El reciente documento publicado por la AEPD sobre Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial no introduce nuevas obligaciones en materia de protección de datos. Sin embargo, su contenido puede interpretarse como una señal de hacia dónde podría evolucionar la forma de abordar las Evaluaciones de Impacto en Protección de Datos (EIPD) cuando intervienen sistemas de IA.
Tradicionalmente, las EIPD se han centrado en analizar aspectos como la base jurídica del tratamiento, la proporcionalidad, las medidas de seguridad o el ejercicio de derechos. Se trata de elementos esenciales, pero la guía parece poner el foco en una cuestión adicional: la idoneidad de los datos utilizados para alcanzar la finalidad del tratamiento.
Esta perspectiva resulta especialmente interesante porque desplaza el debate desde la mera exactitud del dato hacia su contexto de utilización. La cuestión ya no es únicamente si un dato es correcto o está actualizado, sino si el conjunto de datos resulta adecuado para que un sistema de IA produzca resultados fiables y respetuosos con los derechos de las personas.
Desde una perspectiva de gobernanza y gestión del riesgo, esta interpretación podría tener implicaciones relevantes. Si la calidad del dato influye directamente en la fiabilidad del tratamiento, quizá las EIPD deban evolucionar para incorporar evidencias sobre cómo se gobiernan esos datos a lo largo de todo su ciclo de vida.
Más que evaluar únicamente el cumplimiento normativo, podría resultar conveniente analizar cuestiones como:
¿Existen responsables claramente definidos sobre la gestión y calidad de los datos?
¿Cómo se verifica que los datos siguen siendo adecuados para la finalidad prevista?
¿Qué mecanismos permiten identificar sesgos o pérdidas de representatividad?
¿Se supervisa únicamente el conjunto de datos o también la calidad de los resultados generados por el sistema?
Este enfoque no convertiría la EIPD en un informe técnico sobre inteligencia artificial. Más bien supondría incorporar elementos propios de la gobernanza del dato, entendida como el conjunto de procesos, controles y responsabilidades que permiten garantizar que los datos continúan siendo adecuados durante todo el ciclo de vida del tratamiento.
Desde esta óptica, el papel del DPO también podría evolucionar. Sin abandonar su función de supervisión del cumplimiento, es posible que deba participar cada vez más en procesos de gobernanza donde, además de la documentación jurídica, adquieran relevancia evidencias relacionadas con la gestión del dato, la supervisión del sistema y el control continuo de los riesgos.
La guía de la AEPD no establece expresamente este modelo. No obstante, parece ofrecer una interpretación del principio de exactitud adaptada a los sistemas de Inteligencia Artificial que invita a reflexionar sobre el contenido de las futuras EIPD. En este contexto, quizá el reto ya no consista únicamente en demostrar el cumplimiento del RGPD, sino también en acreditar que existe una gobernanza adecuada del dato capaz de minimizar los riesgos derivados del uso de la Inteligencia Artificial.