Tal y como se recoge en los requisitos y pruebas de aceptación para la compra y/o desarrollo del software, hardware e infraestructura empleados (véase el subapartado de la sección “Documentación del tratamiento”), la evaluación de riesgos y las decisiones tomadas “tienen que estar documentadas para cumplir con el requisito de protección de datos desde el diseño” (del artículo 25 del RGPD).
Por último, los responsables del tratamiento deben ser siempre conscientes de que, según el artículo 32.1.d) del RGPD, la protección de datos es un proceso. Por lo tanto, deben probar, valorar y evaluar la eficacia de las medidas técnicas y organizativas con regularidad. En este momento deben crearse procedimientos que sirvan a los responsables del tratamiento para identificar los cambios que desencadenen la revisión del EIPD. Siempre que sea posible, los responsables del tratamiento deben tratar de imponer un modelo dinámico de seguimiento de las medidas en cuestión (véase la sección “Integridad y confidencialidad” del capítulo “Principios”).
Cuadro 15: La extrema dificultad de la responsabilidad proactiva en el desarrollo de IA
Aunque responsabilidad proactiva es un objetivo necesario y la asignación de responsabilidades a un encargado concreto es absolutamente necesaria, los responsables del tratamiento deben ser siempre conscientes de que el funcionamiento de la IA puede dificultar enormemente la supervisión de un sistema. Tal y como declaró la CNIL, “la cuestión de dónde se puede establecer la responsabilidad y la toma de decisiones debe abordarse de una manera ligeramente diferente cuando se trata de sistemas de aprendizaje automático”. Por lo tanto, es mejor que los controladores piensen más en términos de una cadena de responsabilidad, desde el diseñador del sistema hasta su usuario, pasando por la persona que introducirá los datos de entrenamiento en este sistema. Este último funcionará de forma diferente en función de esos datos de entrada. A este respecto, cabe mencionar el chatbot Tay de Microsoft. Fue cerrado apenas veinticuatro horas después de su lanzamiento cuando, aprendiendo de las publicaciones de los usuarios de las redes sociales, había empezado a tuitear comentarios racistas y sexistas por su cuenta. No hace falta decir que determinar la parte exacta de responsabilidad entre estos diferentes eslabones de la cadena puede ser una tarea laboriosa. |