Comentarios sobre las Circulares Externas 002 y 003 de la Superintendencia de Industria y Comercio
Por: Alejandra Soler y Andrés Umaña
La Superintendencia de Industria y Comercio, como autoridad de protección de datos, expidió hace unos días la Circular 002 de 2024, con el propósito de dar lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial, y la Circular 003 de 2024 con el propósito de aclarar el rol de los administradores en el marco del cumplimiento de las normas de privacidad e instruirlos al respecto. Si bien celebramos la expedición de estas regulaciones, nos permitimos formular algunas críticas que esperamos enriquezcan su discusión.
Las Circulares no cumplen su cometido de lograr “certidumbre” para los administradores de datos personales y “seguridad” para los Titulares; por el contrario, los lineamientos dejan más dudas que respuestas. Estas imprecisiones son las que merecen la mayor atención. La más preocupante de ellas se encuentra, no en las instrucciones, sino en el comentario final de la Circular 003. La Superintendencia dice que los administradores serán corresponsables del tratamiento de la persona jurídica cuando “en conjunto con la persona jurídica determinen, respecto de unas operaciones de tratamiento específicas, los fines o los medios sobre la base de datos y/o el tratamiento de los datos”. Como bien lo anota Andrés Ángel en su reciente artículo en LinkedIn1, la Superintendencia parece parafrasear el concepto de corresponsabilidad del Reglamento General de Protección de Datos Personales de la Unión Europea, pero al hacerlo omite que el Comité Europeo de Protección de Datos, en su Opinión 7 de 2020, aclaró que (i) el tratamiento hecho por los empleados de una persona jurídica se presume realizado “bajo el control de dicha organización” (es decir, la persona jurídica se mantiene como responsable y no el empleado; y (ii) que el empleado se hace responsable sólo cuando éste use los datos para sus propios fines y extralimitándose en sus funciones de manera ilícita2.
Además, la legalidad del alcance de los lineamientos fijados por vía de las Circulares no es clara. La corresponsabilidad de los administradores societarios implica la aplicación de todas las reglas aplicables a los responsables, incluido, por ejemplo, el régimen sancionatorio. ¿Puede una circular administrativa extender la aplicación de un régimen sancionatorio a quien no fue dirigido en la ley? Esa pregunta es sustancial y no es respondida.
La segunda imprecisión tampoco está en las instrucciones sino en las consideraciones de la Circular 002 sobre el entrenamiento de sistemas de IA. Después de recordar el principio de responsabilidad demostrada, la SIC trae a colación el ya conocido concepto de “privacidad desde el diseño y por defecto” para decir que “esto implica que en el momento de hacer analítica de datos para entrenar una máquina con inteligencia artificial se deberán aplicar técnicas matemáticas que impidan identificar a la persona que proporciona la información. Con esto se busca prevenir niveles de riesgo no aceptables, por su impacto al vulnerar el consentimiento de los Titulares… el debido Tratamiento de la información debe ser un componente esencial del diseño y puesta en marcha de proyectos de IA”. Múltiples dudas surgen inmediatamente. ¿Sólo las técnicas matemáticas son medidas efectivas para proteger los datos? Eso no se desprende necesariamente del principio de privacidad desde el diseño y por defecto. Más grave aún, ¿Está diciendo la Superintendencia que todo entrenamiento de sistemas de IA supone impedir “identificar a la persona que proporciona la información”? ¿En qué momento? ¿Al momento de entrenar el sistema, en la entrada de los datos? ¿O en sus resultados? En cualquier caso, es una afirmación confusa que desconoce que existen muchos usos de sistemas de IA que no requieren anonimización o pseudonimización pues tratan datos personales. Incluso si así debiera interpretarse, esa afirmación no tiene sustento normativo, pues estas medidas técnicas no están impuesta como una obligación general y explícita en la regulación colombiana.
Pero entonces cabría preguntarse: ¿Está hablando únicamente la SIC del entrenamiento de sistemas de IA a través del raspado de datos (scraping) de Internet? O, lo que sería más grave aún, cómo está interpretando los principios de autorización y finalidad en el contexto del entrenamiento de sistemas de IA? Y qué decir de la necesidad de los sistemas de IA de ser reentrenados de manera permanente para su mejoramiento? Finalmente, debe destacarse que la privacidad desde el diseño y por defecto no necesariamente implica que los datos tengan que ser anónimos o seudónimos, ni mucho menos que lo tengan que ser en todo momento, como parece insinuar la SIC. Este principio es tan sólo un principio orientador en el diseño de sistemas que tratan datos personales, pero no es ni un estándar que esté formalizado ni un principio del que se desprendan obligaciones concretas en cuanto a la anonimización de los datos.
