El 2 de agosto venció la obligación de tener un espacio controlado de pruebas nacional para la IA, y dentro de él pueden tratarse datos recogidos para otra cosa

Qué es un espacio controlado de pruebas

Es un entorno controlado en el que se desarrolla, entrena, prueba y valida un sistema de IA durante un tiempo limitado, bajo la supervisión de la autoridad competente y conforme a un plan acordado. No es una zona franca: las reglas siguen aplicándose, pero el diálogo con la autoridad se produce antes de la introducción en el mercado y no después, y quien participa sale con una documentación que la autoridad ya ha mirado.

El apartado 3 del mismo artículo añade algo que suele pasar desapercibido: también el Supervisor Europeo de Protección de Datos puede establecer un espacio controlado de pruebas para las instituciones, órganos y organismos de la Unión, ejerciendo las funciones y tareas de las autoridades nacionales competentes.

Por qué esto atañe a quien se ocupa de datos personales

Por el artículo 59. En el espacio controlado de pruebas, los datos personales recogidos lícitamente para otros fines pueden tratarse con el único objeto de desarrollar, entrenar y probar determinados sistemas de IA. Es una previsión expresa de reutilización, y en el Derecho de la Unión no hay muchas. Pero solo vale si concurren todas las condiciones enumeradas, no algunas.

El sistema debe servir a un interés público esencial, en uno de estos ámbitos

• Seguridad pública y salud pública, incluidas la detección, la prevención del diagnóstico, el control y el tratamiento de enfermedades y la mejora de los sistemas sanitarios.
• Un elevado nivel de protección y mejora de la calidad del medio ambiente, protección de la biodiversidad, protección frente a la contaminación, medidas de transición verde, medidas de mitigación del cambio climático y de adaptación a él.
• Sostenibilidad energética.
• Seguridad y resiliencia de los sistemas de transporte y la movilidad, de las infraestructuras críticas y de las redes.
• Eficiencia y calidad de la administración pública y de los servicios públicos.

Y además deben cumplirse todas las demás condiciones

• Los datos deben ser necesarios para cumplir los requisitos del capítulo III, sección 2, y esos requisitos no deben poder satisfacerse eficazmente con datos anonimizados, sintéticos o de otro modo no personales.
• Deben existir mecanismos de seguimiento eficaces para detectar riesgos elevados para los derechos y libertades de los interesados, en el sentido del artículo 35 del RGPD, y mecanismos de respuesta para atenuarlos y, en su caso, detener el tratamiento.
• Los datos deben estar en un entorno de tratamiento funcionalmente separado, aislado y protegido, bajo el control del proveedor potencial, accesible solo a las personas autorizadas.
• Los datos recogidos originalmente solo pueden compartirse ulteriormente conforme al Derecho de la Unión en materia de protección de datos, y los datos personales creados en el espacio de pruebas no pueden salir de él.
• El tratamiento no debe dar lugar a medidas o decisiones que afecten a los interesados ni incidir en el ejercicio de sus derechos.

Qué preguntar ahora

• Si el espacio de pruebas del propio Estado está operativo y en qué condiciones se accede: el plazo está en el Reglamento, la aplicación varía de Estado a Estado y debe comprobarse ante la propia autoridad.
• Si el cliente está valorando un proyecto de IA en uno de los cinco ámbitos, porque en ese caso el espacio de pruebas no es un capricho sino la vía más defendible.
• Si alguien en la organización ya ha escrito que entrenará con datos existentes citando el Reglamento de IA como base: es el momento de releer el artículo 59 línea por línea.