La mayoría de los problemas de protección de datos que surgen en proyectos de inteligencia artificial no aparecen al final del desarrollo, sino que estaban presentes desde el primer día: un conjunto de entrenamiento mal delimitado, una finalidad difusa o una ausencia total de análisis de riesgo antes de escribir la primera línea de código. La privacidad desde el diseño, prevista en el art. 25 del RGPD, no es una fase posterior de revisión legal: es el criterio que debería condicionar cada decisión técnica desde el planteamiento inicial del proyecto de IA.
Qué exige realmente el art. 25 RGPD
El art. 25 RGPD obliga a aplicar, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas para cumplir los principios de protección de datos y para integrar las garantías necesarias en el tratamiento. En el ámbito de la IA, esto significa que la minimización de datos, la limitación de la finalidad o la exactitud de la información no pueden dejarse para una revisión legal final: deben formar parte de las decisiones sobre qué datos se recopilan para entrenar un modelo, cómo se etiquetan y durante cuánto tiempo se conservan.
Beneficios de aplicar privacidad desde el diseño en IA
- Reduce el riesgo de tener que rediseñar el sistema una vez que ya está en producción, cuando corregir un fallo de diseño resulta mucho más costoso.
- Facilita acreditar la responsabilidad proactiva del art. 24 RGPD ante una inspección de la AEPD.
- Mejora la calidad técnica del propio modelo, ya que unos datos de entrenamiento bien delimitados y depurados suelen producir sistemas más robustos y con menos sesgos.
- Anticipa buena parte de los requisitos del Reglamento (UE) 2024/1689 (Reglamento de IA) para sistemas de alto riesgo, que exige un sistema de gestión de riesgos continuo desde el diseño (art. 9) y una gobernanza de datos específica (art. 10).
Riesgos de no aplicar privacidad desde el diseño
- Recopilación de datos de entrenamiento excesivos o mal delimitados, que después resulta muy difícil depurar sin afectar al rendimiento del modelo.
- Imposibilidad práctica de atender derechos de las personas (acceso, supresión, oposición) si el sistema no se diseñó pensando en poder localizar y eliminar datos concretos.
- Sesgos y discriminación indirecta que se detectan tarde, cuando el modelo ya está en producción y afectando a personas reales.
- Necesidad de rehacer la evaluación de impacto y, en ocasiones, el propio sistema, cuando el riesgo se identifica después del despliegue.
- Mayor exposición sancionadora, ya que la ausencia de medidas desde el diseño es en sí misma un incumplimiento autónomo del art. 25 RGPD, independiente de que se haya producido o no un incidente.
Marco normativo aplicable
- RGPD: protección de datos desde el diseño y por defecto (art. 25), principios de minimización, limitación de la finalidad y exactitud (art. 5), responsabilidad proactiva (art. 24) y evaluación de impacto (art. 35).
- LOPDGDD: deber de confidencialidad del personal que participa en el desarrollo (art. 5) y garantías reforzadas cuando el proyecto de IA afecte a menores o colectivos vulnerables.
- Reglamento (UE) 2024/1689 (Reglamento de IA): sistema de gestión de riesgos a lo largo de todo el ciclo de vida (art. 9), gobernanza y calidad de los datos de entrenamiento (art. 10), documentación técnica (art. 11), supervisión humana (art. 14) y precisión, robustez y ciberseguridad (art. 15) para sistemas de alto riesgo del Anexo III.
- Normas técnicas de apoyo: ISO/IEC 27701 para sistemas de gestión de la privacidad e ISO/IEC 42001 para sistemas de gestión de inteligencia artificial, que ofrecen un marco práctico para documentar la privacidad desde el diseño de forma auditable.
Base de legitimación y su relación con el diseño del sistema
La privacidad desde el diseño no sustituye a la base de legitimación del tratamiento, pero condiciona directamente cómo se articula. Si el proyecto de IA se ampara en el interés legítimo (art. 6.1.f RGPD), el propio diseño del sistema debe incorporar las salvaguardas que permitan superar el juicio de ponderación: minimización real de datos, plazos de conservación definidos y mecanismos de oposición. Si se ampara en el consentimiento, el sistema debe diseñarse para poder revocarlo y dejar de tratar los datos correspondientes sin comprometer el resto del modelo.
¿Es obligatoria una evaluación de impacto (EIPD)?
La mayoría de los proyectos de IA que tratan datos personales exigirán una EIPD conforme al art. 35 RGPD, ya que la Agencia Española de Protección de Datos incluye expresamente en su listado de tratamientos de riesgo el uso de nuevas tecnologías y la evaluación sistemática de aspectos personales. La privacidad desde el diseño y la EIPD no son trámites independientes: la EIPD debe realizarse antes de tomar las decisiones de diseño relevantes, precisamente para que sus conclusiones (qué datos minimizar, qué plazos aplicar, qué supervisión humana incorporar) puedan integrarse en la arquitectura del sistema y no añadirse después como un parche.
Medidas de proporcionalidad y buenas prácticas
- Definir la finalidad exacta del sistema de IA antes de seleccionar los datos de entrenamiento, evitando el reflejo de «cuantos más datos, mejor».
- Aplicar seudonimización o anonimización de los datos de entrenamiento siempre que la finalidad del modelo lo permita.
- Diseñar desde el inicio los mecanismos técnicos para atender derechos de acceso, rectificación y supresión sobre los datos utilizados.
- Establecer plazos de conservación diferenciados para los datos de entrenamiento, los datos de validación y los registros de uso del sistema en producción.
- Incorporar supervisión humana efectiva en el propio diseño del flujo de decisión, no como una capa añadida al final.
- Documentar cada decisión de diseño relevante desde la perspectiva de protección de datos, como evidencia de responsabilidad proactiva.
- Realizar pruebas de sesgo sobre los datos de entrenamiento antes de la puesta en producción, no solo sobre los resultados finales del modelo.
Conclusión
Aplicar privacidad desde el diseño en un proyecto de IA no es una capa de cumplimiento que se añade al final: es una forma de construir el sistema que ahorra costes, reduce riesgos legales y, con frecuencia, produce modelos técnicamente mejores. Las organizaciones que incorporan esta lógica desde la fase de definición del proyecto llegan a la fase de despliegue con un sistema más robusto y con mucho menos trabajo de corrección pendiente.
Este contenido tiene carácter informativo y divulgativo. La aplicación concreta de estas medidas depende de la arquitectura técnica de cada proyecto de IA y puede requerir un análisis conjunto entre el equipo técnico y un asesor legal especializado.
#PrivacidadDesdeElDiseño #InteligenciaArtificial #ProtecciónDeDatos #RGPD #LOPDGDD #sipylopd #SIPY
