En el resumen del presente trabajo se ha mencionado la tendencia existente a afirmar que el derecho y otras normas no son adecuadas o aplicables a las nuevas tecnologías, aunque hay que reconocer que en otros casos quienes eso piensan lo expresan de una forma más prudente y dicen que la normativa no es capaz de adaptarse con la velocidad necesaria a esas nuevas tecnologías. Aunque ese tema puede dar para muchas discusiones y se podría profundizar mucho, dicho de forma general quien se tiene que adaptar son las nuevas tecnologías, que deben cumplir la normativa vigente como lo debe hacer cualquier ciudadano.

En materia de privacidad (por utilizar la terminología más en boga, aunque la protección de datos o el derecho fundamental a la autodeterminación informativa podrían ser más adecuados ¹ ) el criterio a seguir se fijó en la Europa continental ya en los años setenta del siglo XX. En la que se considera como la primera ley reguladora de esta materia, el Landesdatenschutzgesetz del Land alemán de Hessen (1970) ² se introdujo lo que se conoce como Verbot mit Erlaubnisvorbehalt (prohibición con excepción de autorización), que supone que el tratamiento de datos personales está prohibido salvo que se disponga de un mecanismo legal (consentimiento del sujeto afectado, contrato, ley, interés legítimo demostrable y documentado del responsable del tratamiento). Ahí podemos ver la valoración ética que se hizo desde un principio: el bien jurídico a proteger son los derechos fundamentales de los sujetos cuyos datos se pretende procesar. Conviene recordar que los derechos fundamentales son otorgados por el Estado a los ciudadanos para protegerse de la actividad del mismo Estado. Esto es especialmente importante porque las grandes empresas de las tecnologías de la información y de la comunicación pretenden hacer creer que el principio actúa a la inversa: autorización con excepción de prohibición.

A lo largo del presente trabajo se presentará lo que se conoce como objetivos de protección como criterios de control de cualquier tecnología, se revisarán diferentes aspectos del problema planteado por la inteligencia artificial y se recordarán algunos de los instrumentos ya existentes para que la implementación de esta tecnología se produzca de una forma respetuosa con los derechos fundamentales.

La doctrina de los objetivos de protección no es nueva, se desarrolló ya en el campo de la seguridad de la información en los años setenta del Siglo XX ³ centrándose en tres objetivos que, en inglés en el original, se conocen como CIA (confidentiality, integrity, availability), lo cual no deja de resultar irónico en un trabajo que se centra en la privacidad. Posteriormente se han desarrollado otros centrados en la privacidad. A continuación se expondrán las características esenciales de estos objetivos.

Confidencialidad. Este objetivo de protección recoge como exigencia que nadie pueda acceder a los datos personales sin autorización. En ocasiones el acceso a los datos permite que el sujeto afectado sea identificado porque el contexto en el que los datos son almacenados permite sacar conclusiones sobre ese sujeto. Cuando nos referimos a personas no autorizadas, eso no significa que se trate necesariamente de terceros ajenos a la organización, que pueden actuar con intenciones criminales o de otro tipo, sino que puede tratarse también de empleados de servicios técnicos que para prestar esos servicios no precisan de acceso a los datos personales, o de personas activas en departamentos de la organización que no tienen ninguna relación con un determinado proceso o con el sujeto afectado.

Integridad. En este caso el objetivo de protección resalta como exigencia que los procesos y sistemas informáticos sean capaces de mantener las características que son esenciales para la realización de las funciones imprescindibles para alcanzar la finalidad establecida y, al mismo tiempo, que los datos tratados permanezcan indemnes, completos y actuales. Posibles efectos secundarios deben ser evitados o tenidos en cuenta y tratados. Este objetivo de protección reclama que entre las exigencias y la realidad haya una garantía suficiente, tanto en los detalles técnicos como en lo que afecta al tratamiento en general y su ajuste a las finalidades establecidas.

Disponibilidad. Este objetivo refleja la exigencia de que los datos personales estén disponibles para ser utilizados de forma adecuada en el proceso previsto. Para ello deben ser accesibles para las personas correspondientes y se les deben poder aplicar los métodos indicados para su tratamiento. Eso incluye, entre otras cosas, que los métodos sean aplicables al formato en el que los datos están disponibles. La disponibilidad incluye que los datos sean localizables, que los sistemas implicados los puedan presentar de forma adecuada y que esa presentación sea semánticamente comprensible.

Antes de pasar a mencionar los nuevos objetivos de protección cabe recordar que los tres primeros han sido aceptados e implementados por los responsables de tratamiento por iniciativa propia, ya que, aunque pueden utilizarse también para proteger la privacidad en origen, están diseñados para proteger a las organizaciones frente a ataques tanto internos como externos.