Las Circulares son también vagas en varios de los lineamientos. La novedad más importante de la Circular 002 tal vez sea la “obligatoriedad” de los estudios de impacto de privacidad para ciertos sistemas de IA. Esta figura, traída de la normativa europea3, fue introducida en Colombia por la Superintendencia formalmente como una recomendación en la Guía Para la Implementación del Principio de Responsabilidad Demostrada para Transferencias Internacionales de la Superintendencia de 2019 y 20214 y desde entonces se ha incluido en múltiples documentos como una recomendación general para responsables y encargados5. La Circular 003 así lo hace también6. Sin embargo, la Circular 002, en su instrucción IV, establece que “será necesario” realizar estos estudios para desarrollos de IA en los que sea “probable que los productos realizados… entrañen un alto riesgo de afectación a los Titulares” y establece su contenido específico como obligatorio. Pero el alcance de la obligación es difícil de concretar, al no definir términos fundamentales como “probable”, no calificar dicha probabilidad y hablar de “riesgo de afectación” en lugar de “daño”. Finalmente, la SIC habla de “productos realizados” sin aclarar si se trata del fabricante del modelo o de quien lo está entrenando para fines propios, entre otros. La complejidad de estas definiciones, por su amplio impacto en lo que será la normativa de la IA en el país, no debe surgir de una circular administrativa.
Un segundo ejemplo de vaguedad es el comentario de la Circular 002 en el que señala que los datos públicos no son recursos públicos. Las implicaciones de este comentario están aun por definirse, pues el alcance de lo que puede ser usado o no para el entrenamiento de sistemas no ha sido claramente definido.
Un tercer ejemplo es la instrucción II de la Circular 002 establece que si hay “falta de certeza” sobre los “potenciales daños que puede causar el Tratamiento de Datos personales”, los administradores de datos personales “deberán abstenerse de realizar dicho tratamiento (…) o adoptar medidas precautorias o preventivas para proteger los derechos del Titular del dato, su dignidad y otros derechos humanos”. ¿Qué significa que haya “falta de certeza” sobre los “potenciales daños”? ¿No es siempre ese el caso cuando se trata de un proyecto de IA que trata datos personales? La cuestión sería más preocupante si no fuera porque la consecuencia para la Superintendencia de esa falta de certeza es algo ya dispuesto en las normas y conocido por todos, a saber, la necesidad de tomar medidas preventivas para proteger los derechos del Titular del dato.
En cualquier caso, son pocas las novedades que traen las Circulares. La Circular 002 da 10 instrucciones a los ciudadanos para el uso de datos personales en sistemas de inteligencia artificial. De ellas, 3 (las instrucciones V, VII y VIII) son copias literales o parafraseos de artículos de la ley 1581 de 2012, y 4 son reiteraciones de pronunciamientos anteriores de la SIC, como los hechos en la Guía de Responsabilidad Demostrada (Instrucciones I, II y III y IX) y en pronunciamientos anteriores. Con excepción de la instrucción IV, lo mismo hace la Circular 003 en sus instrucciones. Creemos que la Superintendencia perdió una gran oportunidad de dar pautas más amplias para el desarrollo de proyectos de IA. Extrañamos, por ejemplo, referencias a la interpretación del principio de finalidad y los usos compatibles.
Un comentario final sobre la estrechez del ámbito de aplicación de las Circulares. No cabe duda de que la Inteligencia Artificial ha capturado la atención del público y de los medios de comunicación en los últimos dos años, pero lo cierto es que buena parte, si no todas, las instrucciones impartidas por la Superintendencia deberían de aplicarse a otras tecnologías, procesos y disciplinas que se usan para procesar masivamente datos personales. Basta sólo mencionar que las técnicas común y genéricamente denominadas como Big Data, precursoras de la IA, llevan en el mercado más de 20 años. ¿Por qué limitarla a los proyectos de IA?
En principio, todo tratamiento de datos personales realizado por empleados en el ámbito de las actividades de una organización se presumirá realizado bajo el control de dicha organización. No obstante, es posible que, en casos excepcionales, un empleado decida usar datos personales para sus propios fines, extralimitándose de manera ilícita en el ejercicio de las funciones que se le hubieran atribuido (p. ej., con vistas a crear su propia empresa o algún fin similar). Por tanto, recae en la organización, en calidad de responsable del tratamiento, el deber de asegurar que se hayan aplicado medidas técnicas y organizativas apropiadas, incluyendo, p. ej., la prestación de formación e información a los empleados con vistas a garantizar el cumplimiento del RGPD. (disponible aquí).
Véase el artículo 35 del Reglamento General de Protección de Datos.
El artículo 2.2.17.5.2. del Decreto 620 de 2020 ha sido tal vez el único que ha impuesto una evaluación, pero esta era una obligación limitada a los prestadores de servicios ciudadanos digitales.
La instrucción IV los pone como un ejemplo y el contenido de los mismos no parece obligatorio sino que la Superintendencia habla de lo que “podrían” incluir.