El compliance como instrumento para el incumplimiento
De forma involuntaria, y a veces voluntaria, los procesos de control, basados en requerimientos de compliance, permiten dilatar los plazos de cumplimiento contractual y normativo.
Trascendencia jurídica de las finalidades y roles de un sistema de IA
Descargar PublicaciónSe debe determinar con precisión cuál es la finalidad que persigue cada sistema de IA dentro de un proceso. Esta distinción —entre finalidad instrumental y finalidad esencial— no es un ejercicio teórico; tiene consecuencias directas sobre el nivel de riesgo del sistema, la base jurídica del tratamiento de datos y la aplicabilidad de las excepciones previstas tanto en el RIA como en el RGPD.
La finalidad instrumental es un objetivo operativo, auxiliar o intermedio, funcionalmente subordinado a la finalidad esencial. No constituye un fin autónomo desde el punto de vista jurídico: es una etapa dentro del proceso que solo cobra sentido en relación con el objetivo último.La finalidad esencial, en cambio, es el objetivo principal que justifica la existencia misma del tratamiento; sin ella, el proceso carecería de razón de ser.
Esta distinción cobra especial relevancia en los sistemas de IA con finalidades consecutivas, en los que un mismo sistema ejecuta primero una función auxiliar y alcanza después la finalidad principal. Determinar si estamos ante un único tratamiento con dos finalidades o ante dos tratamientos independientes es la segunda verificación que debe realizarse, y de su resultado dependen aspectos críticos como la base jurídica aplicable y el régimen de compatibilidad entre finalidades.
"El rol de un sistema de IA en un proceso puede modificar su calificación jurídica y su nivel de riesgo para los derechos fundamentales de los interesados."
La naturaleza instrumental o esencial de una finalidad incide directamente sobre el nivel de riesgo del sistema, la base jurídica del tratamiento y el juicio de idoneidad, necesidad y proporcionalidad exigido por el RGPD. También determina la aplicabilidad de las excepciones de los artículos 6.3 del RIA y 9.2 del RGPD.
El análisis requiere tres pasos: comprobar el grado de autonomía o dependencia de la finalidad instrumental respecto de la esencial; determinar si hay uno o dos tratamientos; y, en el caso de sistemas de alto riesgo del anexo III del RIA, verificar si resulta aplicable la excepción del artículo 6.3.
Un sistema del anexo III no se considera de alto riesgo si no plantea un riesgo importante para los derechos fundamentales y no influye sustancialmente en el resultado de la toma de decisiones. Opera, entre otros supuestos, cuando el sistema realiza una tarea de procedimiento limitada o está destinado a preparar una evaluación sin sustituir la valoración humana.
La finalidad instrumental es dependiente, auxiliar y puede compartir base jurídica con la finalidad esencial; la finalidad esencial es autónoma, principal y dispone de base jurídica propia. La compatibilidad entre ambas es necesaria para que el sistema funcione como unidad, pero cada una responde a criterios de legitimidad diferenciados.
De forma involuntaria, y a veces voluntaria, los procesos de control, basados en requerimientos de compliance, permiten dilatar los plazos de cumplimiento contractual y normativo.
En este informe analizamos las distintas opciones que tiene un atacante para conseguir que un sistema de IA actúe siguiendo las instrucciones ocultas en un documento.
Este es el estudio sobre los códigos éticos del Ibex que hicimos en 2015 y cuya actualización publicaremos la próxima semana. En él se analiza la la forma en la que las empresas del Ibex indican a sus equipos y grupos de interés, dónde han situado las líneas rojas en materia de cumplimiento.
