El próximo 10 de septiembre vence uno de los primeros plazos relevantes para la implementación del Reglamento de la Ley de Inteligencia Artificial. A partir de esa fecha, los desarrolladores e implementadores del sector privado que utilicen sistemas de IA en ámbitos como salud, educación, justicia, seguridad, economía y finanzas deberán haber implementado determinadas obligaciones vinculadas con la transparencia algorítmica, la gobernanza, la supervisión humana y la gestión responsable de estos sistemas. En ese escenario, existe un actor cuya participación será cada vez más relevante dentro de las organizaciones: el Oficial de Datos Personales (ODP).
La razón es sencilla. La inteligencia artificial ya no es un asunto exclusivo de las áreas de tecnología. Su incorporación en procesos de selección, evaluación crediticia, atención al cliente, seguridad, salud o marketing implica, en muchos casos, una nueva forma de tratar datos personales. Por ello, el ODP adquiere un papel particularmente relevante en la gobernanza de estas herramientas.
La reciente Directiva sobre el ODP refuerza esa idea. El oficial debe prestar especial atención a los riesgos asociados a las operaciones de tratamiento, considerando su naturaleza, alcance, contexto y finalidad; asesorar en evaluaciones de impacto cuando corresponda, e identificar las operaciones de tratamiento que realiza la organización. Es decir, su función no consiste únicamente en revisar políticas de privacidad o cláusulas. También debe comprender cómo las nuevas tecnologías transforman los tratamientos de datos y qué riesgos generan para las personas.
Ese enfoque encaja directamente con el Reglamento de Inteligencia Artificial. La norma peruana clasifica los sistemas basados en IA en tres categorías: sistemas de «uso indebido», cuyo uso está prohibido; sistemas de «riesgo alto», que pueden utilizarse sujetos a determinadas condiciones y controles; y sistemas de «riesgo aceptable». La clasificación no es meramente conceptual. Determina el nivel de gobernanza que la organización deberá desplegar.
Por ello, una de las primeras tareas que debería impulsar el ODP es un inventario de sistemas de IA. No basta con preguntar qué herramientas ha comprado el área de tecnología. El levantamiento debe identificar qué sistemas se desarrollan, implementan o utilizan; qué finalidad tienen; qué datos reciben; qué resultados generan; si toman o apoyan decisiones sobre personas; quién es el proveedor y qué áreas los utilizan.
El inventario permite efectuar una primera calificación regulatoria. Un algoritmo que interviene en la contratación o cese de trabajadores, la evaluación crediticia o determinadas decisiones vinculadas con la salud puede encontrarse dentro de los supuestos de riesgo alto previstos por el Reglamento. A partir de allí, deberán evaluarse medidas como la elaboración de protocolos de supervisión humana, transparencia algorítmica, explicabilidad, trazabilidad y, cuando corresponda, evaluaciones de impacto.
"La gobernanza de IA en empresas es necesariamente multidisciplinaria.". Foto: Andina.
Pero existe un segundo inventario, quizá más difícil: el de la denominada shadow AI. Un trabajador puede utilizar, sin conocimiento de su empleador, herramientas generativas para resumir contratos, revisar currículums o analizar información de clientes, cargando datos personales, confidenciales o sensibles en plataformas que la empresa nunca evaluó. Frente a ello, el ODP debe trabajar con TI, legal, recursos humanos y compliance para definir qué herramientas están autorizadas, qué información puede utilizarse y qué controles, capacitaciones y mecanismos de detección resultan necesarios.
Esto no significa convertir al ODP en el «Chief Artificial Intelligence Officer» de la empresa. La gobernanza de IA es necesariamente multidisciplinaria. Sin embargo, cuando estos sistemas utilizan datos personales para perfilar, inferir, recomendar o adoptar decisiones sobre personas, el ODP debe participar activamente en su evaluación y en la definición de los controles aplicables.
En la práctica, el ODP debería impulsar un modelo interno de gobernanza de IA que contemple políticas generales y específicas de uso, actualización de políticas de privacidad y documentos de seguridad, transparencia algorítmica, inventario y clasificación de sistemas según su nivel de riesgo, supervisión humana y trazabilidad. Su reto será anticipar cómo la inteligencia artificial transforma los tratamientos de datos personales y los riesgos asociados.
*Escrito por: Alejandro Morales Cáceres, socio de Derecho y Tecnología, TYTL Abogados
