El pasado 17 de mayo de 2024 el Consejo de Europa adoptaría el Convenio Marco sobre Inteligencia Artificial y derechos humanos, democracia y Estado de derecho durante la reunión ministerial anual del Comité de Ministros, que reúne a los ministros de Asuntos Exteriores de los 46 Estados miembros de la Organización. El Convenio es el primer tratado internacional jurídicamente vinculante destinado a garantizar el respeto de los derechos humanos, del Estado de derecho y las normas jurídicas democráticas en el uso de los sistemas de inteligencia artificial (IA). El Tratado – que está abierto a la adhesión de los miembros del Consejo de Europa, la UE y otros terceros países de todo el mundo- establece un marco jurídico que abarca todo el ciclo de vida de los sistemas de IA, a la vez que promueve la innovación responsable. El 5 de septiembre de 2024 el Convenio sería firmado por la Comisión Europea y previamente (26 de junio) esta presentaría la Propuesta de Decisión del Consejo relativa a la firma, en nombre de la Unión Europea, del Convenio Marco del Consejo de Europa sobre inteligencia artificial, derechos humanos, democracia y Estado de Derecho
Como indica la propia Propuesta, el Convenio debe aplicarse exclusivamente en la Unión a través del Reglamento de Inteligencia Artificial (Reglamento de Inteligencia Artificial adoptado el 12 de junio de 2024, en adelante RIA) que armoniza plenamente las normas para la comercialización, la puesta en servicio y el uso de sistemas de IA en todos los Estados miembros, así como el acervo vigente de la Unión, cuando proceda; siendo su objetivo promover la innovación y la adopción de una IA fiable, protegiendo al mismo tiempo la salud, la seguridad y los derechos fundamentales, incluidos la democracia, el Estado de Derecho y el medio ambiente. El Convenio es coherente con el RIA así como con otras leyes de la Unión Europea. De hecho, incluye una serie de conceptos clave del mismo como: a) un enfoque en la IA centrada en el ser humano, coherente con los derechos humanos, la democracia y el Estado de Derecho, b) un enfoque basado en el riesgo, c) principios clave para una IA fiable (transparencia, solidez, seguridad, gobernanza y protección de datos), d) transparencia para el contenido generado por la IA y en las interacciones con los sistemas de IA (como información a las personas de que están interactuando con un sistema de IA y no con un ser humano, e) refuerzo de la documentación, la rendición de cuentas y las vías de recurso, f) apoyo a la innovación segura a través de espacios controlados de pruebas, g) obligaciones de gestión de riesgos, g) obligaciones de documentación e i) mecanismos para la supervisión de las actividades de IA.
Así, el Convenio incluye principios y obligaciones ya cubiertos por el RIA, como medidas para proteger los derechos humanos, la seguridad y la fiabilidad, la rendición de cuentas y la responsabilidad, la gobernanza y la protección de datos, la transparencia y la supervisión, la igualdad y la no discriminación, las capacidades y la alfabetización digitales. Los principios y las obligaciones previstos en el Convenio se aplicarán a las actividades dentro del ciclo de vida de los sistemas de IA emprendidas por autoridades públicas o agentes privados que actúen en su nombre. No obstante, para los agentes del sector privado, si bien aún deben abordar los riesgos y las repercusiones de los sistemas de IA de manera acorde con los objetivos del Convenio, tienen la opción de aplicar directamente las obligaciones de este o de aplicar medidas alternativas adecuadas. El Convenio, además, incluye exenciones para la investigación y el desarrollo, así como para la seguridad nacional.
Por su parte, y en el ámbito judicial europeo, también hace unos meses, la STJUE de 7 de diciembre de 2023, examina por primera vez el artículo 22 RGPD sobre decisiones automatizadas, precepto que, a día de hoy, carecía de interpretación judicial alguna a nivel interno y comunitario (existe, no obstante, algún pronunciamiento del TC alemán -2023- y del Tribunal de la Haya -2020-). La sentencia comunitaria incorpora en el campo de las decisiones parcialmente automatizadas un criterio expansivo y garantista, que tiene proyección, además, en los sistemas de IA de algo riesgo. Para el TJUE la generación automatizada, por una agencia de información comercial (SHUFA), de un valor de probabilidad a partir de datos personales relativos a una persona acerca de la capacidad de esta para hacer frente a compromisos de pago en el futuro constituye una decisión individual automatizada, en el sentido del artículo 22 RGPD, cuando de ese valor de probabilidad dependa de manera determinante que un tercero, al que se comunica dicho valor, establezca, ejecute o ponga fin a una relación contractual con esa persona. Por tanto, la práctica de esa y otras agencias de asignar a los ciudadanos una puntuación incomprensible y denegarles contratos, créditos automáticamente, queda en entredicho.
La STJUE, pese a haber podido ir más allá en la interpretación del complicado artículo 22 RGPD, destaca por cuanto supone un corrimiento del velo de las decisiones únicamente automatizadas para pasar a incluir muchos supuestos de decisiones parcialmente automatizadas, con una mayor o menor intervención humana o supuestos en los que la decisión solo automatizada se inserta en contextos más amplios Las decisiones automatizadas, en muchas ocasiones, se integran en una cadena o ecosistema de acciones en las que sí que hay intervención humana y esa intervención humana no debe excluir automáticamente la aplicación de las particulares garantías que para las decisiones automatizadas confiere el artículo 22 RGPD (COTINO HUESO).
