Inteligencia artificial acorde al derecho y a las cuestiones sociales.

Vigilancia Legal No. 34 – Abril de 2021

Inteligencia artificial en línea con el derecho y las cuestiones socialesLa inteligencia artificial y la seguridad están hoy vinculadas en el discurso político y jurídico. Pero ¿Hasta qué punto puede –o debe– la adaptación de nuestro marco regulatorio a desafíos como el terrorismo incorporar los últimos avances tecnológicos?

A principios de la primavera, con la aprobación de la ley de vigilancia global y las nuevas medidas de la ley antiterrorista, surgen controversias.

Los límites de la recopilación generalizada de datos

En el contexto actual, observamos la influencia de varios actores, incluido el Consejo de Estado, asociaciones de libertades civiles y el Tribunal de Justicia de la Unión Europea.

Este último emitió dos sentencias el 6 de octubre de 2020 que afectan a Francia en relación con su ley de inteligencia y sus prácticas de conservación de datos de conexión.

De hecho, el Tribunal de Justicia ha recordado la el incumplimiento de los derechos fundamentales por la recogida generalizada e indiscriminada de datos de comunicaciones de los operadoresLa Corte precisa el carácter excepcional que debe tener dicha recogida, por objetivos de seguridad nacional y por una duración estrictamente limitada.

Invocado a raíz de estas decisiones por las asociaciones, el Consejo de Estado realizó en su decisión del 21 de abril un delicado ejercicio de conciliación entre el derecho de la Unión Europea y los objetivos nacionales de lucha contra el terrorismo y la criminalidad, pidiendo al gobierno que realice algunos ajustes en su política de vigilancia generalizada (reexamen periódico de la amenaza que justifica la recogida de datos, efecto vinculante y ya no consultivo de los dictámenes de la Comisión Nacional de Control de las Técnicas de Inteligencia – CNCTR).

Estas conclusiones son duramente criticadas por las asociaciones, que destacan la insuficiencia de los ajustes requeridos y la interpretación muy amplia por parte del Consejo de Estado de la noción de "seguridad nacional" más allá de la lucha contra el terrorismo, para incluir por ejemplo el espionaje económico, el tráfico de drogas o la organización de manifestaciones no declaradas, en violación del derecho europeo.

La Quadrature du Net y otras asociaciones también sometieron el 29 de abril al Consejo Constitucional la cuestión de la legalidad de la ley de vigilancia global, también basándose en el carácter desproporcionado de muchas de las medidas de vigilancia previstas en la ley. 

Los algoritmos de la ley antiterrorista

Los debates suscitados por el proyecto de ley sobre la prevención de actos de terrorismo y la inteligencia se superponen a este debate y reavivan las cuestiones de proporcionalidad de las medidas previstas.

Nos referimos en particular a dos aspectos del proyecto de ley, que en una versión inicialmente publicada pretendía perpetuar el uso de algoritmos para monitorizar, en particular, las conexiones de los internautas en función de los sitios web visitados, y para recoger datos generalizados de comunicaciones por satélite.

La versión del proyecto publicada el 28 de abril en la Asamblea Nacional ya no contiene estas disposiciones, que deberán ser adaptadas –para tener en cuenta los “ajustes” solicitados por el Consejo de Estado– en una carta correctiva prevista durante el mes de mayo.

Hay que tener en cuenta que el dictamen de la CNIL del 8 de abril sobre este proyecto no ha sido publicado, ni tampoco el de la Comisión Nacional de Control de las Técnicas de Inteligencia.

¿Una futura regulación más clara de la IA a nivel europeo?

Paralelamente a estos avances nacionales, La Comisión Europea publicó el 21 de abril una propuesta para regular la inteligencia artificial., que algunos ya consideran demasiado restrictiva mientras otros deploran sus limitaciones.

La Comisión planea prohibir el uso de IA que viole los valores de la UE y los derechos humanos, en particular los usos "inaceptables" destinados a influir en el comportamiento o atacar las vulnerabilidades individuales a través de algoritmos predictivos.

La propuesta, por ejemplo, prohíbe la "puntuación social". Como se ha visto en China con el desarrollo de aplicaciones que permiten al Estado evaluar el crédito social de cada individuo. Los desarrolladores de proyectos que utilicen IA deberán realizar análisis de riesgos (especialmente tratamientos identificados como de alto riesgo).

Las violaciones de estos principios pueden dar lugar, como en el RGPD, a multas de hasta el 4% de facturación.

Sin embargo, las medidas restrictivas previstas en la propuesta no se aplican a los gobiernos y autoridades públicas de la Unión Europea que utilizan IA para proteger la seguridad pública.

Algunos, incluido el Supervisor Europeo de Protección de Datos, deploran la ausencia de una moratoria sobre cuestiones actuales como el uso en tiempo real de cámaras de vigilancia biométrica por parte del Estado.

Aunque la propuesta restringe dicho uso, sigue siendo posible, especialmente en el contexto de ataques terroristas o la búsqueda de criminales.

Otros señalan La carga de responsabilidad transferida del Estado a los promotores privados, quienes tendrán que realizar su propio análisis de cumplimiento de los sistemas que proponen, por ejemplo en términos de policía predictiva, el uso de IA en procedimientos de asilo o la vigilancia de los trabajadores.