Conviene reseñar que desde el punto de vista de la normativa de protección de datos, las organizaciones deben proteger sus procesos de posibles ataques, siempre que afecten a datos de carácter personal. Los objetivos de la protección de datos precisan, en comparación con los objetivos de protección de la seguridad informática, de un grado de comprensión más amplio, ya que la protección de datos debe incluir una perspectiva de protección adicional, al tener en cuenta los riesgos que las actividades de la organización en sí mismas pueden originar para el sujeto afectado, tanto si esas actividades están relacionadas con sus procesos de negocio o de administración como fuera de ellos. Desde el punto de vista metodológico eso significa que no solo una persona debe demostrar ante una organización que es de confianza, sino que la organización debe ser capaz de demostrar frente a una persona que es de confianza. Por ese motivo es preciso establecer objetivos de protección que garanticen la protección de los sujetos afectados frente a diferentes tipos de organizaciones, que describiremos a continuación.

No encadenabilidad. Este objetivo refleja la exigencia de que los datos solo sean tratados y valorados para la finalidad para la que fueron recogidos.

Transparencia. La transparencia requiere que, aunque en diferentes niveles, tanto el sujeto afectado como el responsable de los sistemas y posibles autoridades de control puedan reconocer qué datos y para qué finalidad han sido recogidos y tratados en un proceso, qué sistemas y procesos han sido utilizados, en qué dirección y para qué fines fluyen los datos y quién es el responsable legal de los datos y sistemas en las diferentes fases de un tratamiento de datos. La transferencia es imprescindible para el control y dirección de los datos, procesos y sistemas desde su inicio hasta su cancelación, y un requisito previo para que un tratamiento de datos sea legítimo y, en caso de necesidad, los sujetos afectados puedan otorgar su consentimiento.

La transparencia de un tratamiento de datos en su conjunto y de las partes implicadas puede permitir que especialmente los sujetos afectados y las autoridades de control puedan detectar posibles fallos y exigir que se lleven a cabo las modificaciones necesarias para suprimirlos.

Capacidad de intervenir. Este objetivo exige que el sujeto afectado pueda ejercer de forma efectiva sus derechos de acceso, rectificación, cancelación y oposición (ARCO) en cualquier momento, y que el responsable esté obligado a tomar las medidas necesarias para hacer efectivos esos derechos. Para alcanzar este objetivo debe ser posible modificar el tratamiento de datos en cualquier momento y en cualquiera de sus fases, desde la recogida de los datos hasta su cancelación.

Normalmente cuando hablamos de problemas de seguridad en materia de información y comunicación, lo primero que consideramos es la confidencialidad, cosa que no extraña si pensamos en privacidad. Sin embargo, dada la amplitud de la implementación de sistemas de inteligencia artificial, cabe recordar que los problemas en materia de integridad y disponibilidad son como mínimo igual de importantes. Baste para ello recordar que uno de los ámbitos en los que parece que los sistemas que nos ocupan se van a implementar más rápido es en el de la salud y más concretamente en el de la radiología ⁴ , motivo por el que la integridad y disponibilidad ganan una relevancia mayor. Aunque no parece necesario profundizar en los aspectos técnicos del problema, quizás un ejemplo que apareció en prensa ⁵ sirva para reflejar el problema: por medio de un ataque informático un grupo de científicos introdujo imágenes falsas de nódulos cancerosos en resultados de tomografía computarizada para llamar la atención sobre el problema. También existe un artículo científico al respecto (Mirsky et al., 2019).

Un campo distinto es el uso de sistemas de inteligencia artificial para procedimientos de reconocimiento facial. El New York Times publicó un artículo ⁶ sobre la tecnología utilizada por la empresa Clearview AI cuyo título ya avisa del problema al que hace referencia: «The Secretive Company That Might End Privacy as We Know It». Por exponerlo de forma muy resumida, esa empresa desarrolló un software que podía extraer imágenes de prácticamente cualquier base de datos disponible en Internet (incluyendo Facebook y Youtube, por mencionar dos casos significativos) y que fue adquirido por numerosas agencias gubernamentales. Todo eso se ve agravado por varias circunstancias: parece que el sistema solo alcanza un 75% de exactitud, no ha proporcionado ninguna auditoría externa y no informa sobre las fuentes y procedimientos por los que obtiene las imágenes.

