Regulación de la inteligencia artificial en Europa. Incidencia en los regímenes jurídicos de protección de datos y responsabilidad por productos
El Derecho y la sociedad en su conjunto se enfrentan a uno de los mayores retos de este siglo con el desarrollo imparable de tecnologías como la inteligencia artificial. Con una proyección global, al que contribuye el denominado «efecto Bruselas». La Unión Europea ha puesto en marcha un proceso de regulación armonizada de la materia que se inicia con el Reglamento de Inteligencia Artificial. Este hito regulatorio, de marcado carácter de Derecho público, contribuirá al Mercado Único Digital de la Unión. En un pretendido equilibrio entre liderar la innovación y proteger los valores, los derechos fundamentales y los principios europeos. Para todo ello, el acervo de la UE, así como las instituciones, se convierten en el adalid óptimo.
Dejando al margen los aspectos éticos y técnicos (el efecto «caja negra», o el de «código abierto») de dicho marco regulatorio. La autora analiza cuestiones esenciales de este texto que inciden de manera singular en los derechos de las personas en la Unión. En concreto, el estudio intenta aproximarse a la adecuación del régimen jurídico de protección de datos y de responsabilidad por daños que se producen en el contexto de esta tecnología.
No es casual que la autora se ocupe de estos aspectos relevantes. Por un lado, el flujo de datos sin fronteras constituye el elemento esencial para el óptimo desarrollo de esta tecnología. Sin datos no hay IA, por lo que, datos seguros sí, cada vez más abiertos y compartidos, pero sin infringir la privacidad. Por otro lado, importa, y mucho, la responsabilidad por daños causados por productos o servicios en sistemas de inteligencia artificial. Es necesario adentrarse en el sistema reparador que nos ofrece el Derecho de la Unión Europea, aunque por el momento, no parece suficientemente satisfactorio.
La aparición de ChatGPT, a finales de 2022, mostró las habilidades de la inteligencia artificial generativa y puso en jaque el texto presentado por la Comisión en 2021. Si los sistemas «de alto riesgo» constituían el grueso de la regulación de la IA. La aparición de esta aplicación generó un profundo debate en el Parlamento Europeo que culminó con la aprobación por el Pleno de un texto que conocimos en el solsticio de verano, y de hecho, la autora ha tratado de encajar muchas de estas múltiples enmiendas del Parlamento ya en fase de corrección de las pruebas de imprenta.
CARMEN MUÑOZ GARCÍA
CAPÍTULO I
REGULACIÓN EN EUROPA DE LOS SISTEMAS DE INTELIGENCIA ARTIFICIAL
I. EL REGLAMENTO SOBRE INTELIGENCIA ARTIFICIAL
1. Hitos en la normativización de la inteligencia artificial: liderazgo tecnológico europeo
y tutela de derechos
1.1. Implementar una reglamentación uniforme y en coherencia con otras
normas
1.2. Por lo pronto, la propuesta necesaria de un código de conducta voluntario
2. Otros hitos internacionales y uno propio, que no normativos
2.1. Los Principios de la OCDE
2.2. El Código de conducta para la IA de EE.UU. y la UE. Una declaración de
intenciones
2.3. En España, la denominada Estrategia Nacional de IA
3. En busca del concepto técnico y flexible
4. Sistemas de IA. Marco jurídico basado en el riesgo
4.1. Los «sistemas de alto riesgo»
4.2. De los «sistemas de riesgo limitado» a otros sistemas con mayor impacto
5. Un punto de inflexión. ChatGPT cuestiona el texto inicial de la Comisión
II. LOS RIESGOS QUE DERIVAN DEL USO DE SISTEMAS DE IA EN COHERENCIA CON
OTRAS NORMAS
CAPÍTULO II
LOS DATOS, ACTIVOS INTANGIBLES. REGULACIÓN BASE,
NUEVO MERCADO DE DATOS Y SU IMPACTO POR LA IA
III. MARCO NORMATIVO PARA PROTEGER LOS DATOS PERSONALES EN UNA
ECONOMÍA DE DATOS
1. El ejemplo: ChatGPT y el tratamiento masivo de datos
2. El riesgo para la privacidad de los tratamientos automatizados. Adaptar las
soluciones a la IA
3. «Big data» y «minería de datos» para el progreso tecnológico. Enfoque normativo en