Estas diversas evoluciones ponen de relieve la sensibilidad de un debate que debe tener en cuenta tanto las cuestiones de seguridad nacional, reservadas a los Estados, como los aspectos de orden económico y de derechos fundamentales especificados por un orden jurídico europeo que se les impone.

La propuesta europea prevé la creación de un Comité Europeo de IA, Compuesto por los distintos Estados miembros de la UE, la Comisión Europea y el Supervisor Europeo de Protección de Datos, este Comité será responsable de decidir sobre desarrollos no autorizados o de alto riesgo en IA.

¿El comienzo de una solución?

Y también

Francia:

La ANSSI continúa su labor de concienciación sobre los riesgos de seguridad, con una Guía para proteger sitios web.

La guía especifica los parámetros que deben especificarse al desarrollar e integrar un sitio web o aplicación web, con el fin de garantizar su seguridad.

La CNIL publica una lista de preguntas y respuestas relativas a pruebas de saliva en las escuelas, utilizado en el contexto del cribado de Covid-19.

En su octavo cuaderno de Innovación y Prospectiva, la CNIL desarrolla Las razones que llevan a un individuo a presentar una denuncia por el incumplimiento de sus derechos.Menciona cuatro razones principales:

• “Cuando la reputación de las personas se ve amenazada por la información disponible en línea (casi un tercio de las quejas);
• Cuando son víctimas de intrusión en su esfera privada mediante prospección comercial (alrededor del 20% de las denuncias);
• En caso de vigilancia en su lugar de trabajo (10 a 15 denuncias %); y finalmente
• Cuando consten en ficheros nacionales (accidentes bancarios, antecedentes penales).

Europa:

Unión Europea: El proyecto de pasaporte sanitario es objeto de debate a nivel europeo.

Tras el dictamen conjunto del Comité y del Supervisor Europeo de Protección de Datos, ahora es el turno del Parlamento Europeo de examinar esta cuestión.

Así se destacó,

• La necesidad de integrar la “Privacidad por diseño” en el sistema de procesamiento de datos,
• La garantía de ausencia de base de datos centralizada,
• Una identificación clara de los responsables del tratamiento de datos,
• Información de las personas interesadas y
• Un período de retención de datos limitado.

Consejo de Europa: El 28 de abril, el Comité de Ministros adoptó una Declaración sobre la protección de la privacidad de los niños en el entorno digital.

Esta declaración tiene como objetivo reforzar la protección de los niños en lo que representa una parte cada vez mayor de sus vidas, ya sea en la escuela, con sus amigos o en el contexto de actividades culturales o deportivas, con un impacto particular actual debido a la pandemia de Covid-19 (actividades en línea que conllevan más riesgos, incluido el de exclusión digital).

Países Bajos :El Tribunal de Distrito de Limburgo consideró la procedimientos de derecho de acceso múltiples iniciados por un individuo con el objetivo de obtener daños y perjuicios a los responsables del tratamiento de datos que tardaron en responder.

Siempre en el Países BajosEl Tribunal de Distrito de Ámsterdam ordenó a Uber restablecer seis Conductores despedidos en base a decisiones automatizadasLa empresa fue condenada a pagar 5.000 euros en multas por cada día de retraso y más de 100.000 euros en concepto de daños y perjuicios.

Según información publicada a mediados de abril, el operador Huawei Supuestamente obtuvo acceso a la red de telecomunicaciones holandesa KPN, lo que le permitió acceder a las comunicaciones de clientes, incluidos muchos de los responsables políticos del país.

España: El Ministerio de Defensa ha sido advertido por la autoridad de protección de datos.

La razón de esto es la grabación mediante cámaras instaladas alrededor de las oficinas del ministerio –sin necesidad demostrada–. imágenes de plazas de aparcamiento pertenecientes a casas vecinas (gracias a la wiki GDPRhub por su inventario de decisiones). 

Alemania : La autoridad supervisora del estado de Hamburgo anunció el 13 de abril el lanzamiento de una Procedimiento administrativo contra Facebook por el cambio de política de WhatsApp respecto a la recopilación de datos personales.

Se cuestiona la validez del consentimiento de los usuarios, lo que justifica que la autoridad de control congele la recogida de datos durante tres meses mientras se desarrolla la investigación.

Internacional :

ESTADOS UNIDOS : El reconocimiento facial se está desarrollando en los bancos, que utilizan cámaras inteligentes para identificar a sus clientes, empleados e incluso a las “personas sin hogar” que puedan estar cerca de los distribuidores. 

Aunque el uso de inteligencia artificial en el contexto de la videovigilancia no está regulado de manera similar en todos los estados americanos, la FTC (Comisión Federal de Comercio) sigue siendo competente para verificar las condiciones de uso de esta tecnología y sancionar su uso con fines discriminatorios.

Anne Christine Lacoste

Socia de Olivier Weber Avocat, Anne Christine Lacoste es abogada especializada en derecho de datos, fue responsable de Relaciones Internacionales en el Supervisor Europeo de Protección de Datos y trabajó en la implementación del RGPD en la Unión Europea.