GEAB 181

Este mes, hemos tenido el placer de charlar con la Dra. Maria Moloney sobre lo que puede deparar 2024 en cuanto a innovación en IA y protección de datos, así como sobre cuestiones de legislación europea y mundial en este ámbito. Es doctora en Sistemas de Información por el Trinity College de Dublín y especialista principal en protección de datos, seguridad e IA en la empresa tecnológica irlandesa PrivacyEngine, donde trabaja con grandes empresas privadas de Europa y América, así como con administraciones públicas. Su cometido como consultora es examinar la protección de datos, la seguridad y la inteligencia artificial desde la perspectiva del cumplimiento de la normativa.

Los avances y la investigación sobre IA serán sin duda aún más intensos en 2024 que en 2023, en mi opinión, porque solo estamos al principio de los sistemas de la IA y sus usos. Ya se ha hablado mucho de la IA generativa, pero tendremos que ir más allá en 2024 y 2025 para comprender exactamente cómo pueden utilizarse estos modelos en las empresas, cuáles son sus ventajas, pero también sus inconvenientes. En 2023, la atención se ha centrado en los grandes modelos lingüísticos, mientras que en 2024 nos fijaremos más en los modelos de IA multimodal. Chat-GPT 3.5 se centraba en la interpretación de texto, mientras que GPT-4 combina ahora varias modalidades, como texto, audio y vídeo. Como resultado, estos modelos de IA pueden dar respuestas mucho más intuitivas. Para ser sincera, es emocionante trabajar en este campo ahora mismo y no es exagerado decir que en los últimos 12 meses la IA ha cambiado la forma de trabajar de la gente. Ahora sabemos que se trata de una tecnología extremadamente disruptiva. Está claro que tiene enormes beneficios, estamos viendo coches autónomos y, más en general, un aumento masivo de la automatización. Gran parte del trabajo que siempre se ha considerado aburrido y difícil ahora lo puede hacer la inteligencia artificial. Esto libera a los humanos y nos permite dedicar más tiempo a actividades más creativas, en lugar de tener que hacer cosas que nos parecen repetitivas y tediosas.

La ley de inteligencia artificial pondrá a Europa en el mapa de la regulación mundial de la IA

Lo más probable es que el Ley de la IA ponga a Europa en el mapa en términos de regulación de la IA, en el sentido de que Europa ocupa ahora el lugar de la primera jurisdicción a nivel mundial en regular la IA y, por lo tanto, allanar el camino para una IA digna de confianza. Desde que el RGPD entró en vigor en 2018, nosotros, como europeos, hemos aprendido mucho sobre la legislación basada en el riesgo y sus beneficios, por lo que la UE ha adoptado el mismo enfoque basado en el riesgo para la ley de IA, y ha sido relativamente rápido en ponerse de acuerdo. Esto se debió en gran medida a las elecciones europeas de finales de año. La Comisión quería llegar a un acuerdo antes de finales de 2023. Un acuerdo era especialmente importante porque, al igual que con el RGPD, Europa quiere estar a la vanguardia de la legislación sobre IA.

La UE siempre se ha considerado el lugar donde la protección de los ciudadanos es primordial. Creo que la amenaza que supone la inteligencia artificial para los derechos y libertades de los ciudadanos era lo suficientemente importante como para que Europa se diera cuenta de que tenía que actuar rápidamente para regularla. El reto, sin embargo, es que esta inteligencia sigue desarrollándose a un ritmo vertiginoso. Por eso se habla de incluir en el reglamento sobre IA disposiciones que permitan a la Comisión Europea modificar la ley en el futuro, si es necesario. Creo que han hecho un buen trabajo al intentar poner algo en marcha que ponga el listón alto en cuanto al nivel de confianza que esperan las empresas para poder acceder al mercado europeo. Al igual que con el RGPD, es obvio que pasarán años hasta que todo esté perfectamente resuelto, pero es un buen comienzo.

En EE.UU., el Reino Unido y muchos otros países, no existe una normativa general sobre IA y las regulaciones suelen ser específicas para cada sector. Europa ha adoptado un enfoque horizontal, lo que significa que cada sector debe cumplir la misma legislación, es decir, la ley europea de IA. Esto es también lo que ocurrió en 2018 para el RGPD. Este es un buen camino a seguir para que la UE sea el líder de confianza en IA en todos los sectores.

A escala mundial, la Ley de IA podría ser considerada por otras jurisdicciones como un modelo de referencia para la regulación de la IA. Sin duda influirá en los países que deseen interactuar o vender en el mercado europeo, o que tengan tradición de hacerlo. Es muy probable que cualquier país que tenga una fuerte tradición de vender en el mercado de la UE busque la adecuación con la Ley de la IA cuando legisle para sí mismo. Ya hemos visto la adecuación al RGPD en muchos países. Tiene sentido que estas jurisdicciones tengan una legislación similar o similar para la IA para reducir la carga legislativa. Esto se conoce como el efecto Bruselas. Creo que lo mismo debería aplicarse a la Ley de IA.

