Unitat 8. Intel·ligència artificial i protecció de dades
8.1 Què és la intel·ligència artificial?
Intel·ligència artificial és un concepte compost per dos elements: (i) intel·ligència i (ii) artificial.
La característica d’artificialitat concórrer quan el subjecte és una màquina enlloc d’un ésser humà.
No obstant, establir un llindar sobre quan aquesta màquina o dispositiu actua de forma intel·ligent és quelcom més ambigu i controvertit.
Alan Turing va contribuir a resoldre aquest aspecte considerant que un comportament/resultat que oferia una màquina era intel·ligent quan no es podia distingir del comportament o resultat que oferiria un ésser humà.
No obstant, aquesta aproximació és encara poc precisa i pot encabir-hi sistemes amb nivells d’intel·ligència molt dispars. Actualment, els sistemes d’IA fan les tasques per a les quals han estat dissenyats, moltes vegades amb una precisió més gran que els experts humans en la matèria. Ara bé, aquests sistemes no tenen utilitat fora de l’àmbit concret per al qual han estat dissenyats; és el que es coneix com a "IA feble".
En contraposició, la IA general es refereix a la capacitat d’un sistema per poder aprendre i portar a terme qualsevol tipus de tasca. En aquests moments encara no s’ha aconseguit aquest nivell de desenvolupament. Si es porta la IA general a l’extrem, es parla de la singularitat: el punt en què la IA superarà les capacitats de la intel·ligència humana i que hipotèticament podria tenir conseqüències imprevisibles.
8.2 La intel·ligència requereix d'un aprenentatge previ
8.2.1 Definició bàsica
El comportament “intel·ligent” per part de les màquines és el resultat que proporciona un determinat algoritme - entès com un conjunt de paràmetres – un cop se’l confronta amb una dada/conjunt de dades o situació concreta.
Però aquest algoritme només podrà proporcionar resultats veritablement intel·ligents (indistingibles dels que oferiria un humà) - sobretot si ha d’interactuar en entorns complexos i canviants ja que és molt difícil anticipar i programar tots els escenaris possibles i les corresponents respostes - si abans ha après adequadament de tal manera que s’han pogut ajustar els pesos i els paràmetres que configuren l’algoritme.
A títol d’exemple, imaginem que volem crear una aplicació d’intel·ligència artificial amb la qual competir jugant a escacs. Definim matemàticament la posició de les peces, els moviments permesos i la programem de tal manera que aleatòriament executi un moviment cada vegada que sigui el seu torn. És evident que el resultat que proporcionarà no podrà ser qualificat d’intel·ligent atès que es limitaria a seguir unes normes predefinides (no contravenir les regles del joc). Ara bé, si es fa evolucionar aquest algoritme ja sigui mitjançant proporcionant-li un seguit de moviments i els resultats obtinguts en funció de la posició de la resta de peces del contrincant o bé se’l fa jugar múltiples partides configurant prèviament que si li maten la peça és un factor negatiu i si ell aconsegueix matar una peça del rival és positiu, l’algoritme quan el confrontem a una nova partida haurà après a anticipar amenaces, a implementar estratègies pròpies de varis moviments i, sobretot, a ser flexible en funció de la situació de l’oponent (disposició peces i de cada moviment dut a terme). En termes més matemàtics, haurà incorporat factors que potser abans no tenia en compte així com atribuït “pesos” en el sentit de donar importància a cadascun dels seus paràmetres de manera molt acurada (és a dir, el factor positiu per matar una fitxa del contrari que inicialment potser era un factor determinant en si mateix, es veu reduït si aquest moviment implicarà que aquella peça quedi exposada i la guanyi el rival).
El factor més destacable és que per tal que l’algoritme evolucioni i sigui millor necessita de forma indispensable i crítica tenir accés a dades/informació. I, en termes generals, com més informació se li proporciona més aprèn i permet generar i fer precisos algoritmes especialment complexes com són les xarxes neuronals amb múltiples capes (que possibiliten el que es coneix com l'aprenentatge profund o deep learning.
En definitiva, el comportament global no és diferent del d’una persona humana. Doncs l’aprenentatge requereix indefectiblement que se’ns proporcioni informació ja sigui experimental o bé a través de mitjans de transmissió escrita com llibres. I, a més experiències i inputs d’informació rebuts un comportament més intel·ligent en principi serem capaços de mostrar.