Otro aspecto esencial a tener en cuenta hace referencia a la sostenibilidad de los sistemas de inteligencia artificial. La mayoría de los estudios se centran en los problemas que origina el transporte de mercancías, mientras que lo que sucede en Internet o en las TIC goza de un halo de limpieza que se hace difícil justificar. A día de hoy el tráfico de datos gasta tanta energía como todo el tráfico aéreo ⁷ (conviene recordar que la mayoría de las aplicaciones disponibles en los llamados teléfonos inteligentes están basadas en servidores y no en el terminal) y está previsto que en el 2040 el World Wide Web gaste tanta energía como consumió todo el tráfico mundial, no solo el aéreo, en el 2011 ⁸ . Por poner otro ejemplo, la producción de teléfonos inteligentes podría generar en ese momento 125 mega toneladas de CO₂ ⁹ . Parece evidente que se hará necesario despedirse de un sistema económico orientado al crecimiento sin fin y que la continua búsqueda de una bala de plata tecnológica que solucione esos problemas de momento no va en la dirección adecuada, ya que las presuntas soluciones están aumentando los problemas o creando otros nuevos, basta pensar en lo que tecnologías como el blockchain y el bitcoin consumen a nivel energético. Desgraciadamente a día de hoy parece que el número de investigadores que se ocupan al mismo tiempo de las nuevas tecnologías y de su impacto ecológico es realmente reducido, con consecuencias que pueden ser desastrosas. Revisemos por ejemplo el problema del transporte de personas y su presunta solución: los mal llamados vehículos autónomos (en realidad teledirigidos, ya que dependen de servidores). A día de hoy nadie ha explicado a fondo cómo van a circular al mismo tiempo vehículos autónomos y otros con un conductor humano, y tampoco como van a convivir con otros vehículos de menor calidad como las bicicletas. En realidad parece que se trata de una solución inexistente y que habría que buscar una alternativa. A primera vista lo más fácil sería construir ciudades adecuadas para peatones y bicicletas, junto con sistemas públicos de transporte de calidad y asequibles. Incluso la ficción parece ofrecer una solución mejor: Frank Schätzing en su novela Limit ¹⁰ incluye un sistema de vehículos individuales que circulan por raíles (y que personalmente creo mucho más viable que los vehículos autónomos) y, aunque no tiene nada que ver con el tema actual, un sistema de viaje a la luna por medio de un ascensor.

Por último, ya que no pretendemos hacer un listado completo de los riesgos relacionados con la inteligencia artificial, mencionaremos un punto mucho más importante de lo que puede parecer en un principio. Para entender su importancia conviene recordar que uno de los objetivos de los profetas de la inteligencia artificial es conseguir conectar directamente las mentes humanas con los sistemas, que deberán ser capaces de leer (¿o quizás fuera mejor decir interpretar?) nuestros pensamientos. Hacemos referencia a los sistemas de reconocimiento de emociones, sobre los que recientemente se ha publicado un informe ¹¹ sobre su evolución en China.

También parece adecuado mencionar la propuesta de reglamento del Parlamento Europeo y del Consejo, por la que se establecen normas armonizadas en materia de inteligencia artificial (ley de inteligencia artificial) y se modifican determinados actos legislativos de la Unión ¹² , que plantea la prohibición de determinados sistemas de inteligencia artificial y establece algunos requisitos como la necesidad de implementar un sistema de gestión de riesgos, la necesidad de transparencia en la información con los usuarios y la vigilancia humana. Por otra parte, también hay que resaltar que se trata de una propuesta y que habrá que ver cómo queda la redacción final, así como la dificultad que supone aplicar una regulación de este tipo a sistemas ya implementados.

A continuación mencionaremos algunos de los ejemplos de instrumentos que pueden ayudar, ya en la fase de diseño, a conseguir un desarrollo controlado de la tecnología que nos ocupa.

Este apartado nace de un artículo aparecido recientemente ¹⁹ y que parece hacer necesario expresar también cinco consejos en una dirección diferente:

Parece relativamente claro que el problema planteado por la inteligencia artificial está relacionado con el sistema económico en el que ha aparecido. Es necesario pasar a un sistema de crecimiento reducido, o quizás incluso de decrecimiento. Este punto no está en el núcleo del tema del presente trabajo, pero tiene una relación directa con el mismo. Recordemos el tema de la sostenibilidad y del impacto del tráfico de datos. Siguiendo el modelo actual, puede parecer interesante o incluso aconsejable que muchos teléfonos inteligentes sean capaces de utilizar sistemas de inteligencia artificial. Sin embargo, probablemente lo interesante sería utilizar la inteligencia artificial tanto como sea necesario y tan poco como sea posible, para intentar optimizar (no maximizar) sus efectos y reducir sus consecuencias negativas. Lo mismo cabe decir de sistemas como el 5G, por mencionar un ejemplo no directamente relacionado con la inteligencia artificial pero sí con una nueva tecnología que plantea problemas muy similares, que se están desarrollando básicamente porque pueden generar beneficios, pero sin realizar las evaluaciones de impacto que serían aconsejables y que seguramente habrían tenido como consecuencia que se promoviera el desarrollo de la fibra óptica y no el del 5G ²⁰ .

