Criterios para el tratamiento de los 'datos públicos' utilizados en el desarrollo y servicio de IA

2024.07.17. The Fair Economy — El gobierno ha establecido criterios para el tratamiento seguro de los 'datos públicos en internet' utilizados en el desarrollo de modelos de inteligencia artificial (IA) generativa.

La Comisión de Protección de Información Personal (PIPC) anunció el día 17 que ha elaborado y publicado la 'Guía para el tratamiento de información personal pública para el desarrollo y servicio de IA', con el fin de que los datos públicos, esenciales para el desarrollo de la IA, puedan tratarse de manera legal y segura dentro del marco regulatorio actual de protección de datos personales.

Los datos públicos son datos a los que cualquier persona puede acceder legalmente en internet, y se utilizan como materia prima clave para los datos de entrenamiento de IA generativa como ChatGPT. Las empresas de IA recopilan datos públicos de Common Crawl, Wikipedia, blogs y sitios web mediante técnicas de web scraping y los utilizan como datos de entrenamiento.

Common Crawl es un repositorio público (http://commoncrawl.org) que recopila automáticamente datos de internet y los almacena, mantiene y gestiona para que cualquiera pueda acceder y analizarlos. El rastreo web es una técnica para extraer automáticamente los datos necesarios de un sitio web.

Estos datos públicos pueden contener diversos datos personales (datos personales públicos), como direcciones, números de identificación únicos o números de tarjetas de crédito, lo que genera un gran riesgo de vulneración de la privacidad ciudadana. Sin embargo, la actual Ley de Protección de Datos Personales no establece criterios claros aplicables al tratamiento de estos datos.

Por ejemplo, cuando los datos públicos se tratan a gran escala para el entrenamiento de IA, resulta prácticamente difícil aplicar las disposiciones legales vigentes sobre el consentimiento individual del titular o la celebración de contratos. Además, dado que el entrenamiento de IA difiere de los métodos tradicionales de tratamiento de datos, existían ciertas limitaciones para aplicar directamente las normas sobre medidas de seguridad establecidas en la ley.

La PIPC explicó que, por ello, ha elaborado la guía para aclarar los criterios legales para la recopilación y uso de información personal pública y proporcionar a las empresas un conjunto mínimo de criterios de referencia sobre qué medidas de seguridad son adecuadas en las etapas de desarrollo y servicio de la IA. El objetivo es minimizar los problemas de vulneración de la información personal de las empresas que utilizan información personal pública y, al mismo tiempo, resolver la incertidumbre legal para apoyar el crecimiento innovador de las empresas.

Desde que la PIPC anunció la 'Dirección de política para el uso seguro de la información personal en la era de la IA' en agosto del año pasado, ha llevado a cabo discusiones sobre la guía centradas en el 'Consejo de Política Público-Privada sobre Privacidad de la IA', y también ha recopilado ampliamente opiniones de los sectores académico, industrial y de la sociedad civil.

El Consejo de Política está compuesto por 30 expertos de próxima generación en el campo de la IA, incluidos los sectores académico, legal, industrial y de la sociedad civil, y opera tres subcomités: ▲criterios de tratamiento de datos ▲evaluación de riesgos ▲garantía de transparencia.

En particular, se prestó especial atención a establecer criterios internacionalmente interoperables, considerando que los principales países extranjeros, como la Unión Europea (UE) y Estados Unidos, que buscan un equilibrio entre la innovación y la seguridad de la IA, también están configurando marcos regulatorios de protección de datos para el tratamiento general de la IA y los datos, incluido el tratamiento de datos públicos.

En primer lugar, se ha dejado claro que los datos personales públicos pueden utilizarse para el entrenamiento de IA y el desarrollo de servicios bajo la cláusula de 'interés legítimo' prevista en el artículo 15 de la ley.

Además, para que se aplique esta cláusula de 'interés legítimo', deben cumplirse tres requisitos: la legitimidad del propósito del desarrollo de la IA, la necesidad del tratamiento de la información personal pública y una ponderación de intereses concreta. La PIPC también explicó en esta guía el contenido y los casos de aplicación de estos tres requisitos.

Por lo tanto, establecer criterios de interpretación razonables para la cláusula de 'interés legítimo' tiene el aspecto de aumentar la interoperabilidad con los estándares globales, como el EU GDPR o los debates recientes sobre normas de seguridad de la IA.