De fet, les persones líders en el desenvolupament de la intel·ligència artificial, com és el cas del Sr. Oriol Vinyals, expliquen que la clau del salt qualitatiu que està experimentant aquest camp no és el del disseny algorítmic sinó la possibilitat de millorar aquests algoritmes a través de la seva exposició a grans conjunts de dades. La disponibilitat de les dades és doncs el factor més crític pel desenvolupament de la intel·ligència artificial. El boom que s’està experimentant actualment doncs ve explicat per una abundància d’informació com mai abans que s’ha generat a partir d’una societat cada vegada més digital.
En la il·lustració següent es pot observar que el temps mitjà entre els avenços i la disponibilitat de les dades és de “només” 3 anys, mentre que el temps mitjà entre els algoritmes aplicats per aconseguir els mateixos avenços i el moment en què aquests van tenir lloc és de 18 anys.
Això en caps vol dir que la tasca dels líders d’investigació en aquest camp no sigui extraordinària i resolgui aspectes d’extrema complexitat. De forma succinta apuntar per exemple que cal dissenyar adequadament els models ja que com més complexes – més paràmetres-, a priori, major capacitat per aprendre. Ara bé, si es dissenya un model algorítmic molt precís per resoldre un determinat problema específic és possible que llavors aquest mateix model no resulti útil per donar una resposta satisfactòria a problemes similars. A l’hora de fer aquesta tria, cal tenir en compte dos problemes potencials: l'underfitting i l'overfitting. Underfitting fa referència a un model que no és prou complex per modelar la relació entre entrades i sortida. Overfitting fa referència a la situació contrària: un model massa complex que, en comptes de modelar la relació entre entrades i sortides generals, captura bàsicament les especificitats de les dades d’entrenament.
És per això que abans d’aplicar el sistema, cal validar que funciona com s’espera sobre casos diferents dels de les dades d’entrenament. Això habitualment és fa dividint les dades en un conjunt d’entrenament i en un altre de test. El model s’ajusta a les dades d’entrenament i posteriorment es valida la precisió que ha tingut sobre les dades de test.
Oriol Vinyals. AI & BIG DATA CONGRESS 02: Keynote speaker. Deep Learning Toolbox el 2020
8.2.2 Diferents mètodes per a l'aprenentatge
Malgrat que les dades sempre és el factor clau, existeixen diferents estratègies per aconseguir que els algoritmes aprenguin, també en funció de si les dades (i) han estat prèviament tractades/etiquetades – aprenentatge supervisat-, són subministrades en brut o generades artificialment – per la identificació de patrons de manera no supervisada – o bé són autogenerades a partir de la interacció entre un agent autònom i l’entorn – aprenentatge per reforç-.
Per un major grau de detall en aquesta classificació:
Aprenentatge supervisat
En l’aprenentatge supervisat es dona al sistema unes dades d’entrenament amb uns valors d’entrada i uns de sortida; en diem "dades etiquetades". L’objectiu és que el sistema aprengui la relació entre valors d’entrada i de sortida.
Aprenentatge no supervisat
En l’aprenentatge no supervisat el sistema aprèn relacions a partir de dades que no han estat etiquetades prèviament. Amb aquest tipus de dades el sistema pot aprendre patrons, zones on hi ha més concentració de punts, etc.
Per exemple, si tenim dades de les compres dels clients d’un supermercat, el sistema podria aprendre quins tipus de productes s’acostumen a comprar conjuntament. Aquesta informació la pot explotar el supermercat de diverses maneres: per distribuir els productes al supermercat de manera que s’incrementin les vendes, per enviar-nos ofertes sobre productes relacionats amb la nostra cistella de compra, etc.
Aprenentatge per reforç
L’aprenentatge per reforç s’utilitza per entrenar agents intel·ligents. Amb el terme agent fem referència al fet que el sistema que percep l’entorn pren accions i veu quin és el resultat (premi o càstig) d’aquestes accions.
Per exemple, continuant amb l’exemple dels escacs. El sistema és capaç de percebre l’estat actual (la posició de les peces al taulell), pot moure una peça (perquè coneix les regles dels escacs) i veu quin és el resultat del moviment (pot determinar quan s’ha guanyat o s’ha perdut, però també si un conjunt de moviments ens apropa a un estat més o menys desitjable).
