Diego Fierro Rodríguez
Letrado de la Administración de Justicia
Ministerio de Justicia de España
I. La génesis de un puente conceptual
Resulta fascinante observar cómo en el complejo entramado normativo europeo ha surgido recientemente una propuesta que pretende tender puentes donde antes solo veíamos abismos. Me refiero al documento «The Bridge Blueprint», que en su versión preliminar busca conciliar dos regulaciones aparentemente contrapuestas: el Reglamento General de Protección de Datos y el Reglamento de Inteligencia Artificial. Al leerlo, uno tiene la impresión de estar ante un esfuerzo genuino por superar esa dicotomía artificial que enfrenta innovación tecnológica con protección de derechos fundamentales.
Desde mi perspectiva, lo más valioso de esta iniciativa es que reconoce una verdad incómoda: el debate europeo sobre inteligencia artificial había caído en una trampa dialéctica. Nos habíamos acostumbrado a pensar en términos de «o esto o lo otro», cuando la realidad es mucho más matizada. Recuerdo, por ejemplo, el caso de una startup alemana que desarrollaba sistemas de diagnóstico médico con inteligencia artificial. Sus fundadores me comentaban cómo se sentían atrapados entre la necesidad de procesar grandes volúmenes de datos para garantizar la precisión de sus algoritmos y las estrictas limitaciones del Reglamento General de Protección de Datos sobre información sensible.
La metáfora del puente me parece especialmente acertada. No se trata de una simple figura retórica, sino de una herramienta conceptual que permite visualizar cómo pueden conectarse dos mundos que parecen divergentes. Pienso en cómo los ingenieros construyen puentes físicos: no eliminan la distancia entre dos orillas, pero hacen posible transitarla con seguridad. Algo similar propone este documento para el ecosistema normativo digital.
II. Principios de protección como mandatos de calidad
Llama poderosamente la atención cómo el «Bridge Blueprint» reinterpreta principios tradicionales de protección de datos, dándoles un sentido más dinámico y constructivo. Tomemos el principio de minimización de datos, que suele entenderse como «cuantos menos datos, mejor». Esta lectura restrictiva choca frontalmente con las necesidades de los sistemas de inteligencia artificial, que requieren volúmenes sustanciales de información para funcionar correctamente.
Ya se ha visto cómo esta tensión genera situaciones absurdas. Conozco el caso de una empresa que desarrollaba un sistema de contratación automatizada. Para evitar sesgos discriminatorios, necesitaba procesar datos sobre género y origen étnico de los candidatos, precisamente la información que el Reglamento General de Protección de Datos considera más sensible. Bajo la interpretación convencional, este procesamiento estaría prohibido, aunque su finalidad fuera garantizar la igualdad de oportunidades.
Lo que propone el documento alemán es mucho más sensato: entender la minimización no como una reducción cuantitativa automática, sino como un criterio de proporcionalidad. Se trata de procesar solo los datos estrictamente necesarios para cumplir una finalidad legítima, que en el caso de la inteligencia artificial puede incluir la mitigación de sesgos perjudiciales. Esta perspectiva me parece no solo jurídicamente sólida, sino también pragmática.
III. Bases legales predecibles para el despliegue
Uno de los aspectos que más preocupa a desarrolladores y emprendedores es la incertidumbre sobre las bases legales para procesar datos personales en sistemas de inteligencia artificial. He participado en numerosas mesas redondas donde los representantes del sector tecnológico expresaban su frustración ante lo que perciben como un laberinto normativo imposible de navegar.
El problema se agudiza cuando hablamos de categorías especiales de datos. Me viene a la mente el testimonio de una investigadora que trabajaba en un proyecto sobre enfermedades raras. Su equipo necesitaba acceder a historiales médicos para entrenar algoritmos de diagnóstico precoz, pero las restricciones del artículo 9 del Reglamento General de Protección de Datos lo hacían prácticamente imposible. El resultado era paradójico: las normas diseñadas para proteger a los pacientes impedían desarrollar herramientas que podrían salvar vidas.
El enfoque del «Bridge Blueprint» resulta esperanzador porque propone un estándar claro que vincula el interés en procesar datos con las obligaciones específicas del Reglamento de Inteligencia Artificial. En lugar de añadir capas de complejidad, simplifica el panorama al anclar las bases legales en las expectativas razonables de los ciudadanos y los intereses públicos relevantes. Me parece particularmente acertada la idea de que estas expectativas han evolucionado: hoy, la gente espera que los productos tecnológicos sean seguros y éticos, no solo funcionales.