Me considero muy afortunada de formar parte de la UE, porque sé que siempre habrá un esfuerzo por proteger mis derechos en el mundo digital, especialmente porque siempre ha habido tensión entre la innovación y la protección de los derechos fundamentales en relación con las nuevas tecnologías. Esto a menudo lleva a temer que otras jurisdicciones de todo el mundo obtengan una ventaja competitiva sobre Europa en términos de innovación gracias a su enfoque más ligero que el europeo, pero creo que hemos demostrado con el RGPD que aquí en Europa sí podemos ser innovadores a la vez que protegemos los derechos de los ciudadanos. El RGPD ha impulsado la confianza y la reputación de Europa y es probable que ocurra lo mismo con la ley de IA. Debemos confiar en la dirección que tomará la legislación sobre IA en el futuro. Probablemente pasarán cinco años antes de que veamos los beneficios reales de la ley y cómo se aplicará en diferentes jurisdicciones a nivel mundial, pero creo que Europa se beneficiará enormemente.

Ya hay muchos casos concretos de graves daños causados a personas porque los sistemas de IA no se han desplegado adecuadamente y con poca consideración hacia las personas que los utilizan. Reconozco que actualmente existe una carrera mundial por la innovación entre países y esto es algo positivo para la humanidad, pero es importante equilibrarlo con la protección de datos y los derechos digitales, ya que puede tener graves repercusiones para las personas.

Tenemos el ejemplo del caso del subsidio familiar por hijos ocurrido recientemente en los Países Bajos. Un sistema de IA en los Países Bajos acusó a un gran número de personas de fraude, que resultó ser incorrecto debido a un sistema de IA sesgado. El escándalo hizo caer al Gobierno en 2021 y, literalmente, porque nadie se dio cuenta de los sesgos presentes en los algoritmos del sistema de prestaciones por hijos a cargo. Este sistema era contrario al GDPR, ya que cualquier sistema automatizado de toma de decisiones debe estar sujeto a la supervisión humana. Es importante tener siempre presente que los algoritmos son tan fiables como las personas que los han diseñado. Al fin y al cabo, se trata de una tecnología propensa al error humano.

Otro ejemplo de sistemas de IA que han demostrado tener sesgos incorporados son los sistemas de IA estadounidenses que evalúan la probabilidad de reincidencia de los presos. El resultado de la evaluación automatizada de la reincidencia realizada por estos sistemas de IA tiene implicaciones jurídicas para las personas. Estas decisiones automatizadas han demostrado ser extremadamente problemáticas para las personas que intentan mejorar sus vidas. Las decisiones que estos sistemas de IA toman sobre las personas y su probabilidad de reincidencia pueden tener un efecto grave en la vida de alguien. Afortunadamente, si estos sistemas existieran en Europa, se considerarían sistemas de IA de alto riesgo en virtud de la legislación europea sobre IA, debido a su impacto potencialmente muy significativo en el futuro de las personas.

Actualmente trabajo con muchas personas que escriben algoritmos para bancos y tecnologías financieras. Muchos modelos de negocio que se utilizan actualmente no permiten que los humanos supervisen los sistemas de toma de decisiones de la IA. De hecho, las empresas suelen eliminar a los humanos para reducir costes. Es más barato automatizarlo todo. Irónicamente, Europa está tratando de desarrollar la industria fintech con el objetivo de producir líderes mundiales, y hay un claro apoyo para permitir el desarrollo de modelos de negocio fintech donde no hay supervisión humana, lo cual es contrario al GDPR. Por ejemplo, si alguien busca hoy una hipoteca, sus datos se introducen automáticamente en un sistema que evalúa si es un buen candidato para un préstamo. Muy a menudo, esta evaluación no está supervisada por un empleado del banco, por lo que esta situación puede tener graves consecuencias para la persona afectada. Un director de banco estaría mejor situado para evaluar si la persona es digna de confianza y tiene posibilidades de hacer frente al reembolso. Si estos solicitantes de préstamos no pueden conseguir una vivienda, tendrán que alquilarla para el resto de sus vidas porque no pueden conseguir un préstamo. Para ser sinceros, ni siquiera necesitamos esperar a que la legislación sobre IA cambie esto, podemos confiar en el RGPD para garantizar la supervisión humana de toda la toma de decisiones automatizada. Como sabemos, el RGPD ha estado en vigor durante años, sin embargo, seguimos viendo estos modelos de negocio implementados hasta el día de hoy.  Esperemos que la Ley de IA refuerce la necesidad de la supervisión humana de los sistemas de IA.

