios Digitales para la década digital.

Lo más reciente en el ámbito europeo es el reglamento 1689-2024 sobre IA que también expresa la preocupación por la actualización del Reglamento general de protección de datos de la Unión Europea que nació cuando se emite una norma sobre protección de datos. Las realidades tecnológicas empiezan a superarlos, el reglamento general de protección de datos emitido en 2016 no contempló, si bien ya existía, el blockchain, es decir, las bases de datos descentralizadas, tampoco contempla a la IA generativa porque es posterior.

JCBG: ¿CÓMO PUEDEN LAS IA´S GENERATIVAS GARANTIZAR LA PRIVACIDAD DE LOS DATOS PERSONALES SIN COMPROMETER LA CALIDAD Y PRECISIÓN DE LOS RESULTADOS GENERALES?

ORP: En primer lugar, garantizar la privacidad de la protección de los datos tiene que hacerse mediante técnicas específicas que ya están como la anonimización, que consiste en convertir los datos en una forma en que no se pueda identificar a individuos; y la seudonimización que es poner un apodo o pseudónimo que reemplaza como identificador ficticio al nombre real de la persona. Otra de las técnicas es la de aprendizaje federado que consiste en entrenar modelos en múltiples dispositivos o servidores sin necesidad de centralizar los datos, es decir, mantener los datos descentralizados, en su ubicación original, que no se centralicen todos en una sola base de datos, con entrenamiento local y una agregación central a través de esa información al momento de adoptar una decisión, pero no se vuelca esa información dentro de un banco de datos centralizado. Con eso se garantiza mayor privacidad porque los datos no se no se comparten fuera de la ubicación original, hay una mayor eficiencia porque se reduce la carga de la red y de los servidores centrales, y permite la colaboración entre distintas entidades sin compartir datos sensibles. Esto se utiliza en ámbitos de la salud. Google Gboard lo utiliza para mejorar las predicciones de texto sin mandar los datos de los usuarios a la nube.

Recordemos que la normativa de protección de datos, y así lo dicen tanto la directiva 9546 como el reglamento 2016, no solamente buscan la protección de los datos personales, sino también la libre circulación de los mismos porque generan efectos beneficiosos que son cada vez más evidentes, pero también vamos a estar cediendo mayor privacidad. Un problema que advierto es que a partir de que GPT es básicamente un asistente general, el negocio de las grandes tecnológicas es tener a un cliente cautivo, por lo tanto, lo más seguro es que en el futuro todos estos asistentes se van a personalizar con nosotros y van a aprender de nosotros y nos van a conocer mejor que nadie porque vamos a tener que entregar nuestros datos. Este es el desafío, exigir la aplicación de todos los recursos que tenemos en el reglamento general de protección de datos en cuanto a la privacidad, diseño, privacidad por defecto, la minimización de los datos, etc., porque en la medida en que este asistente general que nos va a ayudar en todos los aspectos de la vida, el problema de la privacidad va a ser mucho más fuerte si no contamos con los recursos de protección, nuestra privacidad podría quedar absolutamente expuesta.

JCBG: ¿QUÉ VALOR TIENEN LOS DATOS PERSONALES Y QUÉ REPRESENTA HOY LA DEFENSA DE LOS MISMOS A NIVEL NACIONAL E INTERNACIONAL?

ORP: El problema es que hay grandes tecnológicas que trascienden los Estados y que son más que un Estado por su capacidad económica, tecnológica y de penetración. Hay una lucha por la colonización de la humanidad, las grandes tecnológicas y, sobre todo, los Estados entran en esa discusión porque el problema de la regulación frena por cuestiones éticas el avance de la tecnología. Sin embargo, hay estados como China que eso no le interesa, por lo que la posibilidad de avance de colonización es mucho mayor. Esta guerra, similar a la guerra espacial o la Guerra Fría entre Estados Unidos y Rusia, se reproduce con varios actores, sobre todo bajo la idea de colonización incluso dentro de las mismas empresas tecnológicas.