Durant l’aprenentatge per reforç, l’agent va explorant les diverses accions que es poden prendre en cada estat concret i ajusta la preferència que s’hi assigna segons com de desitjable sigui el resultat que s’obté en aplicar-les (AlphaZero).
En tot cas, és l’àmbit de com fer aprendre un dels camps més rellevants en les investigacions que es duen a terme. Així, més enllà d’aquesta primera aproximació més basada en les dades, s’utilitzen mecanismes que permeten optimitzar aquest feixuc procés.
Per exemple, sovint (sobretot en els camps del processament del llenguatge natural) s’utilitzen “transformers” que el que fan és principalment adaptar l’atenció del procés d’aprenentatge de tal manera que si les dades que s’introdueixen són una frase, el sistema ho processa de manera conjunta i no paraula per paraula; aproximació que li permet comprendre molt millor el significat. De fet, aquest tipus d’innovació ha fet possible l’aparició d’algunes de les solucions d’intel·ligència artificial generativa que s’abordaran a l’apartat següent, com és el xat GPT. De fet, GPT significa “Generative Pre-trained Transformer” ja que tècnicament es basa en un sistema que genera contingut en base a un model d’atenció prèviament entrenat amb grans volums d’informació disponible a la xarxa com pot ser la viquipèdia.
8.3 El gran potencial de la intel·ligència artificial: L'exemple de la intel·ligència artificial generativa
Un cop els algoritmes estan suficient i adequadament entrenats poden oferir resultats molt atractius en relació amb multitud de tasques.
Inicialment aquestes funcions se circumscrivien principalment a la presa de decisions (moviments en videojocs, conducció de vehicles autònoms, detecció de frau o de correu escombraria, identificació de faltes d’ortografia, traducció de textos en el sentit de correspondència d’informació etc). En tots aquests camps les aplicacions basades en intel·ligència artificial ja han demostrat com a mínim igualar i fins i tot superar els humans.
Ara bé, recentment han aparegut múltiples aplicacions basades en intel·ligència artificial que també han posat de relleu que és possible ja també gairebé igualar els humans en una tasca com és la creació/generació de nou contingut.
El màxim exponent d’aquesta nova onada d’innovació en l’àmbit de la intel·ligència artificial la constitueix el xat GPT (d’OPENAI) i probablement ben aviat s’hi unirà la solució Bard de Google. Tot i això, hi ha moltes altres aplicacions que comparteixen la possibilitat de creació de contingut no només textual sinó també gràfic com dall-e, stable diffusion o midjourney.
En definitiva, el potencial de la intel·ligència artificial és difícilment delimitable. I, en correlació amb aquesta circumstància, el seu atractiu difícilment resistible.
8.4 La protecció de dades personals i la IA
Tal i com s’ha exposat ja en la fase de desenvolupament d’una solució basada en intel·ligència artificial es tracten dades i, en el seu funcionament ordinari també ja que per tal que la solució pugui ser operativa caldrà subministrar-li noves informacions de tal manera que les processi mitjançant l’algoritme corresponent i proporcioni el resultat “intel·ligent” esperat.
En el supòsit que alguna d’aquestes informacions siguin sobre una persona física identificada o identificable s’estaran tractant dades personals. En concret, són dades personals, entre d'altres, el nom, un número d’identificació, dades de localització i altres dades que a priori potser no s’està acostumat a considerar personals, com ara dades de consum elèctric (segons la STS de 12 de juliol de 2019).
Així mateix, cal assenyalar que hi ha una tipologia de dades que són les que es consideren “de categoria especial” que correspon a les que revelen l'origen ètnic o racial, les opinions polítiques, les conviccions religioses o filosòfiques o l'afiliació sindical i que comprenen també les dades genètiques, les dades biomètriques destinades a identificar de manera unívoca una persona física i les dades relatives a la salut, a la vida sexual o a les orientacions sexuals d'una persona física. Les dades personals de categoria especial gaudeixen d’una protecció reforçada.
A l'últim, cal tenir present l’existència d’un component dinàmic en la determinació de si una dada concreta és personal o no. Així, en la mesura que una dada és personal quan és possible atribuir-la a una persona física o identificable, l’evolució de la tecnologia pot fer que una dada que en un moment determinat no era possible atribuir-la a una persona física en concret, posteriorment, sí que ho sigui.
