En un mundo cada vez más digitalizado, la inteligencia artificial y el Tratamiento de Datos Personales se ha convertido en una herramienta fundamental para la toma de decisiones y la asistencia en la interpretación de datos. Sin embargo, con su creciente uso surge una preocupación crucial: la protección de los datos personales. La reciente circular de la Superintendencia de Industria y Comercio aborda este desafío y ofrece directrices claves para garantizar que la implementación de la IA respete los derechos de privacidad.
La IA, como lo define la Organización para la Cooperación y el Desarrollo Económicos (OCDE), es un sistema basado en máquinas que, utilizando datos de entrada, genera salidas en forma de predicciones, recomendaciones o decisiones. Estas decisiones pueden influir significativamente tanto en entornos físicos como virtuales, lo que eleva la importancia de un manejo responsable y ético de los datos personales.
En este contexto, las leyes estatutarias colombianas 1266 de 2008 y 1581 de 2012, diseñadas para proteger los datos personales, no se limitan a tecnologías específicas. Estas normativas establecen principios de protección que deben aplicarse a cualquier tipo de tratamiento de datos, incluyendo aquellos realizados por sistemas de IA. La reciente circular emitida por la Superintendencia de Industria y Comercio refuerza esta aplicación, proporcionando a los administradores de datos y titulares una mayor certidumbre sobre cómo debe manejarse la información personal en la era de la IA.
En este contexto, el Responsable del Tratamiento de datos personales es una entidad, ya sea una persona física, jurídica, pública o privada, que decide sobre la gestión y uso de esos datos, ya sea de forma independiente o en colaboración con otros. Por otro lado, el Encargado del Tratamiento es la entidad que maneja los datos personales siguiendo las instrucciones del Responsable.
Uno de los aspectos más destacados de la circular es el incremento de las responsabilidades para los administradores de datos personales. Con la introducción de los sistemas IA, estos administradores deben cumplir con el principio de “accountability” o responsabilidad demostrada, que exige la implementación de medidas efectivas y verificables para asegurar el cumplimiento de la normativa. Este deber de responsabilidad se traduce en la necesidad de adoptar medidas útiles, oportunas y eficientes que garanticen un tratamiento adecuado de los datos personales.
El principio de «accountability» se convierte en una obligación fundamental para los administradores de datos en el contexto de la IA. La circular de la SIC amplía este concepto al establecer que los responsables del tratamiento deben ser capaces de demostrar, a través de medidas apropiadas y efectivas, que están cumpliendo con las obligaciones establecidas en la Ley Estatutaria 1266 de 2008 y la Ley 1581 de 2012. En particular, el artículo 19A de la Ley 1266 de 2008 y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario del Sector Comercio, Industria y Turismo (Decreto 1074 de 2015) exigen que los operadores, fuentes y usuarios de información financiera, así como los responsables del tratamiento, puedan evidenciar que han implementado medidas adecuadas y verificables para cumplir con la regulación.
La circular también destaca la importancia de la identificación de riesgos en el tratamiento de datos personales, especialmente en el contexto de la IA. La privacidad desde el diseño y por defecto («Privacy by Design and by Default») se presenta como una medida proactiva para cumplir con el principio de responsabilidad demostrada. Al incorporar la privacidad desde el diseño, se asegura un tratamiento de datos que minimiza riesgos, aplicando técnicas matemáticas que impidan la identificación de personas durante la analítica de datos para entrenar sistemas de IA. Esto busca prevenir niveles inaceptables de riesgo, protegiendo el consentimiento de los titulares y su derecho fundamental a la privacidad.
A pesar de estas directrices, el uso de IA plantea nuevos desafíos. La IA tiene la capacidad de tomar decisiones automatizadas y aprende continuamente a partir de los datos que recibe. Esto genera una pregunta crucial:
¿ la normativa vigente y el principio de responsabilidad demostrada serán suficientes para salvaguardar los datos personales ante el uso de sistemas AI?
Los sistemas de AI no solo depende de las tecnologías y procedimientos implementados, sino también de la ética y la inteligencia de quienes diseñan y gestionan estos sistemas. La protección de la privacidad requiere un enfoque consciente, adaptado a los rápidos avances tecnológicos.
En el análisis del tratamiento de datos personales en el contexto de la inteligencia artificial (IA), es relevante comparar el enfoque de la Comisión Europea con el de la Superintendencia de Industria y Comercio (SIC) en Colombia. La Comisión Europea ha propuesto un marco regulatorio para la IA que clasifica los sistemas según su nivel de riesgo, imponiendo requisitos específicos para aquellos que representan un alto riesgo, incluyendo medidas de transparencia y protección de datos, en línea con el Reglamento General de Protección de Datos (RGPD). Este enfoque es similar al de la circular de la SIC, que también enfatiza la responsabilidad demostrada y la privacidad desde el diseño y por defecto, exigiendo a los administradores de datos adoptar prácticas que garanticen el cumplimiento de la normativa y protejan los derechos de los titulares. Ambos marcos buscan asegurar que el uso de la IA sea ético y seguro, protegiendo adecuadamente los datos personales.
La circular de la Superintendencia de Industria y Comercio es un paso importante hacia una mayor claridad y responsabilidad en el tratamiento de datos personales con el uso de sistemas de IA. Sin embargo, es fundamental seguir evaluando y adaptando las normativas para abordar los riesgos emergentes y garantizar que la privacidad de los individuos sea protegida de manera efectiva.
