Inteligencia Artificial y Datos Personales: otro desafío para la Agencia de Protección de Datos Personales

Por Oliver Ortiz*.

Es sabido que después del lanzamiento mundial de ChatGPT a fines de 2022, el interés por la Inteligencia Artificial Generativa (o Gen AI) ha aumentado exponencialmente en prácticamente todos los campos, incluyendo el mundo empresarial a nivel global, prometiendo grandes mejoras en la productividad de las compañías. Así, por ejemplo, a nivel local, y de acuerdo con el estudio que realizamos en Deloitte recientemente, un 48% de las compañías chilenas todavía no ha implementado herramientas de Gen AI; sin embargo, aquellas que sí lo han hecho han llegado a experimentar mejoras en su eficiencia y productividad en hasta un 38%, resultados que suelen verse solo después de un año de su implementación.

El panorama legal nacional tampoco se ha quedado atrás. La actividad legislativa se ha intensificado en el último tiempo y hemos sido testigos de cómo el Congreso ha ido configurando un enjambre de normativas para regular aspectos relacionados con tecnologías emergentes y la realidad de la transformación digital (por ej. Ley de Protección de Datos Personales, Ley Marco de Ciberseguridad, Avances de la Ley de transformación Digital del Estado, entre otras).

Dentro de este conglomerado de proyectos de ley, podemos apreciar que sólo entre 2023 y 2024, han ingresado al Congreso al menos siete proyectos que buscan regular la inteligencia artificial, en distintos ámbitos, siendo el más robusto el ingresado el pasado siete de mayo del presente año, denominado “Proyecto que regula los sistemas de inteligencia artificial” (Boletín N° 16.821-19 de la H. Cámara de Diputados, o el “Proyecto de IA”), que se encarga de consagrar los principios que regularán los sistemas de inteligencia artificial y creando al efecto una nueva entidad técnica y consultiva (el “Consejo Asesor Técnico de Inteligencia Artificial” o el “Consejo”), instancia de carácter permanente, coadyuvante del Ministerio de Ciencia, Tecnología, Conocimiento e Innovación (“MCTCI”). En general el Proyecto de IA chileno sigue la tendencia de la Unión Europea, donde recientemente – el 1 agosto de 2024 pasado – entró en vigencia la Ley de Inteligencia Artificial (“EU AI Act”), normativa que a su vez contempla un plazo de dos años de transición, y que emplea una técnica legislativa basada en niveles de riesgos, distinguiendo entre aquellos sistemas de IA que contienen riesgos (i) inaceptables, (ii) altos, (iii) limitados, o (iv) sin riesgo evidente, misma línea que sigue el proyecto chileno.

Uno de los aspectos del Proyecto de IA, que sin duda generará un nuevo desafío para la nueva Agencia de Protección de Datos Personales (la “Agencia”), será que dicho cuerpo normativo le entrega la supervisión y cumplimiento de su regulación a la Agencia. En otras palabras, la Agencia, una vez en operación, tendrá bajo sus hombros el peso de supervisar y sancionar potenciales infracciones de 2 leyes en simultáneo (la de protección de datos personales y de IA).

El primer desafío es meramente jurídico. La primera norma persigue un bien de protección legal muy específico – regular la forma y condiciones en la cual se efectúa el tratamiento y protección de los datos personales de las personas naturales- mientras que la segunda persigue otro objetivo legal, consistente en promover la creación, desarrollo, innovación e implementación de sistemas de inteligencia artificial al servicio del ser humano. El segundo desafío es más bien técnico. El Proyecto de Ley de protección de datos personales no se refiere en absoluto – en la actualidad – a la necesidad de tener profesionales especializados técnicamente en temas de IA. Así, en principio, podemos tener la legítima duda de si acaso los profesionales de la Agencia tendrán realmente la expertise necesaria para entender las complejidades de la IA Generativa (funcionamiento de los LLM, los modelos matemáticos e informáticos detrás de ellos, aspectos de programación requeridos, entre otros temas técnicos complejos que se requerirán seguramente para entender en profundidad el riesgo involucrado en los desarrollos de aplicativos de IA).

Una de las posibles soluciones podría ser, por un lado, introducir una indicación al Proyecto de IA que permita que el Consejo técnico pueda además de asesorar al MCTCI, tenga como objeto apoyar a la Agencia para efectos de cubrir los gaps de especialización técnica que pudieran existir en dicha materia (tema que el Proyecto actualmente no considera). Otra alternativa, aunque más onerosa, sería reformar la aprobada Ley de protección de datos, dotándola de profesionales especializados en IA.

Cualquiera sea la solución, resulta necesario comenzar a abordar estas discusiones desde ya, con miras a que al tiempo de la entrada en vigencia de ambas leyes, ambas puedan beneficiarse (en vez de colisionar), colaborando normativamente entre sí, y permitiendo a la autoridad respectiva dilucidar las soluciones a las complejas situaciones que podrían derivarse de la supervisión y control de temas de datos personales y de inteligencia artificial en general en nuestro país.

*Oliver Ortiz, Gerente de Intangibles, Datos y Tecnología en Deloitte Legal.