IA/TI

La IA (AI, por sus siglas en inglés, «Artificial Intelligence») es una tecnología de inteligencia artificial que permite a los ordenadores pensar y aprender de forma similar a las personas.

Incluye diversas tecnologías, como el aprendizaje automático, el procesamiento del lenguaje natural y el reconocimiento de voz e imágenes, y está influyendo cada vez en más sectores.

La IA puede aprender, realizar predicciones y tomar decisiones de forma autónoma a partir de datos.

La TI (IT, por las siglas inglesas de «Information Technology») se refiere a la tecnología de la información que engloba el conjunto de tecnologías relacionadas con los ordenadores, el software y las redes, y que permite recopilar, almacenar, transmitir y procesar información.

La TI se ha consolidado como un elemento esencial para aumentar la eficiencia operativa de las empresas, mejorar la experiencia de los clientes e impulsar la innovación en diversos sectores.

Las empresas que desarrollan u operan servicios o sistemas basados en IA deben garantizar principios éticos aplicables a la IA, la explicabilidad, la no discriminación y la transparencia.

El Reglamento de IA de la UE de 2024, el proyecto de Ley Marco de IA de Corea sometido a información pública legislativa y las directrices del NIST sobre gestión de riesgos de IA también exigen como criterios esenciales la transparencia de la IA, la prevención de sesgos en los datos y la explicabilidad de los algoritmos.

Por tanto, al desarrollar modelos de IA es necesario ① revisar previamente los sesgos del conjunto de datos, ② elaborar documentación que garantice la explicabilidad de la IA, ③ implantar un proceso de verificación ética de la IA y ④ designar a una persona responsable de la IA y constituir un comité de ética.

Cuando se recopilen, analicen o utilicen datos personales durante el desarrollo o la operación de IA, deben cumplirse la Ley de Protección de Datos Personales de la República de Corea y la Ley de Redes de Información y Comunicaciones de la República de Corea, entre otras normas.

En particular, cuando se recopile información de identificación personal, imágenes o datos de localización para entrenar una IA, el incumplimiento de los requisitos de consentimiento y de las medidas de desidentificación puede dar lugar a sanciones pecuniarias administrativas (gwajinggeum) y sanciones penales.

Por tanto, es esencial ① realizar una evaluación del impacto sobre la protección de datos personales del conjunto de datos destinado al entrenamiento de la IA, ② especificar el consentimiento para la recopilación y el uso de datos personales, ③ adoptar medidas de desidentificación de los datos y revisar su idoneidad y ④ incorporar la protección de datos desde el diseño (Privacy by Design) en el sistema de IA.

Si un servicio de IA genera discriminación algorítmica no intencionada por motivos de origen étnico, sexo, edad o lugar de procedencia, entre otros, la empresa puede quedar expuesta a críticas sociales y sanciones jurídicas.

Por tanto, es necesario ① aplicar procesos de análisis de las decisiones de la IA y revisión de sesgos, ② establecer criterios para comprobar la equidad de los algoritmos, ③ crear conjuntos de datos que reduzcan los riesgos de sesgo y ④ realizar auditorías éticas periódicas de la IA.

Son frecuentes las cuestiones relativas a la titularidad de los derechos de autor y a la vulneración de derechos sobre los datos utilizados para entrenar IA y los contenidos generados mediante IA.

Entre las principales cuestiones figuran la protección mediante derechos de autor de los contenidos creados por una IA, la posibilidad de entrenarla sin autorización con obras ajenas y la titularidad de los derechos sobre sus resultados.

Para prevenir estos riesgos, es necesario ① revisar los derechos y gestionar las licencias al recopilar datos para entrenar IA, ② celebrar contratos sobre la titularidad de los derechos de los resultados generados por IA, ③ comprobar previamente si los datos de entrenamiento vulneran derechos de autor y ④ definir claramente las cláusulas de atribución de derechos en las condiciones de uso de los contenidos de IA.

Cuando se producen incidentes de piratería informática, ransomware o filtración de datos personales en sistemas de IA y servicios de TI, pueden surgir sanciones penales y responsabilidad de indemnización por daños y perjuicios con arreglo a la Ley de Redes de Información y Comunicaciones y la Ley de Protección de Datos Personales de la República de Corea.

La respuesta en materia de ciberseguridad es especialmente necesaria para las empresas que operan servicios SaaS basados en IA, infraestructuras en la nube o fábricas inteligentes.

Para ello, es necesario ① obtener la certificación del sistema de gestión de la seguridad de la información (ISMS), ② evaluar las vulnerabilidades de los sistemas de IA, ③ establecer un manual de respuesta frente a amenazas de seguridad para la IA y ④ elaborar un protocolo de respuesta ante posibles filtraciones de datos personales.