Avaluació d’Impacte de Protecció de Dades (AIPD)
La intel·ligència artificial és considerada una tecnologia innovadora (emergent). I, de manera inherent a aquesta condició la seva utilització comporta riscos derivats d’aquesta falta de maduresa.
El dret a la protecció de dades determina (art. 35 del Reglament 679/2016) que, en particular, quan s’utilitzen noves tecnologies per dur a terme un tractament de dades del qual sigui probable que es pugui derivar un elevat risc per als drets i les llibertats de les persones físiques, amb caràcter previ a iniciar aquest tractament el responsable ha de fer una avaluació de l’impacte de protecció de dades (AIPD). En la mateixa línia, la proposta del Reglament d’intel·ligència artificial conté una referència expressa a les AIPD (art. 29.6).
El procés per dur a terme una anàlisi d’impacte consisteix, en un primer moment, en definir les dades que seran objecte de processament, el nombre de subjectes afectats pel processament, la font de les dades i fins a quin punt els ciutadans són coneixedors del tractament. En general, cal conèixer el conjunt de circumstàncies del processament per poder identificar adequadament el risc que implica.
Pel què fa als riscos, aquests no queden delimitats a l’àmbit de les pròpies dades personals sinó que s’ha d’interpretar com qualsevol impacte negatiu en termes de drets i llibertats.
A títol d’exemple, en el cas de la IA cal determinar si hi ha riscos de discriminació en els resultats que es derivin del tractament.
I, identificats aquests riscos, cal preveure mecanismes adequats que en permetin la gestió/mitigació. Aquestes mesures poden ser coincidents amb les mesures de seguretat que recull, per exemple, Esquema Nacional de Seguretat (en endavant, "ENS"). En qualsevol cas, cal tenir present que aquelles mesures que a partir de l’avaluació d’impacte de protecció de dades es considerin necessàries s’hauran d’aplicar amb independència que l’ENS no les fes exigibles a partir de la categoria / importància del sistema al qual s’han d’aplicar (art. 3 ENS).
En el supòsit que de l’avaluació d’impacte de protecció de dades es desprengui que el tractament pot comportar un elevat risc per als drets i les llibertats si el responsable no adopta mesures per mitigar-lo, el responsable necessàriament ha de consultar l’autoritat de control (ex article 36 del Reglament 679/2016) amb caràcter previ a iniciar-lo i l’autoritat de control podrà exigir noves mesures o reconfiguracions del tractament o, fins i tot, concloure que no es pot dur a terme.
Licitud, limitació de la finalitat i lleialtat
Derivat del gran potencial de les dades (i en particular de les dades personals) hi ha un elevat desig, en especial per part d’entitats que empren tecnologies emergents i IA, per recopilar i tractar dades personals.
Ara bé, per poder recopilar i tractar dades personals és necessari que concorri una de les condicions de licitud establertes per l’article 6 del Reglament 679/2016 i, en cas que es tracti de dades de categoria especial, a més, cal que hi hagi una de les circumstàncies incloses a l’article 9.2 del Reglament 679/2016.
Amb caràcter previ a la determinació de la licitud, cal haver definit de manera adequada i precisa la finalitat perseguida amb el tractament, en tant que resulta imprescindible per poder establir quina o quines bases de licitud poden fonamentar el tractament. Aquesta tasca de definició de la finalitat constitueix un repte particularment rellevant en el marc de les tecnologies emergents i la IA, atès que, d'una banda, el conjunt de dades pot ser emprat per a múltiples finalitats i, de l'altra, les tecnologies emergents i la IA també es caracteritzen per la seva potencial aplicació a múltiples àmbits.
En concret, la dificultat de determinar l’objectiu perseguit és més elevada quan s’utilitzen algoritmes que s’entrenen en un entorn d’aprenentatge no supervisat i extreuen informació de les dades (patrons, correlacions, etc.), ja que, en tant que aquesta informació no es coneix per avançat, es pot posar en dubte si es compleix la limitació de finalitat que difícilment s'haurà pogut determinar amb precisió.
Un altre supòsit especialment sensible des de l’òptica de la protecció de dades consisteix en la reutilització de les dades recollides per part d’un altre agent econòmic amb una finalitat diferent de la que inicialment va permetre obtenir aquella informació. Es tracta d’una situació que contravindria diferents principis, com ara el de la licitud, el de la limitació de la finalitat i el de la lleialtat, de manera que, malgrat els avantatges evidents que podria comportar per a les corporacions, no seria possible en termes generals.