Además, la PIPC ha detallado en la guía las medidas técnicas y administrativas de seguridad y los planes de garantía de derechos de los titulares que las empresas de IA pueden considerar al tratar datos personales públicos basándose en el 'interés legítimo'.

No obstante, se ha permitido la introducción flexible de medidas de seguridad específicas, teniendo en cuenta el rápido cambio tecnológico en IA. Las empresas no están obligadas a implementar todas las medidas; pueden elegir e implementar por sí mismas la 'combinación óptima de medidas de seguridad' adecuada a sus características, considerando los beneficios de las medidas propuestas, los posibles efectos secundarios como la degradación del rendimiento o el sesgo, y el grado de madurez tecnológica.

La PIPC ha proporcionado ejemplos reales de implementación de medidas de seguridad por parte de operadores principales de modelos de lenguaje grandes (LLM), identificados mediante una inspección previa en marzo, para que sirvan de referencia a las empresas al determinar su 'combinación óptima'.

Finalmente, se ha subrayado el papel de las empresas de IA y de los responsables de protección de datos (CPO) en el tratamiento de los datos de entrenamiento para el desarrollo de IA.

Se ha recomendado que las empresas constituyan y operen de forma autónoma un '(nombre provisional) Organismo encargado de la privacidad en IA' centrado en el CPO, que evalúe el cumplimiento de los criterios de la guía y elabore y conserve la documentación justificativa. También se les ha instado a monitorear periódicamente los factores de riesgo, como cambios técnicos significativos para mejorar el rendimiento o posibles vulneraciones de datos, y a establecer planes rápidos de salvaguarda de derechos en caso de incidentes como fugas o exposiciones de datos.

La guía será actualizada continuamente considerando futuras revisiones y reformas de la legislación de datos personales, la evolución de la tecnología de IA y las tendencias regulatorias internacionales.

Además, se prevé concretar las bases legales y criterios para el tratamiento adecuado de los datos personales de los usuarios, que constituyen una fuente principal de los datos de entrenamiento de IA junto con los datos públicos, tras recopilar opiniones de la academia, la industria y las organizaciones ciudadanas.

Asimismo, la PIPC planea mantener una comunicación constante con las empresas de IA a través de sistemas de apoyo a la innovación, como el sistema de revisión previa de adecuación, el sandbox regulatorio y las zonas seguras de datos personales, para monitorear el desarrollo tecnológico y la situación del mercado. Sobre la base de los casos y experiencias acumulados, se impulsará también la adaptación de la ley a la era de la IA.

Kim Byeong-pil, profesor del KAIST y jefe del subcomité de criterios de tratamiento de datos del Consejo de Política Público-Privada, quien participó en las discusiones sobre esta guía, enfatizó: "Esta guía es parte de un esfuerzo por encontrar un punto de equilibrio adecuado que proteja fielmente la información personal y al mismo tiempo fomente la innovación en IA. Creo que será una buena referencia para el desarrollo y uso de una IA confiable. Sin embargo, dado que la tecnología de IA cambia rápidamente, espero que se tenga en cuenta que el contenido de esta guía también seguirá evolucionando en el futuro".

Bae Gyeong-hun, presidente del Instituto de Investigación de IA de LG y copresidente del Consejo de Política Público-Privada, pronosticó: "La publicación de esta guía es un avance importante y un primer paso para lograr simultáneamente el desarrollo de la tecnología de IA y la protección de los datos personales. Al proporcionar criterios para el tratamiento seguro de la información personal en los datos públicos, se reduce la incertidumbre legal en el desarrollo de la tecnología de IA, lo que permite utilizar los datos de manera segura. Esto sentará las bases para que los ciudadanos puedan disfrutar de los beneficios de la tecnología de IA en un entorno de tratamiento de datos confiable".

Ko Hak-su, presidente de la PIPC, dijo: "Aunque el avance de la tecnología de IA se está produciendo rápidamente, existía un vacío en cuanto a si el aprendizaje con datos públicos, un factor clave en el desarrollo de la IA, era legal y seguro según la ley. Espero que, a través de esta guía, las empresas creen por sí mismas prácticas de tratamiento de datos de IA en las que los ciudadanos puedan confiar, y que las mejores prácticas acumuladas de esta manera se reflejen continuamente en la guía".