De la burbuja IA a la publicidad: el nuevo asalto a nuestros derechos
En los últimos meses diversos medios nacionales e internacionales, incluido elDiario.es apuntan una cierta percepción de riesgo económico en el ecosistema de la inteligencia artificial que representan los grandes modelos de lenguaje. Evidentemente de estallar esta burbuja se trasladaría a todo el entorno de este mercado comenzando por NVIDIA y contaminando al conjunto de inversores que están alimentando rondas de inversión milmillonarias cuyo retorno parece incierto. Estas afirmaciones deben ser prudentemente matizadas en la medida en la que, a diferencia de la crisis de las empresas .com, el ecosistema empresarial se encuentra dominado por muy pocas empresas que o bien cuentan con una gran solidez o bien respaldan a las empresas de IA.
Existen otros elementos que parece necesario considerar para entender el futuro inmediato. El primero de ellos, y no menor, es el relativo a la alta demanda de recursos energéticos que exige esta tecnología y también de recursos naturales para la fabricación de su infraestructura física. Ello implica una sensibilidad extrema al escenario geopolítico, la necesidad de disponer de recursos energéticos dedicados, incluidas centrales nucleares y el impulso de fuentes alternativas al petróleo-, y la disponibilidad de recursos para su inversión en la construcción y mantenimiento de los centros de datos.
Es probable por tanto que hablar de burbuja sea una mera especulación y, sin embargo, la mera hipótesis este empezando a producir efectos significativos. El no menos despreciable consiste en que los mercados busquen respuesta a un conjunto de preguntas muy sencillas: ¿cuál va ser el retorno de la inversión? ¿cómo van a monetizar estas empresas? ¿cuál es el modelo de negocio? Una primera respuesta apunta a caminos de sobra conocidos: la apertura al uso gratuito y la publicidad.
La monetización de la privacidad un camino antes recorrido
Es importante hacer un poco de historia y recordar que el crecimiento de al menos dos de las empresas que pueden liderar la IA basada en modelos de lenguaje, -META y Google-, se encuentra ligado a la monetización de la información personal. De hecho, el primer pilar en esta monetización ha sido sin duda la publicidad personalizada mediante estrategias de profiling. Este proceso creció tecnológica y económicamente a medida que las posibilidades técnicas potenciaban el crecimiento de las capacidades de extracción, almacenamiento y tratamiento de la información. Y de su historia pueden obtenerse valiosas lecciones aprendidas.
Recordemos que Google y Facebook se posicionaron en su día como operadores dominantes en dos mercados con pocas posibilidades de elección: los buscadores y las redes sociales generalistas. Y recordemos que una y otra compañía no dudaron en adquirir cualquier startup competidora o que pudiera integrar y completar su modelo de negocio. En este contexto la primera gran batalla fue la de las cookies. Una cookie es un pequeño dato que el navegador guarda y devuelve al dominio que la puso cuando se vuelven a cargar recursos de ese mismo dominio. En la práctica inicial de la publicidad online, muchas cookies relevantes eran de terceros: no las ponía la web que se visitaba, sino un dominio embebido que servía anuncios o etiquetas. Cada vez que se visitaba cualquier sitio con espacios publicitarios se cargaba un script/píxel de una red publicitaria y se colocaba una cookie propia en el navegador del usuario. Ese identificador puede ser reconocible por la red publicitaria que lo emitió (y por sus integraciones) y usarse para seguimiento/segmentación entre sitios que carguen sus recursos. Gracias a ello las redes publicitarias pueden acumular páginas vistas, intereses, interacción con anuncios etc., lo cual permite ajustar el target publicitario al comportamiento del usuario. DoubleClick lideró el negocio hasta que fue absorbida por Google.
En esta fase inicial nuestra privacidad se situó en el centro de la cadena de valor. A diferencia de cualquier otro entorno Google podía indexar no sólo cookies sino también nuestras búsquedas, ofrecernos el correo gratuito le abrió la puerta a nuestros pensamientos, ideas y emociones. Por su parte Facebook obtenía datos relevantes en el registro mediante estrategias emocionales, “si me indicas a qué colegio fuiste podré ponerte en contacto con tus antiguos compañeros de clase”, y podía desplegar análisis de esas cookies, y de fingerprints equivalentes, en cada like. Por otra parte, el análisis de la red, la identificación de sus interacciones permite modelar las redes de interacciones como un grafo donde los sujetos son nodos y sus relaciones son aristas. Esto permite analizar y representar las redes. Así, mediante su análisis pueden inferirse las relaciones sociales y emocionales. Con ello iniciaba una nueva frontera para la explotación de la información personal: la privacidad de grupo. Cuando se tiene la capacidad de catalogar redes, sujetos, relaciones y comportamientos puedes afinar el perfilado de cada persona mediante inferencia relacional. Esta técnica añade una capa de valor ya que no sólo se dispone de información subjetiva sobre un sujeto, sino que también se lo puede situar en un contexto social determinado.