I és que, tot i la versatilitat de les dades i de les tecnologies per explotar-les, cal ser precís en la determinació de la finalitat perseguida, una precisió que, a més -en virtut del principi de lleialtat i de limitació de la finalitat-, cal que es mantingui a cada moment; és a dir, l’ús que es fa de les dades ha de ser previsible per als ciutadans a cada moment. Per tant, qualsevol modificació requereix que es replantegi integralment la base de licitud que justifica el tractament i que es comuniqui adequadament als titulars de les dades.
Val a dir que en l’apartat b in fine de l’article 5 hi ha una excepció a aquesta limitació de la finalitat quan la “nova” finalitat que es pretén dur a terme consisteix en una finalitat de "recerca científica o històrica, o amb finalitat estadística” i en el considerant 159 del Reglament 679/2016 s’assenyala que el concepte de "recerca científica” s’ha d’interpretar de manera àmplia de tal manera que, per exemple, comprèn “el desenvolupament tecnològic i la demostració, la recerca fonamental, la recerca aplicada i la recerca finançada pel sector privat”. En conseqüència, es podrien reutilitzar dades, per exemple, en l’àmbit de la IA si es pot sostenir de manera reeixida que la tasca que es pretén dur a terme és assimilable al concepte de "recerca científica”.
Minimització
El principi de minimització determina que les dades utilitzades en un tractament han de ser adequades, pertinents i limitades a allò estrictament necessari per assolir la finalitat del tractament.
Particularment en l’àmbit de la IA, l’aplicació d’aquest principi és especialment delicat, ja que un funcionament adequat de la IA depèn en gran manera de les dades que es proporcionen al sistema per ser entrenat. Així, a priori, com més volum de dades millor ha pogut aprendre el sistema i, per tant, més fiables/acurades són les seves previsions.
Per tant, disminuir el volum de dades per sota d’un determinat nivell pot implicar una relativa pèrdua en termes de precisió estadística i comportar que apareguin certs biaixos i discriminacions que, en el marc d’un elevat volum de dades, quedin diluïts.
Tot i això, aquesta reflexió no implica de cap manera que no s'hagi d’aplicar el principi de minimització, sinó que el repte és trobar el punt d’equilibri adequat en termes de protecció de dades i d’adequat funcionament de la IA, de tal manera que es pugui concretar que únicament es poden recopilar i tractar les dades que es considerin indispensables.
Per valorar adequadament aquesta “necessitat” o “indispensabilitat” és imprescindible tenir clarament definida la finalitat perseguida, ja que l’anàlisi consisteix precisament a contraposar les dades en relació amb l’objectiu a assolir i, en concret, preguntar-se si la informació és necessària/indispensable per poder-lo aconseguir. Ara bé, tal com s’ha apuntat prèviament, la determinació de la finalitat és particularment complexa atesa la versatilitat de les dades i de les tecnologies emergents (i la IA).
Des d’un punt de vista tècnic, hi ha diverses tècniques que permeten reduir/minimitzar l’ús de dades personals, però en destaca l’ús de dades sintètiques (dades artificials que reprodueixen les característiques de les dades originals) o dades anonimitzades (dades en què s’ha trencat l’enllaç amb la persona que les ha originat). En tots dos escenaris la implantació de les tècniques indicades possibilita dur a terme el processament de dades sense ni tan sols utilitzar dades personals, ja que en ambdós casos no hi ha vincle entre la informació i persones concretes.
Dret a la intervenció humana
Certes aplicacions prenen decisions fent ús d’IA.
Així, per exemple, es poden utilitzar sistemes d'avaluació (scoring) de crèdit per determinar la concessió o no d’un crèdit o emprar sistemes de classificació automàtica per preseleccionar candidats per a un determinat lloc de feina.
Emprar algoritmes per prendre decisions com a substitut de raonaments humans implica un cert risc inherent propi de l’ús de tecnologies emergents i, en particular en el cas de la IA, de garantir que els resultats són adequats (algoritmes prou entrenats i generals per ser aplicables a diferents supòsits) i que no responen a biaixos o discriminacions.
