Inteligencia Artificial (IA) y Protección de Datos Personales(PDP), contextos

Para un tema en desarrollo permanente y resumiendo aportes previos[i], cualquier breve exposición sobre el tema del título podría abordar dos perspectivas.

Una, la aplicación de los Principios de PDP al tratamiento con sistemas de IA o de decisión automatizada, y la enorme carga de gestión para los responsables del tratamiento de datos personales que operen con ellos[ii], que de no asumirse o de mal asumirse ya ha significado sanciones, por ejemplo en Europa[iii] y en Argentina[iv].

Y otra, algunas cuestiones de coyuntura concretas, tales como (i) gravar a la débil futura Agencia de Datos con todas las implicancias del uso de IA en Chile[v], (ii) querer prohibirse el uso de sistemas de reconocimiento facial[vi] o (iii) el no entender que exigirse una amplia transparencia algorítmica de los sistemas en el Estado es una mala opción[vii], porque cada ciudadano puede accionar para su caso concreto mediante el Habeas Data de la Ley N° 19.628[viii].

Para el primer ámbito, el estudio puede focalizarse, a modo ejemplar, en (i) la necesidad de evitar la determinación de sesgos errados al alimentarse (entrenarse) el sistema con DP y para construirse perfiles, que lleguen a resultados injustos o que se traduzcan en discriminaciones; (ii) la gravedad de no operar con el consentimiento expreso, explícito, inequívoco y previo de los titulares de DP; (iii) a que por tratarse de volúmenes masivos de datos personales (vía herramientas de Big Data) un análisis de riesgos en sede de evaluación de impacto es ineludible (y su omisión será una infracción sancionada con multas el año 2026); o, (iv) que el uso de técnicas de anonimización será otra opción necesaria y obligatoria[ix].

Fuente de referencia obligada es la Agencia española de datos personales, sea por idioma, sea por regirse por un similar sistema jurídico de origen latino, sea por los aportes robustos a la dogmática y a la jurisprudencia en sede de PDP. En su blog, el año 2023 por ejemplo, la AEPD despejaba cualquier duda posible sobre alguna afectación del tratamiento de DP con IA a la transparencia o al acceso a la información, de partida porque son cosas muy diversas[x].

Todo responsable de datos sabe o puede entender que, por las complejidades inherentes a la IA, cuando opera como esta especial herramienta tecnológica de tratamiento y por las posibles vulneraciones, existen riesgos, por ejemplo, en materia de la determinación de sesgos errados al construirse perfiles, y que deben evaluarse antes del inicio de los tratamientos las posibles lesiones al derecho a la PDP, adoptándose medidas para mitigar las amenazas. Pero hay que descartar las visiones negativas o poco serenas, que llevan a querer regular en forma equivocada.[xi]

A la letra, “…los sistemas de IA, especialmente los basados en aprendizaje automático y grandes modelos de lenguaje, se alimentan de enormes volúmenes de datos para entrenar y ajustar los modelos y alimentar los motores de IA, datos que pueden contener información sensible como identificadores personales, patrones de comportamiento, datos de ubicación y registros financieros o médicos”.

El uso de IA implica necesariamente el tratamiento de datos masivos[xii], dentro de los cuales se incluyen (o pueden incluirse) diferentes categorías de datos personales, y como los sistemas se entrenan con conjuntos de datos extensos—frecuentemente extraídos de Internet u otros repositorios masivos—resulta complejo asegurar que no se haya incluido información privada o personal, y en caso afirmativo, si se contó con el consentimiento previo para utilizarla[xiii]. Se anota como la Agencia de Protección de Datos Personales de Noruega consagra que la mayoría de las aplicaciones de IA requieren grandes volúmenes de datos para aprender y tomar decisiones inteligentes[xiv], pero los datos personales, que identifican o hacen identificable a una persona natural, son necesarios no solo para que la IA alcance su máximo potencial sino también para que ésta pueda evitar sesgos o errores al momento de realizar un tratamiento.

Lo anterior se traduce en que, en forma previa, necesariamente habrá que realizar un EIDP, y en que se presenta como un imperativo el prevenir niveles de riesgo no aceptables, por su impacto -por ejemplo- al omitirse el consentimiento de los titulares en la tutela de su derecho fundamental a la PDP. Las EIDP ante el uso de sistemas de IA y para el tratamiento de DP son necesarias y obligatorias de ser realizadas, de partida porque involucran el tratamiento de un Derecho Fundamental.

Javier Ribas[xv] explica, por ejemplo, que el paso inicial para analizar los riesgos de la IA en una empresa es conocer los casos de uso asociados a cada departamento. Es la llamada fase de identificación de casos de uso, también denominada de discovery, levantamiento, inventario o registro, y que el objetivo es crear un registro de casos de uso con el fin de tener una base sólida y real para el posterior análisis de riesgos. Agrega, que “…si la metodología de búsqueda se basa en aplicaciones o sistemas de IA, en el registro aparecerán nombres como ChatGPT, Copilot, Gemini, Claude, Midjourney y similares, pero no se conocerá el detalle de los casos de uso reales, que es donde reside el riesgo”; y, que “…incluso entrando en los sistemas de IA para auditar su uso, habrá que tener en cuenta que en muchas empresas hay usos individuales, descentralizados y desconectados de la estructura de control y del modelo de cumplimiento”.

