La Inteligencia Artificial (IA) está experimentando un gran auge y su uso se está extendiendo, alcanzando un uso generalizado.

No obstante, el uso de la IA en la gestión de los procedimientos realizados en la Universidad de Cádiz (UCA) e incluso en los proyectos de investigación plantea numerosos desafíos cuando se usan datos personales. En especial, debe tenerse en cuenta que el uso de la inteligencia artificial en la gestión e investigación no supone un desplazamiento de la normativa de protección de datos, en especial de los principios recogidos en el artículo 5 del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD).

Hay que tener especialmente en cuenta que el uso de herramientas de IA puede suponer que se den transferencias internacionales de datos. Adicionalmente, pueden producirse tratamientos adicionales de datos personales cuando estos se usen en herramientas de IA.

Cuando se usen datos personales en herramientas de IA en los ámbitos propios de la Universidad de Cádiz, esto es, gestión, docencia e investigación, debe tenerse en cuenta que la herramienta de IA será, normalmente, un medio  para alcanzar una determinada finalidad dentro de un tratamiento de datos personales por lo que su uso deberá ajustarse a lo previsto en el RGPD, tanto en la aplicación de los principios como en la elección de un proveedor (encargado del tratamiento) que se ajuste a lo recogido en el RGPD.

A su vez, el uso de la IA en diversos ámbitos de la actividad de la UCA puede suponer que se den situaciones en que se produzcan  decisiones automatizadas o elaboración de perfiles. En este caso deberá tenerse en cuenta las previsiones del RGPD específicas para estas situaciones.

Con carácter general deben respetarse los principios recogidos en el RGPD y, en especial, los siguientes:

• Principio de licitud, lealtad y transparencia. En virtud del mismo, el tratamiento de datos personales
  • debe contar con una base legal clara,
  • debe haberse informado de manera clara a las personas afectadas
    • de que sus datos van a ser tratados por un sistema de IA,
    • de la finalidad para la que son tratadas,
    • de la lógica aplicada al tratamiento,
    • de los derechos que le asisten, especialmente de su derecho a obtener intervención humana real y eficaz en caso de que resulte de aplicación.
• Principio de minimización, de modo que únicamente se traten los datos estrictamente necesarios. Si es posible se usarán datos anonimizados o seudonimizados.
• Limitación del plazo de conservación, de modo que los datos personales se eliminen del sistema de IA tan pronto como sea posible.

Cuando el personal de la Universidad de Cádiz realice tratamientos de datos personales utilizando sistemas o herramientas de IA deberá tener en cuenta lo siguiente:

• Con carácter general, se evitará el uso de datos personales en herramientas y sistemas de IA. En su caso, únicamente se usarán aquellas herramientas de IA que hayan sido expresamente autorizadas por la UCA. Actualmente no se tiene noticia de que se haya autorizado ninguna herramienta o sistema de IA para su uso en tareas de gestión que incluyan datos personales.
• Únicamente utilizará la IA en aquellos tratamientos expresamente autorizados por la UCA para usar herramientas o sistemas de IA.
• Únicamente se utilizará la IA en aquellas fases del procedimiento que hayan sido expresamente autorizadas por la UCA.
• Cuando se usen datos personales en conjunción con sistemas o herramientas de IA, debe tenerse en cuenta el principio de minimización de datos, de modo que únicamente se utilicen los datos estrictamente necesarios para alcanzar la finalidad perseguida.
• Con carácter general, no se podrán incluir datos personales de categoría especial en herramientas y sistemas de IA. El uso de datos personales de categoría especial debiera estar expresamente autorizado por la UCA.
• Deben extremarse las precauciones para que de los datos personales utilizados no se pueden extraer conclusiones que afecten a categorías especiales de datos, como datos de salud, orientación sexual o vida sexual, opiniones políticas o convicciones filosóficas o religiosas de la persona afectada por el tratamiento.
• Debe tenerse en cuenta que las herramientas o sistemas de IA pueden presentar sesgos por efecto de los datos utilizados para su entrenamiento.
• Los resultados de las herramientas o sistemas de IA nunca pueden constituir por sí mismos la base para la toma de decisiones.

Con carácter general, se recomienda contactar con el Delegado de Protección de Datos antes de utilizar una herramienta o sistema de IA con datos personales, en especial si

• va a tratar datos de categoría especial (salud, orientación o vida sexual, afiliación sindical, opiniones políticas, convicciones religiosas o filosóficas)
• Del tratamiento de otros datos personales se pueden extraer conclusiones en relación con datos de categoría especial, como pueden ser opiniones políticas o filosóficas, necesidades de adaptación curricular o de medios.
• Se va a tener en cuenta para la toma de decisiones que afecten a una persona, como puede ser la evaluación o la exclusión de un procedimiento.

Para saber más

La Agencia Española de Protección de datos ofrece diversas guías relativas a la Inteligencia Artificial y la protección de datos personales. Un buen punto de partida puede ser el documento Mapa de referencia de tratamientos de datos personales.