Doncs hi ha diferents circumstàncies que poden comportar que la implementació d’aquest tipus de solucions comportin discriminacions; essencialment: (i) dades d’entrenament esbiaixades o desequilibrades i (ii) ús d’un model d’IA inadequat. I, fins i tot si es fés tot bé, seria poc probable que tothom considerés que el sistema funciona adequadament. El principal problema és que cada part interessada pot tenir un concepte diferent sobre l’equitat i que no és possible satisfer totes les visions alhora.
El sistema de predicció de reincidència criminal COMPAS il·lustra aquesta dificultat. L’objectiu de Northpointe, el desenvolupador, és obtenir la màxima precisió i entrenar el sistema perquè no hi hagi biaix estadístic (d’un grup de persones classificades amb un tant per cent de risc de reincidència, reincideixen exactament el tant per cent de persones). D’altra banda, ProPublica argumenta que COMPAS discrimina perquè la taxa de falsos positius és el doble per a les persones negres. És a dir, que les persones negres que no reincideixen tenen gairebé el doble de probabilitats de ser classificats erròniament com d'alt risc. Aquest tracte diferencial es produeix encara que la raça no s'inclou entre els atributs que tracta COMPAS. El problema és que són dos objectius incompatibles; evitar el tracte diferencial condueix a una reducció en la precisió del sistema. El compromís que ha d’adoptar el sistema és, per tant, una qüestió que s’ha d’abordar des d’un punt de vista ètic, tenint en compte els drets de les persones afectades.
A més, l’ús de sistemes automatitzats implica la inexistència d’intervenció humana, circumstància que, al seu torn, impossibilita la persona afectada per la decisió d’efectuar un raonament per rebatre-la. Sovint, ni tan sols és possible conèixer detalladament com el sistema de decisió automatitzada ha arribat a aquella decisió (no és explicable).
En atenció a aquestes circumstància, l’article 22 del Reglament 679/2016 estableix el dret “a no ser objecte d’una decisió basada únicament en el tractament automatitzat, incloent-hi l’elaboració de perfils, que produeixi efectes jurídics en ella o l’afecti significativament de manera similar”. És a dir, en els casos que la decisió automatitzada comporti efectes significatius per a les persones cal que hi hagi intervenció humana.
Dret a la transparència
Tot i que sovint s’indica que l’article 22 ofereix protecció específica davant de decisions automatitzades, cal no ometre altres proteccions que també es projecten enfront d’aquest tipus de decisions els principis com són aquelles que deriven dels principis de protecció de dades (art. 5 del Reglament 679/2016) i, entre aquests, el primer que estableix el principi de transparència en relació amb l’interessat (que es desenvolupa als art. 13 i 15 del propi Reglament).
La transparència és un dels pilars bàsics del dret a la protecció de dades, ja que es tracta d’una condició necessària perquè els ciutadans puguin exercir els drets, ja que si no coneixen a quins tractaments són sotmeses les seves dades no podran, per exemple, oposar-s’hi.
Aquest principi pren una rellevància especial en l’àmbit de l’aplicació d’algoritmes que prenen decisions, fins i tot quan a priori no tenen efectes jurídics per als ciutadans. El motiu és que l’asimetria informativa entre els usuaris i el funcionament de l’algoritme és molt significativa.
Actualment, la complexitat dels models més utilitzats fa que no sigui possible donar una explicació del perquè d’un resultat concret. Per exemple, hi ha models basats en aprenentatge profund que utilitzen bilions de paràmetres. Davant la incapacitat d’entendre el funcionament d’aquests sistemes tan complexos, es diu que funcionen com una caixa negra: sabem l’entrada i la sortida, però no com es genera la sortida a partir de l’entrada.
Aquesta asimetria informativa també va ser evident per Sergey Brin i Lawrence Page (creadors de Google): en el document universitari on van presentar Google van dedicar l’apèndix A a advertir sobre els riscos derivats del fet que, fins i tot per als experts, resultava extremadament difícil poder determinar quan un cercador tenia un biaix, de tal manera que qui gestionés el cercador podria, per exemple, decidir no publicar una notícia dels riscos d’utilitzar el telèfon mòbil mentre es condueix perquè un dels seus anunciants és una important companyia de telefonia mòbil i ometre la informació o relegar-la a posicions més amagades entre els resultats mostrats.