Cuando la gente se siente amenazada, huye de la tecnología

Como ya hemos dicho, el GDPR ha demostrado que los europeos podemos ser innovadores a la vez que protegemos los datos personales de los ciudadanos. En última instancia, si los ciudadanos no están protegidos, las ventajas de utilizar sistemas de IA se reducen considerablemente. La gente se alejará de la tecnología si se siente amenazada por ella. Por otro lado, una vez que te hayas ganado la confianza de la gente, adoptarán la tecnología y se divertirán con ella.

He observado un claro cambio en la mentalidad de los políticos y los administradores públicos. Aunque este cambio de mentalidad es ligeramente más lento que el de los directores generales y los profesionales del sector privado, puedo ver una evolución.  Está claro que los funcionarios tienen motivaciones diferentes para sus labores en el sector público, sin embargo, con casi seis años de GDPR a nuestras espaldas, las administraciones públicas están empezando a ver que hay una necesidad real de cumplimiento y protección de los datos de las personas. Desde mi propia experiencia, hace quizás cuatro años había gente que se te acercaba y te preguntaba: “¿Qué es la protección de datos? ¿Qué es el RGPD?”, mientras que hoy todo el mundo lo sabe, y las preguntas son más sobre “¿Cómo ponemos en marcha nuestro plan de cumplimiento?”.

No sólo Europa está cada vez más concienciada con la protección de datos, sino también el resto del mundo. Tradicionalmente, Estados Unidos tenía una ideología completamente distinta cuando se trataba de proteger la privacidad y la libertad de expresión. En mi opinión, están empezando a comprender la importancia de la protección de datos, sobre todo cuando se trata de ciberseguridad y actividades antifraude. Europa y Estados Unidos se acercan poco a poco en su comprensión de la importancia de la protección de datos. Prueba de ello es la puesta en marcha del marco de protección de datos entre la UE y EE. Creo que nunca hemos estado tan cerca de colaborar con Estados Unidos en materia de protección de datos.

De cara a 2024, creo que la fiabilidad de la IA y la parte que podemos explicar de la IA realmente necesitan ser examinadas, porque el hecho de que cantidades tan grandes de datos personales puedan ser extraídos de la web y utilizados tan rápidamente hace que la cuestión de la fiabilidad sea una prioridad absoluta. Ahora que la Ley de IA ha entrado en vigor, la normativa nos permite interactuar con las empresas que se encargan de desarrollarlas y  trabajar con ellas para incorporar la transparencia y la fiabilidad a sus soluciones de cumplimiento, a fin de garantizar la protección de sus clientes y usuarios de estos sistemas y reducir el riesgo de que se produzca una brecha de seguridad que afecte a sus sistemas de IA. Las brechas siempre afectan a la imagen de la empresa, lo que a su vez afecta a su cotización en el mercado, etc.

Reconozco que sigue habiendo retos importantes para que la IA sea digna de confianza y para poder explicar las cajas negras de muchos algoritmos, pero creo que Europa está realmente a la vanguardia de la concienciación y la responsabilidad de las empresas para garantizar que no solo puedan beneficiarse y sacar provecho, sino que también deben proteger a las personas de los abusos que puede provocar el uso de la IA.

Los sistemas de IA y la amenaza para las elecciones democráticas

Llevamos muchos años viendo que los sistemas de IA pueden perturbar el proceso democrático de las elecciones. El caso más sonado fue el escándalo de Cambridge Analytica, que supuso la recopilación y el uso no autorizados de datos personales de millones de usuarios de Facebook con fines políticos. Cambridge Analytica trabajó en campañas políticas, incluida la campaña presidencial estadounidense de Donald Trump en 2016, y obtuvo y explotó la información personal de unos 87 millones de usuarios de Facebook para manipular el resultado de las elecciones.

Del mismo modo, la desinformación generada más recientemente por la IA y la tecnología deepfakes (IA utilizada para crear imágenes, audio y vídeo engañosos de forma convincente) también puede perturbar el proceso democrático de las elecciones. Las sofisticadas herramientas de IA pueden ahora facilitar la manipulación de los medios de comunicación, especialmente con la aparición de deepfakes realistas. En el año 2024 varios países acudirán a las urnas, entre ellos Estados Unidos, el Reino Unido y la Unión Europea, y es más que probable que entidades maliciosas intenten manipular los resultados. Dada la insuficiencia de las herramientas de detección existentes para este tipo de ataques, es cada vez más necesario que los políticos reaccionen en tiempo real para evitar la propagación de la desinformación. También es importante interactuar con las empresas de redes sociales para asegurarse de que siguen invirtiendo en capacidades de detección, y examinar la evolución de sus estrategias para mitigar las campañas de desinformación. En general, creo que garantizar la integridad de los procesos democráticos frente a la manipulación avanzada de la IA será un reto importante y creciente para varias regiones del mundo este año.