Por ejemplo, preguntamos a distintas IA’s generativas su opinión sobre el respaldo de Kennedy a Trump, el resultado fue que mientras una no dio su opinión, las demás respondieron con sesgo político. Nosotros también tenemos que estar atentos desde lo ideológico a esa colonización cultural, partidista o ideológica, nos dirigimos hacia la IA explicativa en el sentido de que es necesario que todos los sistemas de IA sean lo más transparentes posible para que nosotros podamos detectar estas cuestiones y no nos veamos sorprendidos.

JCBG: QUE OPINA SOBRE LAS NUEVAS ALIANZAS Y TENSIONES QUE LA CARRERA TECNOLÓGICA ESTÁ CREANDO ENTRE ESTADOS NACIONALES Y EMPRESAS?

ORP: En su libro Nexus. Una breve historia de las redes de información desde la Edad de Piedra hasta la IA,Yuval Noah Harari dice que posiblemente están emergiendo nuevos puntos de desarrollo tecnológico que van a ser nuevos actores como China, habla de la posibilidad de que se sume Brasil y Estonia. También menciona el fenómeno de los capullos que van a inundar de novedades con distintos perfiles, en algún momento vamos a llegar a la IA general que se refiere a un sistema que puede realizar cualquier tarea cognitiva que puede realizar un ser humano. Actualmente esas tareas son más sectorizadas, incluso más débiles, se llama IA débil, con la IA general estaríamos en la Matrix, en este caso no sé qué soluciones podríamos proponer los expertos para para resolver los problemas de privacidad, que nos sirvan para absolutamente todo, que anticipe absolutamente todo, que sea la secretaria perfecta. Serán muchas Matrix en las cuales vamos a quedar atrapados.

JCBG: ¿LAS FRONTERAS ENTRE LO PÚBLICO Y LO PRIVADO SE DILUYEN TOTALMENTE EN DIVERSAS REALIDADES QUE PROPONE LA COMPUTACIÓN ESPACIAL Y EN LAS QUE YA REALIZAMOS TODO TIPO DE ACTIVIDADES EN MÚLTIPLES ÁMBITOS DE NUESTRAS VIDAS?

ORP: En la década de los 70 aparecen los primeros sistemas expertos, en la Universidad de Stanford se creó el sistema Misin que podía hacer un diagnóstico para enfermedades bacterianas, incluso de la sangre, se basaba en una base de datos con 500 opciones y un cuestionario que llevaba a un resultado final, se daba un diagnóstico de podía ser alguna enfermedad y después prescribía determinado medicamento. A 5 décadas de eso no ha pasado nada. Actualmente, la IA general está cada vez más cerca, primero decían que en 2040, ahora dicen que 2030, son tantos los avances y los miles de millones de dólares que invierten en desarrollo.

Todo esto lleva a un problema laboral en el sentido que se pierdan puestos de trabajo, las grandes tecnológicas están haciendo ensayos sobre establecer una remuneración mundial básica para que no haya problemas de desempleo. En el caso de los abogados todavía hay sutilezas que no puede entender la IA, que son todavía humanas y que tiene que evaluar un juez al momento de sentenciar. Hay variables humanitarias, éticas, etc., que se deben considerar que una máquina por el momento no puede evaluar mejor que nosotros. Probablemente las soluciones técnicas sean impecables, pero la decisión tiene que ser humana. Las normas de protección de datos prohíben adoptar decisiones absolutamente automatizadas. Las máquinas no tienen alma y probablemente nunca la tengan.

¿Qué ha pasado con el ajedrez? Las personas siguen jugando con personas, podrían jugar con máquinas porque las máquinas sirven para entrenarse, en el caso de las parejas virtuales que se pueden conseguir a través de IA, siempre vamos a entender que del otro lado hay una máquina, no un alma, algo que no se va a perder en la dimensión humana. Muchas tareas seguirán siendo manuales, van a seguir siendo esencialmente manuales.