El crecimiento del volumen de usuarios retroalimentó los ingresos publicitarios, no en vano Google y Facebook acabaron siendo las primeras compañías en facturación publicitaria y facilitó las siguientes rondas de inversión en hardware y tecnología. Y ello proporcionó lo que la teoría de la inteligencia artificial necesitaba desde finales de los años 50: grandes volúmenes de datos y recursos de computación. Sin necesidad de entrar en el detalle, baste con señalar que el análisis del lenguaje que te proporciona una red social, el correo electrónico o las búsquedas crece exponencialmente cuando se incorporan nuevos servicios de valor añadido. Por ejemplo, cada imagen que se sube y etiquetas ofrece un contexto a ese lenguaje. El vídeo aporta además sonido. Y esto no es banal. Primero trato de aprender a transcribir lenguaje como servicio de valor añadido y después, por ejemplo, lo integro en la mensajería del móvil ofreciendo al usuario siempre la posibilidad de corregir la transcripción. Lo mismo sucede con las traducciones a otras lenguas. Por otra parte, internet se concibió como una red abierta y solidaria y nada me impide explotarla, copiarla entera mediante scraping.
A partir de aquí, se dispone de las herramientas que caracterizan el momento actual. Se dispone de grandes capacidades para la analítica de datos basados ya no sólo en navegación, sino en la trazabilidad de cada acción en un entorno online, en cada texto escrito o compartido, en cada icono o emoji usado o en cada audio o vídeo emitidos. Además, el ecosistema se enriquece con información contextual gracias a los smartphones en ámbitos que van desde la geolocalización a la información que proporcionan aplicaciones específicas hasta donde la imaginación y los permisos del sistema operativo permiten: -wellness, pulseras de actividad, recomendadores…
Ello proporciona a las compañías un alcance holístico respecto de la conducta humana y desde hace muchos años les proporciona algo más que la explotación publicitaria. Entre otros modelos de negocio podemos referir el análisis de mercados, el soporte a las estrategias de marketing político, la generación de un mercado alternativo e informal en el ecosistema de los medios de comunicación, los influencers, y en muchísimos casos la identificación de nichos de mercado altamente dependientes de las necesidades y aspiraciones humanas desde los servicios de asistencia a la conducción a los servicios de salud. El próximo salto cualitativo apunta a una mejora sustancial de los asistentes personales mejorados desde la interacción a través de chat a la gestión autónoma de tareas al servicio del usuario.
Las interacciones con la IA basada en lenguaje: un salto cualitativo
A nuestro juicio el uso generalizado de servicios basados en IA basada en lenguaje, puede experimentar una salto cualitativo cuando se abran a monetizar con publicidad u otros servicios de valor añadido basados en datos. Formalmente hablando, las políticas de privacidad de entidades como OpenAi o Gemini reproducen fielmente un esquema muy conocido desde la llegada de las redes sociales. En esencia, el usuario debe ser capaz de entender que sus datos van a ser reutilizados tanto para el negocio asociado, incluida la divulgación a terceros, como respecto de finalidades tan genéricas como “mantener y mejorar nuestros servicios”. Por otra parte, se incluyen disclaimers de responsabilidad de manera que aquello que uno sube, declara o comparte, lo hace bajo su exclusiva responsabilidad.
Sin embargo, hay una cuestión absolutamente diferencial, aunque en gran medida compartida y aprendida desde el funcionamiento de las redes sociales. Por mucho que se pretendan categorizar los datos “la conversación” es dinámica y permite obtener cualquier tipo de dato mediante inferencia. Además, en las cuentas de acceso libre y gratuito salvo que expresamente se ofrezca opting-out los procesos que alimentan la IA, las inferencias obtenidas con las interacciones y los resultados pueden usarse para retroalimentar el modelo.
Si nos atenemos a las noticias que se vienen publicando, la relación entre el usuario con este tipo de herramientas tiende a humanizar a la IA. Ello implica un modo muy particular de interactuar que en muchos casos acaba implicando la solicitud de consejo médico, psicológico, económico… El potencial de tratamiento de categorías especiales de datos, ideología etc. crece exponencialmente y con ello los riesgos de manipulación accidental e intencional. Por otra parte, hay dos factores adicionales cuya evaluación resulta de difícil análisis sin conocer el modelo de interacción con el cliente publicitario y su infraestructura. Así, por ejemplo, desconocemos que capacidad de transferencia de información sobre el usuario que usa la IA se implementará, en qué casos la empresa que publicita su producto podrá disponer de información previa sobre este usuario o generarla con otras fuentes en tiempo real. Por otra parte, los mecanismos usados para ofrecer el servicio o producto final pueden ser muy diversos desde un enfoque publicitario que no ofrezca dudas a un modelo conversacional humanizado.
