IA i RGPD
Automatitzar sense trencar res
i poder demostrar-ho després
La primera pregunta quan es proposa automatitzar l’entrada de consultes és sempre la mateixa: on acaben les dades dels clients i qui les pot veure. És la pregunta correcta, i aquesta pàgina la respon per escrit.
El punt de partida
El RGPD no impedeix automatitzar. El que impedeix és automatitzar sense haver decidit abans quines dades es recullen, amb quina base jurídica, qui decideix què i què queda registrat.
Aquestes quatre decisions es prenen en dissenyar el sistema, no quan ja funciona. Un sistema que cal corregir després surt més car que un de ben fet, i en el pitjor cas cal apagar-lo.
Com es dissenya aquí
No són bones intencions: són decisions de disseny que es prenen abans de construir i que queden a la documentació del sistema.
Només les dades necessàries
Cada camp que es recull ha de justificar per què hi és. Un formulari que demana la data de naixement perquè venia així de fàbrica és una obligació afegida a canvi de res.
Cada tractament, amb la seva base
Consentiment, execució de contracte o interès legítim, identificat i anotat per a cada ús concret. «Ho tractem perquè ens fa falta» no és una base jurídica.
Una persona decideix el que afecta
Les decisions amb efecte significatiu sobre algú les valida una persona abans d’executar-se. Ho exigeix l’article 22 del RGPD i a més defineix on van els punts de control del circuit.
Registre de què va fer el sistema
Què va entrar, què va decidir i què va sortir, amb la seva data. Sense aquest registre no es pot revisar una queixa ni demostrar res davant d’una inspecció.
Terminis de conservació decidits
Quant temps es guarda cada cosa i què passa després. Guardar «per si de cas» i per sempre és la infracció més comuna i la més fàcil d’evitar.
Protocol d’aturada
En quins casos s’atura el sistema, qui assumeix la seva feina mentrestant i què cal revisar abans de tornar-lo a engegar. Escrit abans que faci falta.
Si treballes amb dades de salut
Les dades de salut són categoria especial: l’article 9 del RGPD en prohibeix el tractament tret que es doni una excepció concreta, i el consentiment ha de ser explícit.
A la pràctica això canvia el disseny, no només el paperam. En una clínica, per exemple, els avisos automàtics porten la cita però no el tractament, i les dades clíniques no surten del programari de gestió. S’automatitza el recordatori, no la història clínica.
El que hi afegeix el Reglament d’IA
El Reglament europeu d’IA se suma al RGPD, no el substitueix. Classifica els sistemes per risc i afegeix obligacions segons on caigui cadascun.
La major part del que es munta en una pime —classificar consultes, redactar esborranys, respondre preguntes freqüents— entra a la categoria de risc limitat, i la seva obligació principal és de transparència: qui parla amb un sistema automàtic té dret a saber-ho.
Puja de categoria quan el sistema intervé en decisions sobre persones: selecció de personal, avaluació de l’acompliment, accés a serveis essencials o solvència. Allà les exigències són unes altres, i convé saber-ho abans de començar i no després.
Què preguntar a qualsevol proveïdor d’IA
Jo inclosa. Si alguna d’aquestes preguntes incomoda qui te la ven, això ja és una resposta.
- On s’emmagatzemen les dades i en quin país són els servidors?
- El model de llenguatge que fa servir s’entrena amb el que li enviem? I amb quin contracte ho garanteix?
- Quins subencarregats hi intervenen, i són tots al contracte d’encàrrec de tractament?
- Quines decisions pren el sistema tot sol i quines passen per una persona?
- Què queda registrat de cada execució, i durant quant de temps?
- Què passa si deixem de treballar junts: s’emporta vostè el sistema o es queda amb mi?
- Com es corregeix el sistema si algú reclama que es va equivocar amb les seves dades?
Això no és assessorament jurídic
És com es dissenyen els sistemes que munto i què convé exigir a qui te’ls munti. Per al registre d’activitats de tractament, l’avaluació d’impacte o un cas concret que se surti del previst, la referència és la teva assessoria legal.
Abans de decidir per on començar convé tenir la xifra al davant: quantes hores i quants euros se’n van a l’any en el que avui es fa a mà.