La aplicación de los objetivos de protección mencionados en el presente trabajo desde la fase de diseño de cualquier sistema de inteligencia artificial permitiría controlar el desarrollo del mismo y poder despedirnos del problema del black box, ya que un sistema que no se ajustara a los requisitos planteados por esos objetivos no debería implementarse en ningún caso. En el texto se han mencionado los avances en la implementación de sistemas de inteligencia artificial en el ámbito de la salud y más concretamente en el de la radiología. Si revisamos este caso desde el punto de vista de los objetivos de protección parece que debería surgir prácticamente de forma inmediata una pregunta relacionada con el objetivo de protección de la disponibilidad (ya se ha comentado antes algo sobre la integridad): ¿qué sucedería si el sistema de inteligencia artificial no estuviera disponible, bien por una avería o bien por un fallo del sistema eléctrico? A primera vista puede parecer que no es un problema grave, pero si anteriormente se ha convertido a los radiólogos en meros gestores de los resultados del sistema, el problema es mucho mayor de lo que puede parecer en un principio.

El tema de las evaluaciones de impacto debería jugar un papel esencial para conseguir una mejora en el desarrollo de sistemas de inteligencia artificial y de otras nuevas tecnologías que todavía están por aparecer. Aplicando un principio del ámbito analógico, «es más fácil construir bien que tener que reformar a posteriori», parece evidente que esas evaluaciones son el instrumento ideal para controlar los programas de desarrollo e implementación de los sistemas que nos ocupan. Muchos de los problemas que vivimos en la actualidad en materia de seguridad relacionados con Internet tienen su raíz en un desarrollo incontrolado que nos ha llevado a una situación que se refleja en el título del libro de Schneier (2018) : Click here to kill everybody. Lo mismo cabe decir en lo referente a las evaluaciones sobre el impacto ético que, por poner un ejemplo, podrían permitir detectar problemas de diseño en los puntos mencionados en el modelo incluido en el presente trabajo. Aprovechando este punto para hacer una referencia a la pandemia del COVID-19, que actualmente afecta al mundo, podemos recordar las diferentes aplicaciones de localización basadas en la tecnología bluetooth que se han desarrollado en diferentes países. Los inventores de esta tecnología advirtieron ya en mayo de 2020 ²¹ que no era la adecuada para la finalidad perseguida, y la mayoría de las aplicaciones basadas en esa tecnología han fracasado. De hecho, al fin y al cabo, las medidas que realmente han funcionado son bastante antiguas, principalmente ha sido el confinamiento y la distancia social las que han mostrado una mayor efectividad, unas medidas que ya se conocían en la Edad Media. Esta afirmación puede parecer provocadora, pero es muy real. Había otras opciones tecnológicas menos problemáticas y menos agresivas que las aplicaciones con tecnología bluetooth, como listas basadas en un código QR con un período de almacenamiento limitado, pero de nuevo la búsqueda de la bala de plata llevó al camino y a la solución equivocada.

El problema de la sostenibilidad también parece bastante claro. Se hace necesario llevar a cabo una priorización de los sistemas que realmente son imprescindibles y los que no lo son. De nuevo el mecanismo de las evaluaciones de impacto sería el adecuado para llevar a cabo esa priorización. Los datos aportados sobre el consumo de energía del tratamiento y tráfico de datos dejan claro que se hace necesario optimizar la utilización de los recursos energéticos, porque de seguir por el camino actual parece inevitable que se confirme lo que algunos autores mencionan:

O como lo ha expresado Riechmann (2016): «Internet caerá. Pero si cayese ahora, el desastre sería menos dañino que si lo hace dentro de 10 años, y dentro de 10 años menos que si ocurre dentro de 20 años».

Seguramente lo mismo cabe decir respecto de la utilización del software libre para sistemas de inteligencia artificial y de comunicaciones. Sería el camino adecuado para optimizar, que no maximizar, recursos y para abandonar un sistema basado en la competitividad por sí misma para pasar a uno basado en la cooperación en el acceso del mayor número de ciudadanos a los recursos disponibles. De nuevo la pandemia del COVID-19 nos muestra que la cooperación y la optimización de recursos es el camino a seguir. Como ya se ha mencionado anteriormente, el sistema de patentes y de la venta al mejor postor (es otro campo, pero el mismo problema) puede complicar la salida de la pandemia, mientras que una distribución equitativa de las vacunas y una inversión adecuada en terapias, no solo en vacunas, para el tratamiento de la enfermedad facilitarían esa salida de la pandemia y reducirían la desigualdad ²² .