¿Usuario responsable o siervo digital?
Las lecciones aprendidas en el periodo inmediatamente anterior no son nada halagüeñas. Buscadores y redes sociales cimentaron su estrategia desde el cumplimiento de la normativa de protección de datos. La estrategia jurídica fu sin duda brillante. En primer lugar, la errónea concepción del consentimiento y su aplicación por parte de las autoridades de protección de datos sustentó de modo determinante el modelo de negocio. Tanto desde la sociología como desde el derecho se ha demostrado de modo incontrovertido que la suscripción a servicios de red social, buscadores o correo electrónico gratuito no se hace en un marco de igualdad y libertad. Se producen múltiples asimetrías. En primer lugar, ya sea por la dimensión del servicio cuando ocupa una posición de operador dominante ya sea por su especialización, al usuario sólo le queda una respuesta binaria: registrarse o no hacerlo. Para muchos usuarios ni siquiera existe esa opción cuando la consecuencia de optar por no usar el servicio significa su aislamiento social o la pérdida de oportunidades profesionales. Por tanto, la idea del consentimiento libre no es más que una falacia.
Por otra parte, la propia naturaleza del servicio opera en favor de las compañías. Desde un punto de vista material se produce un intercambio de servicios a cambio de información personal. En esto, la estrategia también es brillante. Al recurrirse al consentimiento en lugar de un contrato se despoja al usuario de todos sus derechos como consumidor. Al mismo tiempo se banaliza el valor que aporta ya que, al fin y al cabo, nuestros datos no valen nada hasta que los agrega el proveedor. de nuevo un argumento falaz en un contexto publicitario enfocado al comercio online. Porque si nuestros datos no valen nada, ¿por qué la respuesta de Meta a los límites al profiling en la legislación europea consistió en tarificar el servicio de red social a unos 14 euros/mes?
Por último, de manera implícita el contexto favoreció el traslado de la responsabilidad al usuario. El proveedor del servicio opera como un benefactor al cuál hay que agradecer que proporcione servicios de alto valor social de manera gratuita. Es más, como se defendió en el asunto del derecho al olvido y se nos recuerda una y otra vez, los servicios de buscador y redes sociales son el pilar que sustenta nuestra democracia al soportar el libre acceso a la información y una libertad de expresión sin restricciones. El usuario es un ser absolutamente libre e incondicionado que debería ejercer responsablemente su libre autodeterminación. Si un menor se registra, se debe sin duda a la irresponsabilidad parental. Si alguien propaga el discurso del odio ejerce sus libertades tal vez con estridencia, pero ¿qué hay de malo en ser vehemente?
En la práctica los hechos se alinean con quienes se han preocupado por el repunte de una sociedad de la vigilancia en manos de leviatanes empresariales, por quienes alertan de los graves riesgos a los que se enfrenta la democracia y por una evolución de la economía capitalista que adquiere tintes autoritarios, que reserva feudos a determinados operadores y pone a las personas a trabajar al servicio de sus intereses generando riqueza con su datos y siendo influenciada desde el algoritmo en su opciones personales, emocionales, políticas y de consumo. Pasamos de ciudadanos a siervos digitales.
Una oportunidad para el cumplimiento
El despliegue de los nuevos modelos de negocio para la IA guarda una diferencia sustancial respecto de sus precedentes: se enfrenta a un marco legal robusto basado en principios muy claros. Desde el RGPD la legislación digital europea pivota sobre dos elementos sustanciales: la garantía de los derechos fundamentales y el sistema democrático y la sujeción del desarrollo a estándares normativos precisos que definiremos como orientación a producto. Ello impone ineludiblemente un proceso de diseño e implementación que debe evitar incurrir en cualquier tipo de prohibición ya sea por contravención de una norma ya sea por que se encuentre directamente tipificada. Este proceso de diseño pasa ineludiblemente por un proceso de análisis de riesgos para los derechos fundamentales que materialmente debería impedir la falacia de trasladar responsabilidades al usuario. El proveedor está obligado a asegurar que no se vulneren derechos fundamentales y a no poner en riesgo ni el Estado de Derecho, ni nuestro sistema democrático.
Por otra parte, los sistemas deben ser seguros para el usuario, no deben causar daño alguno ni en su esfera de derechos, ni en la sociedad ni al propio usuario en sentido psíquico y físico. Para ser entendible una IA financiada con publicidad que materialmente manipulase la percepción y el proceso de decisión de personas vulnerables por razones de salud alentando a la compra de productos milagro, como el hipoclorito contra COVID, vulneraría el artículo 5 del Reglamento sobre Inteligencia Artificial. Pero incluso antes de llegar ahí, desde el Reglamento General de Protección de Datos la empresa proveedora debería saber que el tratamiento de categorías especiales de datos obliga a una evaluación de impacto relativa a la protección de datos, que esta obliga a verificar todo tipo de riesgos, particularmente en los derechos fundamentales, y a establecer medidas de salvaguardia. Y este no es un ejercicio formalista o teórico: posee un contenido material. Y a nadie se le escapa cuáles son los riesgos de una aplicación capaz de realizar diagnósticos diferenciales y localizar tratamientos. Y tampoco podemos estar tan ciegos para considerar admisible que “todas las personas entenderán un disclaimer del tipo: esto no es un consejo médico”.