IV. Interés público y datos sensibles
Sorprende gratamente cómo el documento aborda el espinoso tema de las categorías especiales de datos. Tradicionalmente, el artículo 9 del Reglamento General de Protección de Datos se ha interpretado como una prohibición casi absoluta, con excepciones muy restrictivas. Esta postura, aunque bienintencionada, puede tener consecuencias contraproducentes en el contexto de la inteligencia artificial.
Puede pensarse en el caso de un sistema de reconocimiento facial utilizado por fuerzas de seguridad. Si queremos garantizar que no discrimine por características étnicas, necesitamos procesar precisamente esos datos para entrenar y validar el algoritmo. Prohibir categóricamente este procesamiento, en nombre de la protección de datos, podría perpetuar sesgos discriminatorios en lugar de eliminarlos.
La propuesta alemana introduce un matiz importante: amplía el concepto de interés público sustancial para incluir la mitigación de riesgos sociales derivados de sesgos algorítmicos. Esto permite a los desarrolladores justificar el procesamiento de datos sensibles cuando sea estrictamente necesario para garantizar la equidad de los sistemas. Eso sí, estableciendo salvaguardas rigurosas que prevengan abusos. Ello parece ayudar para un equilibrio razonable entre protección y pragmatismo.
V. Decisiones automatizadas y derechos ciudadanos
Resulta interesante observar cómo el documento aborda la tensión entre automatización y derechos individuales. En mis años de práctica jurídica, he visto cómo el artículo 22 del Reglamento General de Protección de Datos -que regula la toma de decisiones automatizada- generaba más dudas que certezas. Los operadores jurídicos nos encontrábamos ante un precepto loable en su intención, pero de aplicación problemática.
La solución que propone el «Bridge Blueprint» me parece elegante: en lugar de insistir en explicaciones puntuales que pueden ser técnicamente imposibles, apuesta por la transparencia a nivel de sistema. Se trata de crear un rastro auditable del proceso decisorio, con registros que permitan verificar que se han seguido los procedimientos adecuados. Es como cambiar el foco: en vez de preguntar «¿por qué me ha denegado el crédito a mí?», preguntar «¿cómo garantiza el banco que su sistema de concesión de créditos es justo y no discriminatorio?».
VI. Evaluaciones de impacto estratégicas
Siempre he pensado que las Evaluaciones de Impacto sobre la Protección de Datos son una herramienta infrautilizada. En muchos casos, se conciben como un mero trámite burocrático, una caja que hay que ticar antes de poner en marcha un proyecto. El «Bridge Blueprint» las sitúa en el lugar que merecen: el de instrumentos estratégicos clave para la gobernanza responsable de la inteligencia artificial.
Resulta especialmente interesante cómo el documento enfatiza la necesidad de abordar riesgos atípicos que escapan a los marcos estandarizados. Por ejemplo, el fenómeno de la memorización no intencional, por el cual un sistema de inteligencia artificial puede «recordar» y reproducir accidentalmente información sensible de sus datos de entrenamiento. Este riesgo, aunque técnicamente complejo, tiene implicaciones muy concretas para los derechos de las personas.
VII. Hacia un ecosistema de confianza
Al final, lo que más puede convencer del «Bridge Blueprint» es su visión de conjunto. No se limita a proponer soluciones técnicas a problemas concretos, sino que aspira a transformar el discurso europeo sobre inteligencia artificial. En lugar de seguir anclados en debates estériles sobre compatibilidad o incompatibilidad, nos invita a pensar en términos de responsabilidad y sostenibilidad.
Esta perspectiva resulta especialmente relevante en el contexto geopolítico actual. Europa se juega mucho en la arena de la inteligencia artificial: por un lado, necesita fomentar la innovación para no quedarse atrás frente a potencias como Estados Unidos o China; por otro, debe preservar su modelo de sociedad basado en derechos fundamentales y protección de la persona. El documento alemán demuestra que este equilibrio no solo es posible, sino necesario.
Las tecnologías no son buenas o malas en sí mismas, sino en función de cómo las diseñamos, implementamos y regulamos. El «Bridge Blueprint» aporta ideas valiosas para asegurar que la inteligencia artificial europea siga este principio. Ojalá encuentre el eco que merece en las instituciones comunitarias y los Estados miembros.