La voluntad garantista inserta en la sentencia tendrá indudable proyección en otros ámbitos y desplegará singular eficacia en los sistemas de IA de alto riesgo como son los presentes en la gestión algorítmica del empleo (acceso y desarrollo de la relación laboral). Para los sistemas de alto riesgo el artículo 14.1 RIA recoge el requisito de la supervisión humana que exige que aquellos se diseñen y desarrollen de modo que puedan ser vigilados de manera efectiva por personas físicas durante el período que estén en uso, lo que incluye dotarlos de herramientas de interfaz humano-máquina adecuadas y en el artículo 14.4.b) se recuerda que hay que ser conscientes de la posible tendencia a confiar automáticamente o en exceso en los resultados de salida generados por un sistema de IA de alto riesgo («sesgo de automatización»), en particular con aquellos sistemas que se utilizan para aportar información o recomendaciones con el fin de que personas físicas adopten una decisión.
La restricción de garantías (humano al mando) a decisiones únicamente automatizadas es de la normativa de protección de datos, no de la de IA, por tanto, la proyección futura de la interpretación garantista de la STJUE de 7 de diciembre de 2023 a ambos campos es un avance significativo que ya se había avistado en alguna referencia normativa aislada y en la labor interpretativa del Comité Europeo de protección de datos (GT 29). Recordemos que el artículo 22 RGPD establece que <<todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar>>. Pero, precisamente, la gestión algorítmica en el empleo resultaría admisible toda vez que uno de los supuestos exonerados de esta prohibición general es que la decisión sea necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento. Aquí, conforme al artículo 15 RGPD, el interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los mismos, lo que incluirá la información sobre la existencia de decisiones automatizadas, incluida la elaboración de perfiles. El derecho incluye la obtención de información significativa sobre la lógica aplicada, la importancia y las consecuencias previstas de dicho tratamiento para el interesado. Pero aquí, aun cuando la previsión se refiere a las decisiones únicamente automatizadas, incluida la elaboración de perfiles (del artículo 22 RGPD), también recoge la previsión <<al menos en tales casos>>, con lo que nada impediría extender aquellas garantías a los supuestos de decisiones semiautomatizadas (con alguna intervención humana). Sin embargo, el Considerando 71 RGPD recoge que el responsable del tratamiento habrá de adoptar las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado lo que, como mínimo, incluirá información específica al interesado, derecho a obtener intervención humana, a expresar su punto de vista, a recibir una explicación de la decisión tomada después de tal evaluación y a impugnar la decisión y, de nuevo, se refiere a decisiones únicamente automatizadas pero, en el actual contexto de sistemas de IA de alto riesgo -y ahora con el respaldo de la STJUE de 7 de diciembre 2023– nada impediría que, conforme a los principios de transparencia y explicabilidad algorítmica, se extendieran a cualquier decisión automatizada aun con alguna intervención humana. Cosa que, además, será lo normal en el contexto de decisiones -cadena- adoptadas en el ámbito del empleo (v gr. acceso: decisiones de reclutamiento, diversas tomas de decisión en las distintas fases de las pruebas de selección, decisiones de contratación…).
En este contexto, el Comité Europeo de Protección de datos en su Informe Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 (GT 29) señala que la elaboración de perfiles y las decisiones automatizadas pueden plantear riesgos importantes para los derechos y libertades de las personas que requieren unas garantías adecuadas. Estos procesos pueden ser opacos y puede que las personas no sean conscientes de que se está creando un perfil sobre ellas o que no entiendan qué implica. La elaboración de perfiles puede perpetuar los estereotipos existentes y la segregación social, incorporar discriminaciones injustificadas o llevar a predicciones inexactas. El comité recuerda que en caso de algoritmos se hace necesaria la existencia de información significativa sobre la lógica aplicada(derecho de transparencia algorítmica). Ello no implica ofrecer una compleja explicación matemática sobre cómo funcionan los algoritmos o el aprendizaje automático sino que el responsable del tratamiento habrá de utilizar formas claras para ofrecer información al interesado: a) categorías de datos que se han utilizado o utilizarán en la elaboración de perfiles o el proceso de toma de decisiones, b) por qué esas categorías se consideran pertinentes, c) cómo se elaboran los perfiles utilizados en la toma de decisiones automatizadas, incluidas las estadísticas utilizadas en el análisis, d) por qué ese perfil es pertinente para el proceso de decisiones automatizadas (sin más especificación) y e) cómo se utiliza para una decisión relativa al interesado.
Por su parte, la importancia de la extensión de garantías a todas las decisiones automatizadas (incluidas parcial o semi-automatizadas) se recoge en la Carta de Derechos digitales (2021) al referir -sin distinción- que las personas tienen derecho a solicitar una supervisión e intervención humana y a impugnar las decisiones automatizadas tomadas por sistemas de inteligencia artificial que produzcan efectos en su esfera personal y patrimonial (XXV.3).
