Trascendencia jurídica de las finalidades y roles de un sistema de IA
Descargar PublicaciónSe debe determinar con precisión cuál es la finalidad que persigue cada sistema de IA dentro de un proceso. Esta distinción —entre finalidad instrumental y finalidad esencial— no es un ejercicio teórico; tiene consecuencias directas sobre el nivel de riesgo del sistema, la base jurídica del tratamiento de datos y la aplicabilidad de las excepciones previstas tanto en el RIA como en el RGPD.
La finalidad instrumental es un objetivo operativo, auxiliar o intermedio, funcionalmente subordinado a la finalidad esencial. No constituye un fin autónomo desde el punto de vista jurídico: es una etapa dentro del proceso que solo cobra sentido en relación con el objetivo último.La finalidad esencial, en cambio, es el objetivo principal que justifica la existencia misma del tratamiento; sin ella, el proceso carecería de razón de ser.
Esta distinción cobra especial relevancia en los sistemas de IA con finalidades consecutivas, en los que un mismo sistema ejecuta primero una función auxiliar y alcanza después la finalidad principal. Determinar si estamos ante un único tratamiento con dos finalidades o ante dos tratamientos independientes es la segunda verificación que debe realizarse, y de su resultado dependen aspectos críticos como la base jurídica aplicable y el régimen de compatibilidad entre finalidades.
"El rol de un sistema de IA en un proceso puede modificar su calificación jurídica y su nivel de riesgo para los derechos fundamentales de los interesados."
La naturaleza instrumental o esencial de una finalidad incide directamente sobre el nivel de riesgo del sistema, la base jurídica del tratamiento y el juicio de idoneidad, necesidad y proporcionalidad exigido por el RGPD. También determina la aplicabilidad de las excepciones de los artículos 6.3 del RIA y 9.2 del RGPD.
El análisis requiere tres pasos: comprobar el grado de autonomía o dependencia de la finalidad instrumental respecto de la esencial; determinar si hay uno o dos tratamientos; y, en el caso de sistemas de alto riesgo del anexo III del RIA, verificar si resulta aplicable la excepción del artículo 6.3.
Un sistema del anexo III no se considera de alto riesgo si no plantea un riesgo importante para los derechos fundamentales y no influye sustancialmente en el resultado de la toma de decisiones. Opera, entre otros supuestos, cuando el sistema realiza una tarea de procedimiento limitada o está destinado a preparar una evaluación sin sustituir la valoración humana.
La finalidad instrumental es dependiente, auxiliar y puede compartir base jurídica con la finalidad esencial; la finalidad esencial es autónoma, principal y dispone de base jurídica propia. La compatibilidad entre ambas es necesaria para que el sistema funcione como unidad, pero cada una responde a criterios de legitimidad diferenciados.
Caso de uso IA Farma 04 – Uso de la IA en ensayos clínicos. Análisis de riesgos del uso de un sistema de IA basado en PLN y aprendizaje automático en el reclutamiento, el diseño, la monitorización y la gestión de datos del ensayo clínico.
La sanción de 10 millones de euros a AENA por incumplimiento del artículo 35 del RGPD fija los criterios que debe cumplir una evaluación de impacto en protección de datos: RAT completo, gestión correcta del riesgo, juicios de idoneidad, necesidad y proporcionalidad por finalidad, y análisis documentado de alternativas.
La hiperregulación dificulta cumplir el 100 % de las obligaciones legales. Juan Pablo Tornos analiza cómo el cumplimiento parcial puede atenuar la sanción.
