Descripción

“El despliegue es el proceso de conseguir que un sistema informático esté operativo en su entorno, lo que incluye la instalación, la configuración, el funcionamiento, las pruebas y la realización de los cambios necesarios. El despliegue no suele ser realizado por los desarrolladores de un sistema, sino por el equipo de TI del cliente. No obstante, incluso si este es el caso, los desarrolladores tendrán la responsabilidad de proporcionar al cliente la información suficiente para implementar con éxito el modelo. Esto incluirá normalmente un plan de despliegue (genérico), con los pasos necesarios para su éxito y cómo realizarlos, y un plan (genérico) de seguimiento y mantenimiento para el mantenimiento del sistema, y para el seguimiento del despliegue y el uso correcto de los resultados de la minería de datos.”^[1]

Principales acciones a abordar

Observaciones generales

Once Una vez creado su algoritmo, se enfrenta a un problema importante. Puede ocurrir que incorpore datos personales, abiertamente o de forma oculta. Debe realizar una evaluación formal para determinar qué datos personales de los interesados podrían ser identificables. Esto puede ser complicado en ocasiones. Por ejemplo, algunas herramientas de IA, como las máquinas de soporte vectorial (VSM) podrían contener ejemplos de los datos de entrenamiento por diseño dentro de la lógica del modelo. En otros casos, pueden encontrarse patrones en el modelo que identifiquen a un individuo único. En todos estos casos, las partes no autorizadas pueden ser capaces de recuperar elementos de los datos de entrenamiento, o inferir quién estaba en ellos, analizando la forma en que se comporta el modelo. Si sabe o sospecha que la herramienta de IA contiene datos personales, deberá:

• Suprimirlos o, por el contrario, justificar la imposibilidad de hacerlo, total o parcialmente por la degradación que supondría para el modelo (ver el apartado ‘Limitación de almacenamiento’ en el capítulo ‘Principios’).
• Determinar la base jurídica legitimadora para llevar a cabo la comunicación de datos personales a terceros, especialmente si se trata de categorías especiales de datos (véase el apartado “Licitud” en la sección “Licitud, lealtad y transparencia”).
• Informar a los interesados del tratamiento anterior.
• Demostrar que se han aplicado las políticas de protección de datos por diseño y por defecto (especialmente la minimización de datos).
• En función de los riesgos que pueda suponer para los interesados y teniendo en cuenta el volumen o las categorías de datos personales que se vayan a utilizar, debe considerarse la posibilidad de realizar una Evaluación de Impacto sobre la Protección de Datos (EIPD).

Por último, debe tomar medidas periódicas para evaluar de forma proactiva la posibilidad de que los datos personales se deduzcan de los modelos a la luz de la tecnología más avanzada, de modo que se minimice el riesgo de divulgación accidental. Si estas acciones revelan una posibilidad sustancial de divulgación de datos, deben aplicarse las medidas necesarias para evitarla (véase la sección “Integridad y confidencialidad” en el capítulo “Principios”).

Actualizar la información

Si el algoritmo es implementado por un tercero, debe comunicar los resultados del sistema de validación y seguimiento empleado en las fases de desarrollo y ofrecer su colaboración para continuar el seguimiento de la validación de los resultados. También sería recomendable establecer este tipo de coordinación con los terceros a los que adquiera bases de datos o cualquier otro componente relevante en el ciclo de vida del sistema. Si se trata de un tratamiento de datos por parte de un tercero, hay que asegurarse de que el acceso se realiza sobre una base legal.

Es necesario ofrecer información en tiempo real al usuario final sobre los valores de exactitud y/o calidad de la información inferida en cada etapa (véase la sección Exactitud en el capítulo Principios). Cuando la información inferida no alcance los umbrales mínimos de calidad, deberá destacar que esta información no tiene valor. Este requisito suele implicar que se proporcione información detallada sobre las etapas de entrenamiento y validación. La información sobre los conjuntos de datos utilizados para ello es especialmente importante. De lo contrario, el uso de la solución podría dar resultados decepcionantes a los usuarios finales, que se quedan especulando sobre la causa.

También debe asegurarse de que cualquier implementación en el mundo real también cumple con la Directiva (UE) 2016/680 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo^[2] y su aplicación específica en los distintos Estados miembros. Tenga en cuenta que esto suele implicar para las LEA una normativa menos restrictiva en cuanto al uso de datos personales. En el ámbito de la justicia penal, la aportación de pruebas suele ser una actividad onerosa. Por lo tanto, es una tendencia natural recoger y procesar la mayor cantidad posible de datos que eventualmente puedan resultar útiles. Esta tendencia se ve incluso reforzada por las crecientes posibilidades técnicas de analizar automáticamente enormes cantidades de datos mediante herramientas de IA. Sin embargo, es necesario minimizar los datos y, por lo tanto, es preciso integrar ya en el diseño de las herramientas de IA medidas eficaces contra la recogida y el tratamiento extensivos de datos.

El cumplimiento de los derechos humanos y de los principios éticos exige el cumplimiento de otras condiciones esenciales:

“En lo que respecta a las tecnologías de vigilancia, la carga de la prueba debe recaer en los Estados y/o las empresas, que tienen que demostrar de forma pública y transparente, antes de introducir opciones de vigilancia

– que son necesarias

– que son eficaces

– que respetan la proporcionalidad (por ejemplo, la limitación de la finalidad)

– que no existen alternativas mejores que puedan sustituir a estas tecnologías de vigilancia

Estos criterios también deben someterse a una evaluación posterior, ya sea en el plano de los análisis políticos normales, o a través de las políticas de los Estados miembros para hacerlo.”^[3]

 

 

1. SHERPA, Guidelines for the Ethical Development of AI and Big Data Systems: An Ethics by Design approach, 2020, p 13. At: https://www.project-sherpa.eu/wp-content/uploads/2019/12/development-final.pdf (Visitado el 15 de mayo de 2020) ↑
2. Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo< https://eur-lex.europa.eu/legal-content/ES/TXT/PDF/?uri=CELEX:02016L0680-20160504&from=En>. ↑
3. European Group on Ethics in Science and New Technologies. (2014). Opinion No. 28: Ethics of security and surveillance technologies (10.2796/22379). Retrieved from Luxembourg: Brussels: https://publications.europa.eu/en/publication-detail/-/publication/6f1b3ce0-2810-4926-b185-54fc3225c969/language-en/format-PDF/source-77404258 ↑