Así es la ley con la que el Gobierno quiere regular la IA y que preocupa a la máxima autoridad en protección de datos: "La sociedad debe estar vigilante"

El Consejo de Ministros aprobó a finales de mayo el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, y ha sido este viernes 12 de junio cuando el Boletín Oficial de las Cortes Generales (BOCG) ha publicado su texto íntegro. De esta forma se levanta el telón sobre una norma llamada a adaptar a la legislación española el esperado Reglamento de Inteligencia Artificial, ya vigente en la Unión Europea.

Precisamente esa norma, de la que hasta ahora se conocía el anteproyecto, ya había levantado algunas suspicacias. Esas cejas arqueadas se han visto sobre todo en la Agencia Española de Protección de Datos (AEPD), una de las principales autoridades en materia de privacidad y organismo independiente y garante del cumplimiento del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica análoga.

En una reciente entrevista con El HuffPost, el presidente de la AEPD, Lorenzo Cotino, ya advertía de los temores que el organismo mantenía con esta nueva norma que necesitará una complicada mayoría absoluta en el Congreso de los Diputados al tratarse de una ley orgánica. La iniciativa apenas ha echado a andar en Cortes e introduce bastantes cambios de calado con respecto al anteproyecto.

"En la AEPD estamos preocupados"

La AEPD manifestó su preocupación por lo que había trascendido hasta la fecha sobre este proyecto legal en una entrevista con El HuffPost realizada el martes pasado. En ella, el presidente de la Agencia, Lorenzo Cotino, advertía que el Reglamento de Inteligencia Artificial europeo y el anteproyecto flexibilizaban el uso de sistemas de reconocimiento facial en espacios públicos y vía pública.

"Hay otras regiones del mundo, tanto democráticas como no democráticas, en las que los sistemas de reconocimiento facial están generalizándose", advertía Cotino, al tiempo que reconocía que en Europa este despliegue se había conseguido contener. "Pero no diría mucho más que contener", abundó. "No deberíamos relajarnos mucho". 

El despliegue de tecnologías de esta naturaleza requiere de garantías y de que haya organismos que velen por esas garantías. "La sociedad española debería reflexionar" sobre ello, enfatizó el presidente de la AEPD, "justo ahora en un proceso legislativo como el que estamos", adujo en referencia a este trámite parlamentario. "Aunque no se está llegando tan lejos como en China o en EEUU, aquí va a haber reconocimiento facial en espacios públicos y en establecimientos públicos. Y eso necesita garantías".

Esas garantías "las pone el Reglamento de IA en parte y también las debe poner la ley española". "Debería haber autoridades expertas, autoridades de protección de datos como la AEPD o las autonómicas, que sean competentes para los usos que se van a dar de IA. En ese sentido, en la AEPD estamos preocupados. No parece en el último anteproyecto que se vaya a atribuir esas competencias a las autoridades que tenemos el conocimiento y las capacidades".

Qué hará la AEPD y qué cambios introduce el proyecto legal

Finalmente el tenor literal del nuevo proyecto de Ley Orgánica estipula qué competencias tendrá la AEPD. El texto, que recibirá enmiendas del resto de grupos parlamentarios y por lo consiguiente puede sufrir modificaciones, designa a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como la responsable de vigilar a los sistemas de alto riesgo.

En cambio, a la AEPD se queda con la atribución de vigilar los sistemas IA de alto riesgo que recopilen datos biométricos (iris, voz, huellas dactilares...) y escrutar que no se despliegan modelos prohibidos por el reglamento que para funcionar supongan la creación de bases de datos de rostros recopilando fotos de internet o de cámaras de vigilancia.

¿Suficiente? Algunas voces del mundo jurídico resaltan la gran diferencia que existe a día de hoy entre la AESIA y la AEPD. La primera, al tratarse de una agencia de reciente creación, apenas ha mostrado (hasta la fecha) la capacidad que la AEPD tiene (en funcionamiento desde hace 25 años) de marcar jurisprudencia y dictar resoluciones a un ritmo casi frenético. Un extremo que la propia AEPD lamentaba en su entrevista con El HuffPost, en tanto que sus recursos apenas han crecido frente al ritmo que aumentan las reclamaciones.

Si bien el proyecto ahora conocido refuerza el papel de la AEPD con respecto a lo visto en el anteproyecto, este no es el único cambio. Las autoridades de vigilancia participarán de una comisión mixta de coordinación (que ahora pasa a ser "de colaboración") que liderará la AESIA y en la que participará al AEPD, el CGPJ y otros organismos públicos.

También desaparece una disposición adicional vista en el anteproyecto que estipulaba cuándo los jueces de lo contencioso podrían autorizar el uso policial de sistemas de identificación biométrica remota en tiempo real en espacios públicos (en casos de secuestros, búsquedas de homicidas, terrorismo, etc).