Cuando las empresas de plataformas o TI abusan de una posición dominante frente a los comercios asociados o proveedores de contenidos, manipulan las comisiones publicitarias o las posiciones en los resultados de búsqueda, o modifican unilateralmente las condiciones de las operaciones, pueden quedar sujetas a sanciones pecuniarias administrativas (gwajinggeum) y órdenes de rectificación con arreglo a la Ley de Regulación de Monopolios y Comercio Justo de la República de Corea.

En particular, resulta relevante garantizar la equidad de los sistemas de recomendación, publicidad y fijación de precios basados en algoritmos de IA.

Para abordar estas cuestiones, es necesario ① garantizar la transparencia de los algoritmos, ② utilizar contratos tipo con las empresas asociadas, ③ revisar previamente las prácticas desleales en las operaciones de las plataformas y ④ aplicar un programa voluntario de cumplimiento de las normas de comercio justo en las plataformas.

Los servicios que utilizan inteligencia artificial (IA) conllevan diversos riesgos jurídicos, como la titularidad legal de los «resultados generados por IA» y el incumplimiento de las normas sobre «ética de la IA».

En particular, cuando la IA facilita decisiones automáticas a los usuarios o se utiliza para celebrar contratos, evaluar préstamos, calcular tarifas de seguros o valorar al personal, resulta importante determinar a quién corresponde la responsabilidad jurídica si una decisión errónea causa daños a los consumidores.

Aunque en Corea todavía no se ha promulgado una ley específica y clara sobre IA, la responsabilidad derivada de estos servicios se determina mediante normas vigentes como la Ley de Protección de Datos Personales, la Ley de Regulación de Monopolios y Comercio Justo y la Ley de Propiedad Intelectual (derechos de autor) de la República de Corea.

Las empresas deben revisar la estructura de toma de decisiones de los algoritmos de IA, la existencia de sesgos en los datos y la posibilidad de uso incorrecto o abusivo, así como establecer condiciones de prestación de los servicios de IA y procedimientos de información para reducir los riesgos relacionados con la atribución de responsabilidad jurídica.

La implantación de un comité de ética de la IA y de un sistema de informes de evaluación de impacto de la IA también puede contribuir a prevenir controversias jurídicas.

Durante la recopilación y el uso de datos personales y datos desidentificados para mejorar el rendimiento de los servicios de IA, deben cumplirse la Ley de Protección de Datos Personales y la Ley de Redes de Información y Comunicaciones de la República de Corea.

En particular, el uso de datos personales para entrenar IA genera obligaciones como aplicar un procedimiento para obtener el consentimiento del interesado, definir claramente la finalidad de la recopilación y el uso, prohibir el uso para fines distintos y celebrar un contrato de encargo del tratamiento .

Para prevenir controversias jurídicas, las empresas deben establecer una gobernanza sistemática de los datos que incluya una «evaluación del impacto sobre la protección de datos personales» respecto de los datos de entrenamiento y operación del servicio, el cumplimiento de las «directrices sobre seudonimización de datos» y la publicación de una «política de tratamiento de datos por la IA».

Los servicios de TI, como los sistemas de recomendación basados en IA, los sistemas de decisión automática y los servicios de análisis de datos, pueden afectar de manera significativa a los consumidores, por lo que están sujetos a obligaciones relativas a las condiciones del servicio, los procedimientos de consentimiento de los usuarios y la información sobre las limitaciones del servicio.

En particular, debe indicarse claramente si las recomendaciones o decisiones de la IA son meramente informativas o si constituyen decisiones que conllevan obligaciones jurídicas o económicas, así como informar de la posibilidad de errores o fallos de funcionamiento del servicio de IA.

El incumplimiento de estas obligaciones puede constituir una infracción de la Ley de Comercio Electrónico de la República de Corea y generar la obligación de compensar a los consumidores y responsabilidad de indemnización por daños y perjuicios.

Por tanto, conviene que las empresas revisen las condiciones de uso de sus servicios de IA/TI e incluyan claramente las cláusulas de exención de responsabilidad y las limitaciones del servicio.

Respecto de los textos, imágenes, archivos de audio y vídeos generados por IA, constituyen cuestiones jurídicas los requisitos de originalidad, la atribución de la autoría y la protección mediante derechos de autor.

Con arreglo al Derecho coreano, la IA no es una persona física y, por tanto, no se reconoce como autora, mientras que es probable que los derechos sobre los resultados correspondan a la persona física o jurídica que la opere.

No obstante, puede producirse una vulneración de derechos de autor cuando la IA se entrena con obras de terceros y las transforma, reelabora o reproduce de forma similar.

Las empresas deben establecer procedimientos para comprobar la licitud de los datos de entrenamiento de la IA, la posibilidad de registrar derechos de autor sobre los resultados, la posible vulneración de derechos de terceros y las licencias correspondientes.

