Las exigencias de calidad de datos en la IA

La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica que aclara cómo se articulan los principios de exactitud y minimización del RGPD cuando los sistemas de inteligencia artificial tratan datos personales. El documento disipa una confusión habitual: la calidad de los datos no equivale, sin más, al principio de exactitud del RGPD. A continuación analizamos sintéticamente las claves del documento.

1.  “Exactitud-RGPD”: una noción vinculada a la finalidad, no a la veracidad absoluta

El RGPD exige en su artículo 5.1.d) que los datos personales sean exactos y, si fuera necesario, actualizados. Sin embargo, la AEPD subraya que este principio, que denomina “exactitud-RGPD”, no debe interpretarse como una exigencia de veracidad absoluta respecto de la situación actual de cada persona. Su significado real es que los datos han de ser adecuados para alcanzar la finalidad del tratamiento.

En la práctica, esto tiene una consecuencia importante, ya que un dato que no refleje fielmente la realidad individual puede cumplir plenamente con el principio de exactitud-RGPD si, tomado en el contexto del conjunto de datos, resulta idóneo para cumplir la finalidad. Por ejemplo, técnicas habituales en el desarrollo de IA (imputación de valores ausentes, datos sintéticos, corrección de sesgos) pueden introducir valores formalmente inexactos a nivel de registro individual sin vulnerar el RGPD, siempre que el conjunto resultante sea apto para su finalidad y no genere representaciones distorsionadas de las personas.

 2. Minimización: ni más ni menos datos de los necesarios para la IA

El principio de minimización (artículo 5.1.c) del RGPD) opera de forma complementaria a la exactitud. Impide acceder a datos con un grado de precisión, granularidad, frecuencia u otras características que excedan de lo estrictamente necesario para la finalidad perseguida.

La nota técnica de la AEPD es especialmente relevante para el desarrollo de sistemas de IA: los conjuntos de datos que no reúnan la calidad mínima necesaria para desarrollar o evolucionar un modelo no podrán considerarse necesarios para el tratamiento. En consecuencia, el acceso a ellos solo podrá justificarse en la medida estrictamente necesaria para evaluar objetivamente su calidad y determinar su eventual aptitud para la finalidad prevista. Fijar requisitos de calidad excesivos tampoco es una opción válida, pues esto implicaría acceder a más datos de los precisos, contradiciendo directamente el principio de minimización.

3. Idoneidad del tratamiento: el resultado también importa. Idoneidad del tratamiento: el resultado también importa

 Que los datos de entrada sean correctos no basta. La AEPD se refiere al concepto de idoneidad del tratamiento, que se basa en que el resultado final del proceso debe ser apto para cumplir la finalidad y, si ese resultado consiste en datos vinculados a personas físicas identificadas o identificables (decisiones, perfiles, inferencias), debe respetar los principios de exactitud y minimización.

La exigencia de idoneidad es interdependiente del diseño del tratamiento, de la calidad de los datos de entrada y de las salvaguardas desplegadas. Un sistema de IA no ha de ser perfecto, sino adecuado al diseño del tratamiento en el que se despliega. Es decir, sus fortalezas y debilidades han de ser conocidas, documentadas y gestionadas mediante mecanismos de supervisión y control proporcionales al impacto sobre las personas afectadas.

4. Calidad de datos: más allá de los estándares ISO

La calidad de los datos es un concepto más amplio que la exactitud-RGPD. Se aplica tanto a datos personales como no personales y recoge exigencias técnicas que van más allá de la normativa de protección de datos. Los estándares internacionales (ISO 25012, ISO 5259, ISO 8000) ofrecen un marco de referencia útil, pero no deben aplicarse de forma automática ni exhaustiva.

Asimismo, la AEPD advierte frente a la llamada calidad de checkbox: revisar un conjunto de datos de forma abstracta, sin considerar el contexto y la finalidad específicos, no garantiza el cumplimiento normativo. En sistemas de IA, la calidad relevante es frecuentemente la del conjunto de datos como unidad (representatividad, ausencia de sesgo, propiedades estadísticas adecuadas, poder predictivo de las variables), y no la calidad de cada registro individual. Un conjunto de datos puede cumplir los criterios ISO a nivel de registro y resultar inapropiado para la finalidad si, por ejemplo, está sesgado por género o geografía.

Los mecanismos de gobierno de datos de la organización deben integrar, de forma coherente, tanto las obligaciones derivadas de los tratamientos de datos personales como las exigencias propias del ciclo de vida de los sistemas de IA. La AEPD insiste en que la calidad de los datos no es un requisito estático fijado en la fase de diseño, sino un proceso de gestión continuo que requiere monitorización y revisión periódica. Además, la determinación de los requisitos de calidad exige la participación conjunta de especialistas en ciencia de datos y en protección de datos, guiados por criterios objetivos y evidencia verificable.

La publicación de esta nota técnica de la AEPD representa un paso relevante en la clarificación de las obligaciones que el RGPD impone a quienes desarrollan o despliegan sistemas de IA. Las organizaciones que traten datos personales en este contexto deben revisar sus procesos de gobernanza del dato para asegurarse de que los requisitos de calidad se definen con criterios objetivos, se documentan adecuadamente y se revisan a lo largo de todo el ciclo de vida del sistema.