The Anatomy of a Large-Scale Hypertextual Web Search Engine
També prenent en consideració aquesta circumstància, el Reglament 679/2016 conté diverses determinacions relatives a la transparència en la presa de decisions automatitzades. Ja al considerant 71 es reconeix el dret a “rebre una explicació de la decisió adoptada” i als articles 13.2.f i 14.2.g, el dret a obtenir la informació significativa sobre la lògica aplicada així com la importància i les conseqüències previstes del referit tractament per a l’interessat. Tot i que, com s’ha assenyalat, explicar adequadament la lògica que ha conduït a adoptar una decisió automatitzada és particularment complex.
A l'últim, cal indicar que el Future of Privacy Forum recentment ha fet públic un estudi sobre la jurisprudència rellevant en relació amb la presa de decisions automatitzades, en el qual, entre altres aspectes, s’analitzen els llindars per a l’aplicabilitat de l’article 22 del Reglament 679/2016 en el sentit d’interpretar quan una decisió es basa únicament en criteris automatitzats i quan es considera que la decisió comporta efectes jurídics o una afectació significativa de manera similar.
El conjunt de principis de la protecció de dades
Tot i les 5 mesures de protecció en l’àmbit de protecció de dades que es consideren especialment destacables cal no obviar el conjunt de principis que determinen com cal dur a terme un tractament de dades personals i que també s’erigeixen com a elements de protecció envers els titulars d’aquestes dades.
A més, cal tenir en compte que, d’acord amb la noció de la protecció de dades des del disseny i per defecte, és imprescindible garantir en tot moment - ja des del disseny de l’aplicació - la satisfacció de les obligacions que dimanen dels principis relatius al tractament que estan recollits expressament a l’article 5 del Reglament 679/2016. En concret, partint d'aquests principis, les dades personals han de ser:
• a. Tractades de manera lícita, lleial i transparent en relació amb l'interessat (“licitud, lleialtat i transparència”).
• b. Recollides amb finalitats determinades, explícites i legítimes i posteriorment no s’han de tractar de manera incompatible amb aquestes finalitats (“limitació de la finalitat”).
• c. Adequades, pertinents i limitades a allò que és necessari en relació amb les finalitats per a les quals es tracten (“minimització de dades”).
• d. Exactes i, si cal, s’han d’actualitzar (“exactitud”).
• e. Conservades de manera que permetin identificar els interessats durant un període no superior al necessari per a les finalitats del tractament de dades personals (“limitació del termini de conservació”).
• f. Tractades de manera que se’n garanteixi una seguretat adequada (“integritat i confidencialitat”).
Precisament el suposat incompliment d’aquests principis per part de la coneguda aplicació ChatGPT d’Open AI és el que ha conduït recentment a l’Autoritat de Protecció de dades Italianaa determinar la suspensió d’aquest servei en territori Italià i ha propiciat la creació d’un grup de treball per part de l’European Data Protection Board, que l’Autoritat Espanyola de Protecció de Dades hagi obert una investigació i que l'Autoritat Catalana de Protecció de Dades hagi recomanat que no s'incorpori l'aplicació ChatGPT en la prestació de serveis públics quan es tractin dades personals.
8.5 Consideracions finals. La protecció de dades: la millor protecció davant dels riscos que planteja la intel·ligència artificial
El potencial rendiment en termes d’utilitat que ofereix la intel·ligència artificial és de tal magnitud que resulta difícilment resistible i per tant no fer-ne ús.
No obstant s’ha d’evitar que aquest atractiu impedeixi apreciar-ne també els riscos que li són propis com poden ser, des d’un punt de vista específic, les notícies falses que es poden crear a partir de les solucions d’intel·ligència artificial generativa o, des d’una perspectiva més general, el risc per molts dels nostres drets i llibertats.
Aquestes amenaces en alguns casos ja s’han materialitzat, ja sigui a través de sistemes complexos -com el del crèdit social implantat a la Xina-, com mitjançant aplicacions més senzilles -els sistemes de recomanació de contingut digital que pot donar lloc al filtre bombolla o els sistemes de publicitat personalitzada que poden condicionar el resultat d’eleccions polítiques, com va fer evident el cas de Cambridge Analytica.
Crèdit social xinès
La Xina fa un ús molt invasiu de la IA per controlar la població. El conegut sistema de crèdit social aplica una vigilància massiva (tant en línia com a la via pública amb càmeres que utilitzen reconeixement facial). Del perfilatge de les persones es deriva una puntuació que s’utilitzarà per premiar o per castigar. Per exemple, el teu crèdit social pot determinar si pots viatjar, si tens accés a certes escoles o universitats, etc.