También es necesario establecer previamente cláusulas de exención de responsabilidad sobre los contenidos generados mediante IA y procedimientos para solicitar su eliminación o modificación.

La globalización de los servicios de IA/TI ha aumentado los supuestos en los que se almacenan datos personales en servidores en la nube situados en el extranjero o se comparten datos con proveedores de servicios extranjeros.

En estos casos, la Ley de Protección de Datos Personales de la República de Corea exige cumplir procedimientos rigurosos, como obtener el consentimiento del interesado, informar de la finalidad de la transferencia internacional y de los datos del destinatario, evaluar la adecuación y elaborar un plan de medidas de protección.

Las empresas deben controlar los riesgos mediante la identificación de los datos objeto de transferencia internacional, la celebración de contratos de transferencia, la evaluación de su impacto y la elaboración de un plan de medidas de protección de datos. También deben revisar periódicamente el nivel de protección ofrecido por los proveedores extranjeros de servicios en la nube.

Los servicios de recomendación mediante IA, las tiendas en línea basadas en IA y los servicios de aplicaciones deben cumplir las normas sobre publicidad y presentación de información en línea.

La publicidad falsa, exagerada o engañosa, la publicidad que utiliza indebidamente datos personales y la omisión de la indicación del carácter publicitario de contenidos recomendados automáticamente por IA constituyen infracciones de la Ley de Etiquetado y Publicidad Justos de la República de Corea y pueden dar lugar a sanciones pecuniarias administrativas (gwajinggeum) y sanciones penales.

En particular, las soluciones publicitarias basadas en IA utilizan la segmentación automática y la publicidad personalizada, por lo que existe un mayor riesgo de inducir a error a los consumidores. En consecuencia, debe indicarse claramente que se trata de publicidad y obtenerse el consentimiento de los usuarios.

Las empresas deben revisar los textos y métodos de presentación de la publicidad, la transparencia del proceso de recomendación mediante IA, el grupo de consumidores destinatarios de los anuncios y la documentación explicativa de los algoritmos de IA para reducir previamente los riesgos de infracción.

1. Requisitos jurídicos para el desarrollo y la operación de servicios de IA

□Comprobación de si las condiciones de uso del servicio de IA y la política de tratamiento de datos personales informan de las funciones y limitaciones de las decisiones automáticas de la IA

□Comprobación de si se han implantado normas éticas sobre IA y un procedimiento de evaluación del impacto de la IA sobre los derechos humanos

□Comprobación de la discriminación, los sesgos y las distorsiones en el desarrollo y la operación de algoritmos de IA, y establecimiento de un sistema de gestión de riesgos

2. Protección de datos personales y gestión de datos
□Comprobación de si los datos de entrenamiento de la IA contienen datos personales y de si se han obtenido los consentimientos correspondientes

□Comprobación del cumplimiento de los procedimientos de desidentificación, seudonimización y prohibición del uso para fines distintos

□Comprobación de si se han establecido contratos de encargo del tratamiento de datos personales y un sistema de gestión de los encargados del tratamiento

3. Protección jurídica de los resultados generados por IA y riesgos relacionados con los derechos de autor
□Aclaración de la titularidad de los derechos sobre los contenidos generados por IA y elaboración de directrices internas

□Obtención de licencias válidas sobre las obras originales utilizadas para entrenar la IA

□Establecimiento de procedimientos para atender las solicitudes de eliminación o modificación de contenidos de IA presentadas por los usuarios

□Comprobación de si las condiciones del servicio incluyen cláusulas de exención de responsabilidad jurídica sobre los resultados generados por IA

4. Cumplimiento de las normas sobre publicidad y presentación de los servicios de IA/TI
□Comprobación de la indicación del carácter publicitario y de la información facilitada respecto de los servicios de recomendación, decisión automática y publicidad basados en IA

□Revisión previa de la existencia de publicidad falsa, exagerada o engañosa y de textos publicitarios que puedan inducir a error a los usuarios

□Obtención del consentimiento para recopilar y utilizar datos personales en la publicidad con segmentación personalizada

5. Establecimiento de un sistema de gestión ética de la IA/TI
□Adopción de normas éticas sobre IA y funcionamiento de un comité interno de ética de la IA

□Evaluación periódica de los riesgos relacionados con el impacto social de los servicios de IA, los derechos humanos y la discriminación

□Elaboración y publicación de informes sobre la evaluación ética de la IA

6. Protección de la información y gestión de la seguridad

□Evaluación periódica de las vulnerabilidades de seguridad de los sistemas de IA/TI y funcionamiento de un sistema de respuesta frente a riesgos

□Elaboración de un manual de respuesta ante filtraciones de información y constitución de un equipo de respuesta ante emergencias