JCBG ¿QUÉ MEDIDAS DE SEGURIDAD SE DEBEN IMPLEMENTAR PARA PROTEGER LOS DATOS PERSONALES UTILIZADOS EN LOS MODELOS DE IA GENERATIVA FRENTE A POSIBLES BRECHAS DE CIBERSEGURIDAD Y CIBERATAQUE?

ORP: Si estamos en un ambiente mucho más riesgoso, tenemos que implementar medidas de seguridad robustas, por ejemplo, el cifrado de datos en tránsito y en reposo, fortalecer los controles de acceso porque mucha gente está siendo estafada a través de IA generativa, recomiendo tener una palabra clave entre las familias, amigos porque pueden contactarnos incluso a través de videollamada para estafarnos y dar información sensible, transferir dinero o proporcionar claves, etc. La IA generativa en el ámbito de la voz y la imagen se puede lograr, de nosotros depende todo lo relacionado con el control de la comunicación.

Hay que hacer auditorías regulares de seguridad, utilizar técnicas avanzadas de detección de intrusiones, son imprescindibles las respuestas rápidas frente a los incidentes de seguridad, esto ya lo incluyen el reglamento general de la Unión Europea, las directrices de la red americana de protección de datos en el sentido de que hay que notificar los incidentes de seguridad. Ecuador notifica tanto al órgano de control como a las personas que hayan sido afectadas por este tipo de incidentes de seguridad, se debe hacer de manera inmediata.

JCBG: ¿CÓMO PUEDEN LAS ORGANIZACIONES PÚBLICAS Y PRIVADAS EQUILIBRAR LA INNOVACIÓN EN IA GENERATIVA CON LAS RESPONSABILIDADES ÉTICAS Y LA PROTECCIÓN DE LOS DATOS PERSONALES DE LOS USUARIOS?

ORP: En primer lugar, las organizaciones deben equilibrar en definitiva la innovación con la responsabilidad ética, es decir, el enfoque tiene que estar centrado en el usuario priorizándose la transparencia y el consentimiento informado. Adoptar las medidas necesarias para asegurase que el consentimiento es real y corresponde al usuario que se ha inscrito, que ha bajado esa aplicación. Las organizaciones tienen que implementar comités de ética y realizar evaluaciones de impacto de privacidad antes de lanzar una aplicación. Hay herramientas que son muy importantes que no quedaron obsoletas para nada, pero habrá que agregar otras, por eso el reglamento de IA de este año incluyó la división de los distintos tipos de aplicaciones de bajo riesgo, alto riesgo y nulo riesgo. Propone una reglamentación porque son normas imperativas.

En cuanto a los desarrolladores tienen que velar por ser proactivos no en cuanto a esta protección desde el diseño, tienen que ser proactivos en cuanto a la información y a la comunicación que dan a las personas a través de las aplicaciones que van a desarrollar respecto de cómo pueden utilizar sus datos personales, de manera que no enfrenten mayores riesgos. El desarrollador debe ser un aliado y no un enemigo del usuario, hay que incluir una información detallada sobre para qué se procesan, cuáles son las medidas de seguridad, cuáles son los derechos que cada uno de los usuarios tiene frente a esa aplicación nueva. Básicamente la idea es que los desarrolladores y la empresa que implementan la IA generativa tengan un enfoque centrado en el usuario en el sentido de la protección de su intimidad de los datos personales y de la transparencia de sus procesos.

Óscar Raúl Puccinelli es Doctor en Derecho Constitucional, Derechos Humanos y Derecho Procesal Constitucional y Transnacional en diversas universidades públicas y privadas de su país y del exterior. Es Vicepresidente de la Red Académica Internacional de Protección de Datos y Acceso a la Información Pública. Miembro de la Red Global de Derechos Humanos Digitales, entre otras organizaciones académicas y no gubernamentales. Juez de la Segunda Sala de la Cámara de Apelación en lo Civil y Comercial del Rosario. Primer recipientario de la Cátedra Alan Turing del Info Ciudad de México.