En conclusión, las compañías ya no deberían poder “moverse rápido y romper cosas” o jugar a categorizar sus servicios buscando eludir cualquier tipo de responsabilidad. Y si ellas no lo hacen, corresponderá actuar a los reguladores.
Un error geopolítico y un riesgo para los derechos
En este contexto las políticas promocionales centradas en la responsabilidad del usuario son absolutamente inanes. Ni sirvieron en el pasado, ni van a servir ahora. Basta con analizar los hechos. El crecimiento exponencial de ChatGpt en 2022 se basó de manera transparente en una estrategia de gamificación propia de las redes sociales y le permitió alcanzar 100 millones de usuarios en pocos meses. Con ello, la compañía que es obvio que había aprendido las lecciones de las redes sociales completó seguramente la última pieza de su modelo de negocio: aprender directamente con interfaces humanos.
Si ahora esta industria siente la necesidad de monetizar la Unión Europea va a ser la primera perjudicada en cualquier dimensión si no se asegura el cumplimiento estricto de las reglas del juego. En primer lugar, pierde en el territorio más obvio. ¿No aprendimos nada en el periodo 2000-2015? ¿No entendemos que definitivamente se pierde la soberanía individual y colectiva? Poner en marcha el modelo de consentimiento para el data-altruism que propone la Data Governance Act es un acto de heroicidad con los requisitos que define el Comité Europeo de Protección de Datos. Pues bien, para cualquier modelo de lenguaje en IA desplegar su servicio de asistentes y recomendadores de salud, de asistente en la compra o de lo que se pueda imaginar, es cuestión de meses y al parecer hemos admitido que le baste un mero consentimiento informado del usuario que nadie lee ni entiende.
Este estado de cosas perjudica a la competitividad de los innovadores e investigadores de la Unión Europea, a nuestra capacidad de crecimiento. Y es así, porque el esfuerzo de construir los espacios europeos de datos en un ecosistema que garantice la seguridad, los derechos de las personas y la soberanía digital es enorme y requerirá tiempo mientras los grandes proveedores de IA solo necesitan abrir un servicio “healthy” de recomendadores y asistentes de salud para que la población europea en masa les suba su historia clínica.
Y aquí, ya no se tratará de la complejidad de la normativa referida por el Informe Draghi sino de la ceguera de los reguladores que imponen obligaciones de imposible cumplimiento a los operadores locales mientras ejercen sus funciones de control con una lentitud exasperante. El Reglamento General de Protección de Datos, el Reglamento de Servicios Digitales y el Reglamento de Inteligencia Artificial ofrecen poderosas herramientas para disciplinar este nuevo mercado. Lo que resulta sencillamente sorprendente es que la metodología de análisis de riesgos y evaluaciones de impacto, que tantos recursos consume a los operadores no se aplique por los propios reguladores. Estos riesgos son visibles para cualquier experto y, de hecho, ya han motivado actuaciones de oficio de alguna autoridad.Las campañas bienintencionadas dirigidas a los usuarios no producirán resultado alguno. Carecen de capilaridad y presencia social, y no interesan a su target al que ya han capturado otros intereses. ¿A que velocidad se va a mover la task force on AI enforcement del Comité Europeo de Protección de Datos? ¿En qué medida se van a monitorizar las conductas prohibidas del Reglamento de IA? ¿Qué acciones directas, rápidas y eficaces se adoptarán?
Se necesitan respuestas claras. Una sociedad asistida por una IA sin una monitorización exigente se deslizará muy pronto hacia territorios de alto riesgo para nuestras libertades que no son difíciles de prever. Ya no hay tiempo para la reactividad diferida basada en denuncias o infracciones. Se impone una acción de supervisión regulatoria continua del mercado, inspirada en la idea de vigilancia poscomercialización, sin renunciar a un acompañamiento en la fase precomercial. Ello implica ejercer las funciones de auditoría de las que se disponen, mantener conversaciones abiertas y directas con la industria y promover el beta‑testing en sandboxes antes del lanzamiento de productos. El diálogo debe ser abierto y constructivo, pero también exigente desde la autoridad normativa.
En las tecnologías de la información y las comunicaciones, ser reactivo exige prepararse para admitir la derrota de las libertades. No nos equivoquemos de nuevo.