la tutela de la privacidad
4. El consentimiento y otras condiciones para el tratamiento de los datos
4.1. El consentimiento del interesado en el tratamiento de «datos personales»
4.2. Otras previsiones legales que justifican el tratamiento
4.3. Libre circulación para los «datos no personales»
5. Órganos de gestión
IV. DESAFÍO JURÍDICO: IMPLEMENTAR LA REUTILIZACIÓN DE DATOS CON GARANTÍAS
1. Un cambio de rumbo para impulsar la reutilización en un mercado europeo de datos
2. Garantizar la reutilización de la información del sector público
3. Nuevas iniciativas para implementar el intercambio de datos. La Data Governance
Act y la Data Act
4. Algunas diferencias entre la Data Governance Act y la Data Act
5. El intercambio de datos entre UK y EE.UU.
V. DEBERES DEL RESPONSABLE DEL TRATAMIENTO9
1. Obligaciones de prevención, de revisión y de estar en condiciones de atender los
derechos del interesado
2. Garantizar el derecho de acceso para salvaguardar el ejercicio de otros derechos
3. Abordar los riesgos derivados de decisiones automatizadas y elaboración de perfiles.
El principio de exactitud
VI. SANCIONES Y RESPONSABILIDAD ANTE EL INCUMPLIMIENTO
1. Multas históricas y nuevos desafíos por los sistemas de IA
2. El mal denominado «principio de responsabilidad proactiva»
3. Las sanciones administrativas y las autoridades de control para velar por el
cumplimiento del RGPD
4. La responsabilidad del artículo 82 del RGPD. Sistema objetivista
4.1. Ámbito de aplicación
4.2. Acción u omisión. Sujetos obligados y sujetos beneficiados
4.3. La relación de causalidad
4.4. Daños indemnizables. Reparación integral y alcance de la cuantía
VII. BALANCE Y ALGUNAS CUESTIONES PENDIENTES
CAPÍTULO III
REFORMULAR LA RESPONSABILIDAD CIVIL PARA ADAPTARLA A LOS SISTEMAS DE IA
VIII. RÉGIMEN VIGENTE. LA ADAPTACIÓN DE LA RESPONSABILIDAD CIVIL EN LA ERA
DIGITAL
1. La necesidad de adaptar la responsabilidad civil a las realidades tecnológicas
1.1. Grosso modo
1.2. Los pasos dados por el colegislador europeo
1.2.1. ¿Tienen cabida las nuevas tecnologías en la normativa vigente?
1.2.2. Alcanzar acuerdos por la complejidad de la adaptación de la
Directiva 85/374
1.2.3. Los principios básicos en el primer informe sobre responsabilidad
en sistemas de IA
1.2.4. El «efecto caja negra» exige grandes ajustes
1.2.5. Nuevas definiciones, nuevos sujetos y los sistemas de alto
riesgo. El PE no descartó promover dos textos diferentes
1.2.6. El propósito de una consulta decisiva. Y un resultado diferente
2. El marco jurídico armonizado proporcionado por la Directiva 85/374 ¿Son tan
necesarios los cambios?
2.1. Nuevos productos en la era digital y sistemas de IA que causan daños9
2.2. Aspectos relevantes de la Directiva 85/374. Régimen vigente
2.2.1. Ámbito de aplicación
2.2.2. Sujetos obligados y sujetos responsables
2.2.3 . Sujeto protegido: el consumidor que resulte perjudicado
2.2.4. Responsabilidad objetiva y causas de exoneración
2.2.5. Daños cubiertos y daños no indemnizables
3. La Directiva 85/374. Régimen vigente y propósitos de impulsar igual tratamiento a
demás productos y a sistemas IA
3.1. A vueltas con la responsabilidad objetiva
3.2. El propósito de la armonización máxima
IX. LA PROPUESTA: UN CAMBIO DE PARADIGMA CON DOS DIRECTIVAS
COMPLEMENTARIAS
1. Una, adaptar la Directiva 85/374 a la era digital y otra, proporcionar un sistema
propio en materia de IA. Armonizar los dos instrumentos jurídicos. Algunas
incoherencias
1.1. Nivel de armonización diferente
1.2. Distinto fundamento jurídico
1.3. Igual finalidad y distinto régimen normativo. ¿Y los casos fronterizos?
1.4. A grandes rasgos, otras diferencias esenciales del tratamiento diferenciado
2. La propuesta para los sistemas de IA. Armonización de mínimos y sólo algunos
aspectos
2.1. ¿Cuáles son los aspectos objeto de armonización?
2.1.1. Ámbito objetivo. Exigencia de conducta culposa y la prueba, en
definitiva, «culpa probada»
2.1.2. Ámbito subjetivo: el operador responsable y el perjudicado
2.1.3. Probada la culpa, hay que probar nexo causal ¿presunción de
causalidad?
2.2. A futuro
CAPÍTULO IV
LA IRRUPCIÓN DE CHATGPT. ALGUNOS RIESGOS Y RESPONSABILIDADES
X. EL CASO DEL CHATGPT. HIPÓTESIS EN CASO DE DAÑOS
XI. POSIBLES RESPONSABILIDADES
1. Mecanismos de reacción del Derecho público: penas, multas y sanciones
2. Responsabilidad extracontractual
2.1. Cuando el daño deriva de la infracción del RGPD
2.2. Cuando el daño deriva por información de salida errónea u omisión
CAPÍTULO V
CONCLUSIONES
BIBLIOGRAFÍA
