Cómo interpretar los principios de exactitud y minimización cuando los conjuntos de datos alimentan modelos de inteligencia artificial

Introducción: dos conceptos que no son lo mismo

La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica que aclara una confusión muy extendida entre quienes desarrollan o adquieren sistemas de inteligencia artificial (IA): la calidad de los datos y el principio de exactitud del RGPD no son sinónimos. Se trata de conceptos relacionados, pero con un alcance jurídico y técnico distinto, y confundirlos puede llevar tanto a exigir de más como a proteger de menos.

Para cualquier responsable, encargado del tratamiento o Delegado de Protección de Datos (DPD) que participe en proyectos de IA, entender esta distinción es clave para diseñar tratamientos conformes, evitar cargas desproporcionadas y, al mismo tiempo, no comprometer los derechos de las personas afectadas.

Exactitud-RGPD frente a exactitud técnica (ISO)

El RGPD, en su artículo 5.1, establece dos principios especialmente relevantes: la minimización de datos (letra c) y la exactitud (letra d). Los datos personales deben ser «exactos y, si fuera necesario, actualizados», con respecto a los fines para los que se tratan. Esta referencia a la finalidad es la clave interpretativa de todo el documento de la AEPD.

Los estándares técnicos de calidad de datos (ISO 25012, ISO 5259, ISO 8000, UNE 0079) también emplean el término «exactitud», pero con un significado distinto: el grado en que un dato representa correctamente un valor, concepto o evento real. La AEPD denomina a este concepto «exactitud-ISO» para diferenciarlo de la «exactitud-RGPD», que se refiere a la idoneidad del dato para cumplir la finalidad del tratamiento.

La consecuencia práctica es importante: un dato puede ser perfectamente «exacto» desde el punto de vista técnico y, sin embargo, no ser necesario ni adecuado para la finalidad perseguida; o, al contrario, un dato que no refleje con total fidelidad la realidad individual (por ejemplo, tras aplicar técnicas de anonimización, privacidad diferencial o generación de datos sintéticos) puede seguir cumpliendo el principio de exactitud-RGPD si resulta adecuado para la finalidad del tratamiento.

El equilibrio entre exactitud y minimización

La AEPD insiste en que la interpretación del principio de exactitud no puede hacerse de forma aislada, sino en equilibrio con el principio de minimización (art. 5.1.c RGPD). Una interpretación expansiva de la exactitud —exigir siempre el máximo nivel de veracidad, actualización, precisión o granularidad— podría llevar a tratar más datos de los estrictamente necesarios, contradiciendo la propia minimización.

Esto tiene una traducción muy directa para los equipos que desarrollan sistemas de IA: no es exigible un conjunto de datos «perfecto», sino un conjunto de datos adecuado a la finalidad concreta del tratamiento y al contexto de despliegue. Exigir estándares de calidad superiores a los necesarios encarece el acceso a los datos, complica la gobernanza y puede, paradójicamente, desincentivar proyectos legítimos de investigación o innovación.

Calidad del dato individual frente a calidad del conjunto de datos

Uno de los aportes más útiles de la nota técnica es la distinción entre la calidad de un registro individual y la calidad del conjunto de datos (dataset) en su totalidad. En el aprendizaje automático, un conjunto de datos puede cumplir el estándar ISO a nivel de registro y, sin embargo, estar sesgado en su conjunto (por ejemplo, con relación al género, la edad o el origen geográfico).

Si la finalidad del tratamiento consiste en tomar decisiones o generar estimaciones que afecten a todos los colectivos representados, un conjunto de datos sesgado no sería idóneo, aunque cada registro individual fuera técnicamente correcto. Por ello, la AEPD recomienda evaluar características adicionales no siempre recogidas en los estándares clásicos: ausencia de sesgo, representatividad del contexto, propiedades estadísticas adecuadas, frecuencia de recogida o poder predictivo de las variables seleccionadas.

Datos no personales dentro de tratamientos de datos personales

Otro aspecto relevante es que, cuando un tratamiento de datos personales incorpora también datos no personales (baremos, estadísticas, parámetros de configuración), estos también deben cumplir requisitos de calidad adecuados a la finalidad, en la medida en que puedan afectar a la idoneidad del tratamiento o a los derechos de las personas. La propia nota técnica ilustra este punto con un ejemplo educativo: un error en la nota media de un centro (dato no personal) puede distorsionar gravemente la evaluación de un alumno concreto, aunque el dato personal de partida sea exacto.

El desarrollo de IA como tratamiento diferenciado

La AEPD recuerda que el desarrollo o evolución de un modelo de IA constituye, en sí mismo, un tratamiento de datos personales distinto de aquel en el que el sistema ya desplegado trata datos personales en fase de explotación. Esto implica que cada fase requiere su propio análisis de licitud, proporcionalidad y calidad de los datos, conforme al ciclo de vida descrito en el estándar ISO 5338 (inicio, diseño y desarrollo, verificación y validación, despliegue, producción y monitorización, reevaluación y retirada).

