El miércoles, los Estados miembros de la UE aprobaron una modificación del RGPD que antepondría los intereses lucrativos de OpenAI, Anthropic, Google, Meta y SpaceX al derecho fundamental de los europeos a la protección de datos. Según el texto aprobado, el tratamiento de datos personales «en el contexto de la IA» debería considerarse automáticamente lícito. En concreto, las grandes empresas tecnológicas podrían utilizar todos los datos personales recopilados durante las últimas décadas sin prácticamente ninguna restricción, siempre que ello se produzca «en el contexto» de la IA. Schrems: «Según el texto acordado, los beneficios de las empresas de IA prevalecerían, por regla general, sobre el derecho fundamental de los europeos a la privacidad. Esto no es más que una expropiación digital de los europeos». Todo esto está ocurriendo a pesar de que las figuras clave de las empresas de IA advierten activamente sobre los enormes riesgos asociados a sus propios productos.
Caen las últimas barreras: ¿los beneficios de las empresas de IA prevalecen sobre la protección de datos? Comoparte de la propuesta «Ómnibus Digital», la Comisión Europea afirmó que solo introduciría cambios menores para simplificar las cosas a las empresas de la UE. Al mismo tiempo, se comprometió explícitamente a mantener un «alto nivel de protección» para los ciudadanos europeos. Por ello, se optó por un «procedimiento acelerado». Esto se hizo sin llevar a cabo una evaluación de los derechos fundamentales ni contar con la participación directa del grupo de expertos europeos en protección de datos.
El artículo 88 quater, tal y como lo propuso la Comisión Europea (ahora artículo 88 bis en el documento del Consejo), pretende liberalizar el uso de datos personales para la IA. La propuesta se encuentra actualmente en el Consejo, donde la Presidencia irlandesa lleva las riendas. Irlanda también actúa como sede en la UE de la mayoría de las empresas de IA estadounidenses y chinas.
Expropiación digital: aprobada en el Consejo. Con el apoyo de Alemania y otras potencias de la UE, el Consejo (en representación de los Estados miembros de la UE) aprobó el miércoles que, en general, se permita a las empresas hacer prácticamente cualquier cosa al utilizar datos personales «en el contexto de la IA». Esto significa que los intereses comerciales de las empresas de IA prevalecerían, en general, sobre los derechos fundamentales de los usuarios. Esta autorización general se aplicaría también a personas que nunca hayan sido clientes de una empresa de IA y a datos introducidos hace décadas, por ejemplo, en chats o en redes sociales. Todos los datos personales a los que una empresa de IA pueda acceder de alguna manera quedarían incluidos en esta disposición. No sería necesario solicitar el consentimiento de los usuarios. En su lugar, se da por sentado automáticamente que las empresas tienen un «interés legítimo» predominante si utilizan o entrenan cualquier producto de IA.
El Consejo ha añadido una referencia a los derechos y obligaciones existentes en virtud del artículo 21 (derecho a la exclusión voluntaria en casos específicos) y del artículo 24 del RGPD (necesidad de aplicar medidas técnicas y organizativas para cumplir las obligaciones legales), pero estas supuestas «garantías» se aplicarían a cualquier tratamiento incluso sin dicha referencia. En esencia, el nuevo artículo 88 bis sobre IA no exige ninguna garantía sustancial.
Max Schrems: «Este miércoles, los Estados miembros de la UE han acordado tomar nuestros datos y facilitárselos a las empresas de IA de forma gratuita. Durante décadas, hemos estado diciendo a la gente que sus datos están a salvo y que, en el mejor de los casos, se utilizan para anuncios. Ahora, Google, Meta y Microsoft pueden utilizar todos los datos que han recopilado casi sin límites y para cualquier proyecto que implique algún componente de «IA». Este es el mayor regalo que los Estados miembros de la UE han hecho jamás a las grandes empresas tecnológicas estadounidenses».
La venta de datos europeos a EE. UU. y China. Los políticos parecen creer que la economía europea se beneficiará de la derogación del mayor número posible de leyes. Sin embargo, cabe esperar exactamente lo contrario: la mayoría de las empresas de la UE no tienen ni el acceso al mismo volumen de datos ni el capital necesario para competir con las corporaciones estadounidenses. En muchos casos, esto también podría significar que los datos recopilados por empresas de la UE (pero tratados en plataformas o servicios fuera de la UE) acabarían en manos de proveedores de EE. UU. o China.
Max Schrems: «Este cambio legislativo beneficia principalmente a los grandes actores, aquellos que han recopilado cantidades masivas de datos europeos. Se trata de una venta total de datos europeos a corporaciones globales. También daría lugar a que una gran cantidad de conocimientos técnicos fluyera de las empresas de la UE a EE. UU. o China. Desde el punto de vista de la política industrial, este enfoque es una locura».