Pensemos además en el Principio de Seguridad exigible en sede de PDP; porque al entrenarse una maquina con inteligencia artificial se deberán aplicar técnicas de anonimización que impidan identificar a la persona que proporciona la información. Siempre se hará necesario la adopción de medidas técnicas, humanas y administrativas idóneas para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Un análisis específico requiere la herramienta de deepfake, que combina el denominado aprendizaje profundo o automático y contenidos generados mediante técnicas de inteligencia artificial, en concreto, las llamadas redes generativas antagónicas (o GANs en inglés). Estas a su vez operan a través de dos redes de IA neuronales. Una, la generadora, que crea imágenes, audios o videos sintéticos, y otra, la discriminadora, que evalúa los resultados del generador e intenta distinguirlos de los datos reales, y que en un proceso iterativo dura hasta que el generador produce contenido tan convincente que el discriminador ya no puede identificarlo como falso de manera confiable.

Jurídicamente existe un tratamiento de datos personales, que requiere consentimiento de su titular, incluso si se hace con fines de entretenimiento o creatividad porque esta finalidad no es base de licitud o de legitimación para el tratamiento y a su respecto resulta difícil invocar la existencia de un interés legítimo que exima de obtenerlo. Como posible hipótesis de trabajo, se deberá analizar si a propósito de la tecnología deepfake y sus colisiones con los derechos de la personalidad en general y con los datos personales en particular, especialmente con el derecho a la propia imagen (y muy cercano el derecho concreto a la voz), el ordenamiento jurídico cuenta con herramientas idóneas para hacer frente a las intromisiones ilegítimas o al uso y tratamiento del DP imagen propia sin consentimiento de su titular. Conceptualmente la vigente Ley N° 19.628 es aplicable.

Una jurisprudencia preliminar y reciente, en EE.UU., permite precisar los conceptos precisamente a propósito del derecho a la voz[xvi]–[xvii]. En concreto, un juez del Distrito Sur de Nueva York admitió una demanda por clonación de voces mediante inteligencia artificial, aludiéndose a que la voz constituye un rasgo esencial de la identidad y su uso no autorizado puede configurarse como una vulneración a los derechos de la personalidad. Para ser precisos, el problema no es la IA, ahora una simple herramienta de tratamiento. Al menos se alude a “…la utilización ilimitada de identidades personales mediante inteligencia artificial, sin control ni consentimiento de los titulares”, pero la perspectiva jurídica más robusta es que, sin base de licitud o causal de legitimación, se realiza un tratamiento de DP sensibles que afecta a la imagen propia y al Derecho Fundamental a la PDP.

Para el segundo contexto, el de problemas concretos o coyunturales (por ejemplo afectándose el negocio de los operadores de sistemas biométricos), un artículo 6° sobre “sistemas de IA de riesgo inaceptable”, señala que serán aquellos que queden comprendidos en algunas de las siguientes categorías, letra f) los sistemas de extracción no selectiva de imágenes faciales, que crean o amplían bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales a partir de internet o de imágenes de circuito cerrado de televisión. Y porque es genérica para aludir a “todos los datos biométricos”, también podría entenderse aplicable la letra e), que alude sistemas de identificación biométrica remota en espacios de acceso público en tiempo real, destinados al análisis de imágenes de vídeo. Ocurre que, so pretexto de que no haya una intromisión en la confidencialidad y bajo un objetivo de seguridad, puede regularse en en forma obcecada. (Santiago, 14 de noviembre de 2025)

[i] Puede verse en https://www.editorialhammurabi.com/shop/pais/chile/inteligencia-artificial-y-derecho-propiedad-intelectual-e-imagen-propia/

[ii] Un resumen en https://editorial.tirant.com/cl/autorList/renato-jijena-leiva-976877

[iii] Un conflicto generado en agosto del 2024 por el tratamiento de DP mediante sistemas de IA, imputando a “X” (la anterior Twitter) el uso ilegal o no consentido de los antecedentes de los usuarios, precisamente para alimentar y entrenar su tecnología de inteligencia artificial. La queja fue presentada en nueve países europeos, por violarse las leyes de la Unión Europea (el RGPD), en concreto, ante las autoridades de protección de datos de Austria, Bélgica, Francia, Grecia, Irlanda, Italia, Países Bajos, Polonia y España. Se mencionaba una cantidad de DP de 60 millones de usuarios, sin informarles ni solicitar su consentimiento y sin la posibilidad de eliminar los ya procesados, y se comparaba con Facebook y Meta, que también interrumpió el entrenamiento de IA en la UE pero que sí informó a sus usuarios con antelación. ¿El núcleo del problema?: sería la captura en masa y de forma ilegal de datos privados de ciudadanos europeos.