Filtre bombolla
Els sistemes de recomanació han estat un gran èxit comercial. Per exemple, s’utilitzen en les plataformes de vídeo per recomanar-te pel·lícules o en una botiga en línia per recomanar-te determinats articles de consum. Tot i que aquests usos no presenten gaires problemes, és clar que limiten les possibilitats d’elecció de les persones, ja que, en ser presentades amb unes opcions més destacades, els estan guiant cap a aquestes. L’objectiu és obvi: incrementar el consum.
No obstant això, hi ha usos dels sistemes de recomanació que són especialment problemàtics. Per exemple, l'ús en la recomanació de notícies. Actualment, una gran part de la població accedeix a les notícies virtualment, de manera que és possible mostrar un contingut diferent a cadascú en funció del seu perfil. Ara bé, quan aquesta personalització és massa intensa, pot ser que a aquesta persona només se li presenti una part de la realitat, probablement la que s’ajusta més a la seva manera de pensar, de manera que és possible que acabi radicalitzant-la (ja que ni tan sols entra en contacte amb visions alternatives).
Cas Cambridge Analytica
El 2014, Cambridge Analytica va recollir dades de milions de persones sense el seu consentiment i les va utilitzar per donar suport a la campanya electoral de Trump.
Les dades es van recollir a través de l’app “This is your digital life”. En principi aquesta era una app que permetia respondre a un qüestionari que s’utilitzaria amb finalitats acadèmiques. Es va pagar a unes desenes de milers de persones per fer el qüestionari. En realitat, l’app va recollir la informació del perfil no només d’aquestes persones, sinó també dels seus amics, de manera que va donar lloc a una violació de la privacitat que va afectar més de 80 milions de persones.
Les dades es van utilitzar a la campanya electoral de Trump per personalitzar la publicitat electoral que es feia arribar a cada potencial elector, fent èmfasi en les coses que, segons el seu perfil, podien preocupar més a cadascú.
La primera notícia del que va acabar sent un escàndol va aparèixer al diari britànic The Guardian al final del 2015. Més endavant, el 2018, un extreballador de Cambridge Analytica va revelar els detalls del cas.
Facebook va ser conscient de la filtració massiva de dades des del 2015 però no va fer res per mitigar els riscos que se'n van derivar. El cas va acabar amb la imposició d’una multa milionària per a Facebook i amb la desaparició de Cambridge Analytica.
En tot cas, Cambridge Analytica no és l'única empresa que feia publicitat dirigida en funció del perfil psicològic de les persones. Va ser la magnitud de l’assumpte el que va fer que el cas de Cambridge Analytica captés l’atenció mediàtica en l'àmbit internacional.
Així doncs, tot i l’enorme potencial positiu que pot derivar de l’adopció de tecnologies emergents i de la IA, cal ser molt prudent a l'hora d'implementar-les i sempre considerar-ne els significatius riscos que pot implicar en relació amb el conjunt de drets i llibertats dels ciutadans, que, només a partir dels tres exemples citats, ja s’observa que podrien afectar drets tan essencials com la llibertat d’informació, la democràcia o la pròpia llibertat de les persones en el sentit més ampli del terme.
Aquesta prudència requereix valorar de manera crítica i detinguda l’adopció d’aquestes tecnologies i també adoptar mesures de protecció adequades. Entre les mesures de protecció destaca la preservació de les dades personals, ja que, tal com s’indicava a l’inici d’aquest apartat, les dades són un input essencial de la IA. Així mateix, cal tenir present que darrere de cada dada personal hi ha sempre una persona.
En definitiva, les teves dades són els teus drets. Protegir-les implica preservar el conjunt de drets i llibertats, ja que necessàriament limita l’impacte negatiu que pot comportar la implantació de les tecnologies emergents com és la IA.
I, com a primer pas per aconseguir una protecció adequada, és especialment útil estar al dia de les novetats de la regulació de les tecnologies emergents i en particular de la IA, com ara la inicial proposta europea de regulació de la intel·ligència artificial juntament amb les últimes modificacions introduïdes, les principals decisions –com les que publica el Comitè Europeu de Protecció de Dades-, així com les guies o treballs que confeccionen el Supervisor Europeu de Protecció de Dades o les diferents autoritats de protecció de dades com l’anglesa o la catalana.