¿Un cheque en blanco para toda una tecnología? Por lo general, el RGPD permite el tratamiento de datos con fines específicos (por ejemplo, la conservación de registros fiscales o la prevención del fraude). Sin embargo, el artículo 88c (o artículo 88bis) acordado legitima toda una tecnología. Independientemente de la finalidad para la que se utilice, cualquier sistema de IA podría recabar legalmente cualquier dato personal por defecto. Por ejemplo, el artículo propuesto también permitiría el entrenamiento y el uso de la IA con fines de manipulación, desinformación, generación de imágenes de desnudos o drones asesinos, y, de hecho, cualquier otra finalidad cuestionable. Muchas operaciones de tratamiento que hasta ahora eran ilegales podrían pasar a serlo de repente, simplemente por realizarse «en el contexto» de un sistema de IA. Por ejemplo, el tratamiento de datos con fines publicitarios personalizados (sin consentimiento) es actualmente ilegal en la UE. Ahora, sin embargo, la publicidad podría convertirse de repente en legal si se personaliza utilizando tecnología de IA.
Max Schrems: «Es como decir que todo vale —hagas lo que hagas— siempre que se haga con IA. Si algo es ilegal en una hoja de cálculo de Excel, es legal si se hace con un agente de IA. Es totalmente absurdo dar un trato preferencial a una tecnología de alto riesgo frente a cualquier otro sistema informático».
La promesa de 45 años de protección de datos se está desmoronando. A nivel europeo, la legislación sobre protección de datos existe desde 1981. Durante décadas, se ha prometido a los europeos que esa protección de datos (supuestamente) «estricta» garantizaría que plataformas como Twitter/X, Facebook o Instagram, y empresas como Google o Microsoft, que recopilan enormes cantidades de datos, «nunca» los utilizarían para fines distintos de aquellos para los que fueron compartidos. El artículo 88c propuesto (o ahora 88bis) rompe esta promesa: de repente, todos los datos recopilados quedan a disposición de cualquier sistema de IA para cualquier uso.
Max Schrems: «Desde la década de 1980, hemos prometido a la gente que, aunque las grandes empresas puedan conservar los datos, solo se les permite utilizarlos de forma limitada. Sin embargo, el artículo 88 bis abre de repente las compuertas y permite el uso ilimitado de todos los datos para la IA».
Nuevas limitaciones masivas a las protecciones y los derechos. Además, los Estados miembros de la UE han propuesto restringir drásticamente la definición de «datos personales». Esto significa que, entre otras cosas, no está claro si el seguimiento en línea seguiría estando cubierto por el RGPD. Se supone que esto se hará utilizando los denominados «seudónimos», que, por regla general, ya no deberían estar cubiertos por el RGPD. El problema es que la mayoría de los sistemas informáticos funcionan principalmente con seudónimos (como identificadores de usuario, identificadores de seguimiento, direcciones IP o números de la Seguridad Social). La decisión de si los datos siguen siendo «personales» la tomarían principalmente las empresas reguladas por la ley. Este tipo de debates suelen prolongarse durante años y sumir los procedimientos en enormes retrasos y costes desorbitados, lo que dista mucho de una «simplificación».
Max Schrems: «Estos cambios parecen sacados directamente del manual de cualquier gran bufete de abogados que defienda a las grandes empresas tecnológicas. Llevamos años en los tribunales y ante las autoridades para conseguir que se rechacen estas afirmaciones. Es probable que el legislador de la UE les dé un nuevo impulso y, por lo tanto, haga que la legislación de la UE sea aún más compleja e inaplicable.»
Próximo frente: el Parlamento Europeo. Este acuerdo no es un acuerdo sobre la ley definitiva. El Consejo tiene que negociar la redacción final con el Parlamento Europeo, que aún no se ha pronunciado al respecto. La Comisión Europea es la tercera institución implicada en los denominados «trílogos» que darán lugar a una ley definitiva de la UE. La Comisión ya dio un giro de 180 grados hace algún tiempo y, en la actualidad, da claramente prioridad a los intereses de los grupos de presión de la industria frente a los derechos fundamentales.
La posición del Parlamento Europeo aún se está definiendo. Mientras que la mayoría del Partido Popular Europeo (PPE) tiende a abogar por introducir cada vez más lagunas jurídicas en la legislación digital de la UE, los eurodiputados de los grupos de centroizquierda se han opuesto hasta ahora y están a favor de mantener el statu quo. Cada vez más, también los grupos de extrema derecha se oponen a las propuestas de dar «carta blanca» a las grandes empresas tecnológicas.
¿Última esperanza: el Tribunal de Justicia? Lacuestión principal parece ser si una ley sin restricciones significativas puede conciliarse de algún modo con los derechos fundamentales de la UE. En el pasado, el Tribunal de Justicia de la Unión Europea ha anulado legislación de la UE en casos que implicaban vulneraciones mucho menos graves de los derechos fundamentales de la UE, como la retención de datos o la transferencia de datos de la UE a Estados Unidos.
Max Schrems: «Si el legislador ha perdido todo sentido de la proporción y el rumbo, los ciudadanos solo pueden recurrir a los tribunales. Cualquier ley extrema que presente un alto riesgo de ser anulada no haría más que generar mayor inseguridad jurídica, en lugar de la simplificación prometida».