[iv] Otro caso reciente es el generado en Argentina y en contra de la empresa Meta (Facebook, Instagram) . Se presentó ante la Agencia de Acceso a la Información Pública (AAIP) de Argentina, a fines de julio de 2024, ante el eventual uso de datos personales para el entrenamiento de sistemas de inteligencia artificial por parte de la compañía y para obtener explicaciones detalladas sobre sus prácticas de recolección y uso de datos personales. Entre los puntos relevantes de la presentación, se incluyeron solicitudes de información sobre (i) actualizaciones de políticas de privacidad, (ii) evaluaciones de impacto, (iii) procesos de anonimización y (iv) políticas de retención de datos, por considerarse cuestiones esenciales para garantizar un uso ético y transparente de la información personal.

[v] El tema está desarrollado en https://www.diarioconstitucional.cl/articulos/proyecto-de-ley-de-inteligencia-artificial-y-competencias-de-la-futura-agencia-nacional-de-datos-personales-en-chile-una-institucionalidad-mal-disenada/

[vi] En uno de los proyectos de ley en curso, el del Ejecutivo, se alude a los sistemas de identificación biométrica, de presentarse el tratamiento no autorizado de datos personales, o que se presten para la vigilancia masiva, con el consiguiente potencial de socavar el ejercicio de derechos fundamentales. En concreto desde la perspectiva del tratamiento de DP biométricos, en Chile se intenta regular el uso de sistemas de RF. Observa el preámbulo que los sistemas de IA basados en técnicas de facial scraping, es decir, aquellos que crean o amplían bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales desde internet o de imágenes de circuitos cerrados de televisión, debido al riesgo de extracción y tratamiento de datos personales sin consentimiento de sus titulares, además de su falta de transparencia y control.

[vii] Hay quienes reclaman un dogma casi imposible de alcanzar, y lo llaman “transparencia radical”, o que se sepa qué datos se usan, para qué fines y con qué salvaguardas, pero se equivocan cuando no aluden a la confidencialidad de cualquier DP sino a que la vida privada no es un lujo sinos un derecho que sostiene la libertad individual”. Sólo si el entrenamiento de un sistema de IA se hace con datos personales sensibles es válido acudir a la idea de privacidad o intimidad.

[viii] Puede verse en https://www.diarioconstitucional.cl/articulos/confidencialidad-secreto-y-reserva-del-derecho-fundamental-a-la-proteccion-de-datos-personales-2/

[ix] Pero claro, como se precisa, la IA aprende de las correlaciones de DP, “…lo que incrementa el riesgo de que el modelo pueda deducir la identidad de alguien a partir de una combinación de características o reconstruir datos fragmentados para recuperar información sensible, aún si están anonimizados”.

[x] Ante la entonces propuesta y hoy norma aprobada de Reglamento de Inteligencia Artificial (AIA), cuyo ámbito material son los sistemas de IA, estableció un concepto de transparencia que difiere del mismo término establecido en el RGPD, cuyo ámbito material son los tratamientos de datos personales. Transparencia en el marco de ambos reglamentos implica a (i) distintos actores, a (ii) diversa información y (iii) está destinada a diferentes destinatarios. La transparencia en términos de la propuesta AIA es la información que proveedores de sistemas de IA destinan a los usuarios, entendidos como entidades que desarrollan y aplican estos sistemas; en cambio, es diverso el escenario cuando los sistemas de IA se incluyen en, o son medios de, un tratamiento de datos personales, y los responsables del tratamiento deben obtener información sobre ellos para cumplir sus diferentes obligaciones de cara al RGPD.

[xi] La IA no es una amenaza ni un desafío profundo para la PDP; es sólo un sistema que hay que saber usar, incluso sin otra regulación que la propia de la PDP.

[xii] “…Los sistemas de IA utilizan enormes cantidades de datos. Cuantos más datos procesan, más precisos y eficientes se vuelven. Por ejemplo, se estima que ChatGPT-4 cuenta con aproximadamente 1,8 billones de parámetros2.

[xiii] Las precisiones están tomadas de https://www.f5.com/es_es/company/blog/top-ai-and-data-privacy-concerns

[xiv] MORALES CÁCERES, Alejandro (2020), “El impacto de la inteligencia artificial en la protección de datos personales”. Disponible en la URL https://www.worldcomplianceassociation.com/2767/articulo-el-impacto-de-la-inteligencia-artificial-en-la-proteccin-de-datos-personales.html.

[xv] Puede verse en https://www.linkedin.com/posts/javierribas_distintos-resultados-en-funci%C3%B3n-de-la-pregunta-activity-7337009590351331328-Qlte?utm_source=share&utm_medium=member_desktop&rcm=ACoAAAQ5tM0BVTbVJpSqOL4eUoeZqD4va0-AOhY

[xvi] Está citada en diarioconstitucional.cl/2025/11/01/juez-de-ee-uu-admite-demanda-contra-empresa-tecnologica-por-clonacion-de-voces-no-autorizada-mediante-inteligencia-artificial/

[xvii] Está disponible en https://zytk3mcoaiv9yvqy.public.blob.vercel-storage.com/cl-uploads/wp-content/uploads/2025/10/Vea-texto-de-la-resolucion-1-KwUOV5UIglbCmQtwCBl1RVN7ji1slX.pdf