El acuerdo simplifica los requisitos para tratar datos personales sensibles durante el desarrollo y entrenamiento de sistemas de inteligencia artificial cuando se pueda constatar su «interés legítimo». La reforma llega tras consolidar la UE su liderazgo normativo con el Reglamento de Inteligencia Artificial: ahora la Comisión intenta que ese marco se convierta en palanca de competitividad frente a Estados Unidos y China, los rivales en la carrera tecnológica.
El pacto llega después de meses de retrasos técnicos y de varios intentos fallidos por elevar la negociación a instancias diplomáticas superiores. Se produce además en la antesala de la primera cumbre de jefes de Gobierno europeos dedicada específicamente a los desafíos de estas tecnologías, prevista dentro de dos semanas en Dublín, una cita que fijará el tono político del debate sobre innovación digital en el bloque.
El RGPD, en vigor desde 2018, impone a quien trata datos personales una de seis bases jurídicas: consentimiento, obligación legal, contrato, interés público, interés vital o interés legítimo. Esta última es la más flexible, pues no exige el permiso expreso del afectado, sino un juicio de proporcionalidad entre el fin de la empresa y los derechos del ciudadano. Su extensión al entrenamiento de modelos de IA es el punto más disputado de la reforma.
Preguntado por si la nueva posición del Consejo responde a una necesidad real de seguridad jurídica o si puede reducir garantías para los ciudadanos, Cervera minimiza el alcance de la reforma. Para el secretario general del EDPS, cualquier normativa tecnológica necesita actualizaciones periódicas porque la legislación siempre avanza más despacio que la tecnología que pretende regular, pero esta no sería una modificación sustancial.
«Esta iniciativa es más bien un lavado de cara, una actualización técnica, como las que se descargan para Windows, no una reforma sustancial. No estamos ante una modificación que afecte realmente a los derechos de los ciudadanos», sostiene Cervera. Su lectura distingue entre simplificación y desregulación: «Su objetivo fundamental es la simplificación, no tanto la desregulación. Hay mucha gente a la que le gustaría que la Unión Europea desregulara, pero la UE apuesta por simplificar y facilitar la labor de quienes aplican jurídicamente las normas».
El interés legítimo como base jurídica
El punto más delicado del acuerdo es la introducción del interés legítimo como base jurídica para tratar datos personales en el desarrollo y entrenamiento de sistemas de inteligencia artificial, una figura que preocupa a quienes temen que se convierta en una vía generalizada para esquivar el consentimiento explícito de los ciudadanos. Cervera remite a una opinión conjunta del EDPS y el Comité Europeo de Protección de Datos que avala esa base jurídica, aunque sometida a condiciones y salvaguardias específicas.
El responsable del organismo defiende una normativa con «dos almas»: una protectora y otra empresarial. «Creo que la normativa de protección de datos debe tener un enfoque liberal que permita atender las necesidades de las empresas y de la tecnología, pero con una serie de líneas rojas y salvaguardias que eviten los abusos por parte de los operadores», explica.
Sobre dónde situar esas líneas rojas, Cervera apela a un principio que, dice, se conoce desde hace mucho tiempo en la materia: el respeto a la dignidad del individuo. Un criterio que, admite, está sujeto a interpretación y que la normativa europea ha ido traduciendo con los años en reglas cada vez más concretas, aunque el RGPD, con alrededor de una década de vigencia, no ha incorporado del todo ese enfoque basado en el riesgo que sí caracteriza a normas más recientes.
El riesgo de que la ley salga más barata que cumplirla
Una de las advertencias más directas de Cervera apunta al desequilibrio de poder entre reguladores y grandes plataformas tecnológicas. Lo repite en distintos momentos de la entrevista al señalar que «hay empresas que son tan poderosas que pueden permitirse no cumplir la normativa».
«Las grandes tecnológicas pueden permitirse que les salga más rentable pagar una multa que cumplir la ley», afirma Leonardo Cervera, secretario general del Supervisor Europeo de Protección de Datos (EDPS).
El RGPD prevé multas de hasta el 4% de la facturación mundial anual de una compañía, el tope sancionador más alto de su clase. Pese a ello, la tensión entre sanción económica y disuasión real atraviesa el debate europeo sobre cómo hacer cumplir la norma frente a compañías cuyos ingresos superan el de varios Estados. La discusión conecta con otros frentes en Bruselas sobre la capacidad de la Unión para hacer valer su marco regulatorio, en la línea de lo que Costa pide a la UE «fuerza, recursos y unidad» para dejar de solo reaccionar.
Preguntado por si la acumulación de iniciativas de simplificación puede debilitar la coherencia del marco europeo de protección de datos, Cervera se muestra partidario sin reservas, siempre que sea una simplificación auténtica. Invoca una máxima que atribuye a un antiguo jefe: lo que no se puede explicar en veinte minutos quizá no debería explicarse, y aplica ese criterio tanto a las leyes como a la comunicación institucional.
La figura del interés legítimo no es nueva en el debate comunitario: en 2014, el entonces Grupo de Trabajo del Artículo 29 —antecesor del Comité Europeo de Protección de Datos— ya publicó un dictamen que fijaba los criterios de proporcionalidad para invocarla, el mismo marco interpretativo al que el EDPS remite ahora para encajar el entrenamiento de la IA.
Cervera resume así la posición del EDPS de cara a la cumbre de Dublín, dentro de dos semanas, donde los jefes de Gobierno europeos deberán decidir cómo equilibrar innovación tecnológica y garantías para los ciudadanos: «En mi opinión personal, el RGPD, el Reglamento de Inteligencia Artificial y otras normas europeas son excesivamente largos y farragosos. Simplificar siempre es positivo».