Un principio especialmente relevante para la gobernanza del dato: los conjuntos de datos que no reúnan la calidad necesaria para el desarrollo de un sistema de IA no pueden considerarse necesarios para ese tratamiento. En consecuencia, el acceso a dichos conjuntos solo estaría justificado en la medida estrictamente necesaria para evaluar objetivamente su calidad y determinar su aptitud, nunca de forma indiscriminada.

Evaluaciones de impacto y proporcionalidad

La nota técnica no impone de forma automática la realización de una Evaluación de Impacto relativa a la Protección de Datos (EIPD/DPIA) para todo tratamiento que incorpore IA, pero sí refuerza los elementos que, conforme al artículo 35 del RGPD, obligan a valorar dicha necesidad: tratamientos a gran escala, elaboración de perfiles, decisiones automatizadas con efectos significativos sobre las personas, uso de nuevas tecnologías o tratamiento de categorías especiales de datos. Cuando el desarrollo o despliegue de un sistema de IA reúne alguno de estos factores, la EIPD resulta exigible y debe documentar expresamente los requisitos de calidad de los datos de entrada, de los datos intermedios y de los resultados, así como las salvaguardas previstas para corregir sesgos o errores.

En todo caso, y con independencia de que resulte o no obligatoria una EIPD formal, el artículo 24 del RGPD (responsabilidad proactiva) exige poder demostrar en todo momento que el tratamiento cumple los principios de exactitud y minimización. Esto obliga a documentar la trazabilidad del conjunto de datos utilizado: origen, transformaciones aplicadas y criterios de selección y exclusión.

Riesgos si no se aplica correctamente este marco

• Sobre-recopilación de datos: exigir niveles de veracidad o actualización superiores a los necesarios puede vulnerar el principio de minimización y aumentar la superficie de exposición ante brechas de seguridad.
• Decisiones automatizadas erróneas: un conjunto de datos sesgado, aunque técnicamente «exacto» a nivel de registro, puede producir resultados discriminatorios o perjudiciales para las personas afectadas.
• Responsabilidad no demostrable: la ausencia de métricas objetivas sobre la calidad de los datos de entrada y de los resultados impide acreditar el cumplimiento del principio de responsabilidad proactiva (art. 24 RGPD).
• Bloqueo injustificado de proyectos: establecer requisitos de calidad excesivos puede llevar a descartar iniciativas de innovación por la errónea creencia de que no existen datos «suficientemente buenos», cuando en realidad el estándar exigible depende del contexto y la finalidad.

Recomendaciones prácticas para responsables y DPD

• Definir los requisitos de calidad de los datos en función de la finalidad y del contexto de uso, nunca de forma abstracta o mediante listas de comprobación genéricas («calidad de checkbox»).
• Evaluar la calidad tanto a nivel de dato individual como de conjunto de datos, prestando especial atención a sesgos y representatividad cuando se trate de aprendizaje automático.
• Establecer métricas objetivas y verificables sobre la calidad de los resultados generados por el sistema de IA, no solo sobre los datos de entrada.
• Documentar la trazabilidad de los conjuntos de datos (origen, transformaciones, criterios de selección) como parte del principio de responsabilidad proactiva.
• Valorar la necesidad de una EIPD cuando el tratamiento reúna factores de alto riesgo conforme al art. 35 RGPD y a las listas de la AEPD.
• Contar con un equipo multidisciplinar que incluya, al menos, perfiles de ciencia de datos y de protección de datos, para que las decisiones de diseño incorporen ambas perspectivas desde el inicio (protección de datos desde el diseño y por defecto).

Conclusión

La nota técnica de la AEPD aporta un marco de análisis muy necesario para el desarrollo responsable de sistemas de IA: ni la calidad de los datos puede reducirse al cumplimiento formal de un estándar técnico, ni el principio de exactitud del RGPD puede interpretarse de forma absoluta y desconectada de la finalidad del tratamiento. El reto para las organizaciones es encontrar, en cada caso concreto, el equilibrio entre exactitud, minimización e idoneidad, apoyándose en criterios objetivos, evidencia verificable y una gobernanza del dato que abarque todo el ciclo de vida del tratamiento.

#sipylopd #SIPY #ProtecciónDeDatos #RGPD #InteligenciaArtificial #DPO #Compliance #CalidadDeDatos

Este contenido tiene carácter informativo general y no sustituye el asesoramiento jurídico específico para cada caso. Para el análisis de tratamientos concretos que incorporen sistemas de IA, recomendamos contar con el apoyo de un DPD o asesor especializado en protección de datos.