La geopolítica del dato

Tras la toma de posesión de la nueva presidencia norteamericana la evolución acelerada del escenario geopolítico global plantea tantas incertidumbres como certezas. Una de las cuestiones que más debería preocuparnos es la relativa a la soberanía digital entendida en sentido amplio como nuestra capacidad de control sobre las tecnologías que soportan la transformación digital, las condiciones para la generación de datos y el escenario más favorable para su reutilización con fines de investigación, innovación y emprendimiento dirigidos al bien común y a la generación de riqueza. En un contexto global esta cuestión no solo concierne a los europeos, sino también al conjunto de compañías con independencia de su nacionalidad o establecimiento en la medida en la que son determinantes para su modelo de negocio.

Entre las certezas hay dos que resultan claras y ya han comenzado a materializarse. La primera de ellas consiste en una apuesta significativa por la desregulación de los sectores tecnológicos y, particularmente el relativo a la inteligencia artificial. La segunda, directamente relacionada con ella, se refiere al modo en el que los grandes hiperescalares del sector desplieguen o acaten las condiciones que definen el nuevo escenario ante las instrucciones directas y constantes que cada día emite el ejecutivo norteamericano. Porque lo que es indudable es que las políticas que se proponen por la Administración Trump entran en directa contradicción con el marco regulador emergente de la Unión Europea. Por su importancia significativa debemos referirnos a la eliminación de toda política relacionada con la gestión del riesgo para la democracia y las libertades en los entornos sociales de Internet. Y, aunque la proliferación de las noticias falsas y el discurso del odio sean preocupantes, esta no debería ser la única cuestión que centre nuestra atención y puede que ni siquiera resulte la más importante.

No es en absoluto desdeñable el anuncio de una fuerte ronda de inversión pública dedicada por el Gobierno de los Estados Unidos a la inteligencia artificial. Esta iniciativa sumada a la desregulación mediante la retirada de la orden ejecutiva de Biden, anuncia un ecosistema de desarrollo de la tecnología en el que Estados Unidos profundiza en su modelo de innovación flexible y desregulada a la vez que probablemente esté adquiriendo rasgos propios de las decisiones que han alimentado la geopolítica tecnológica del Gobierno chino en los últimos años. Cabe así esperar una aceleración de los procesos de innovación centrada en alcanzar resultados competitivos desde un enfoque poco responsable. Así, la velocidad en el desarrollo y la consecución de los objetivos previamente definidos por un negocio se impondrían a cualquier otra consideración. Y ello incluye la garantía de los derechos de las personas.

No afirmaremos en ningún caso que EE. UU. carezca de las garantías propias de un Estado de Derecho. Sin embargo, la diferencia sustancial reside en un modelo de control jurídico altamente dependiente del resarcimiento por la causación de daños. Es decir, en ausencia de un conjunto de procedimientos normatizados para el desarrollo de la tecnología las compañías operan a partir de las herramientas que se encuentran en el estado del arte. Estas son esencialmente de dos tipos. Pueden acudir a mecanismos de estandarización, como las normas ISO sobre inteligencia artificial o el framework que proporciona el NIST. Junto a ellos pueden aplicar principios o estándares éticos de la inteligencia artificial corporativos o proporcionados por organizaciones como la OCDE.  

El elemento diferencial en términos de riesgo regulador consiste en que únicamente en aquellos casos en los que el resultado fuese dañoso cabría acudir a un tribunal para exigir la correspondiente responsabilidad. Obviamente, esta podría exigirse en materia de propiedad intelectual, -en aquellos casos en los que se considere que, por ejemplo, la utilización de técnicas de scraping ha supuesto un enriquecimiento injusto o un reaprovechamiento de información sin el debido permiso-, a la legislación sobre patentes o a la normativa sobre privacidad cuando se afecte a los derechos de las personas a partir del tratamiento de su información. Pero sea cual fuere la base legal y el procedimiento que se inste para exigir responsabilidad, con toda seguridad esto se producirá cuando el producto ya se encuentra en el mercado, en el largo plazo y con unos costes que no siempre van a ser asumibles para el consumidor, salvo que la cuestión caiga bajo la competencia de la Federal Trade Commision.

Existe otro motivo significativo para la preocupación. Se está ordenando a las compañías norteamericanas renunciar a las políticas de diversidad y discriminación positiva. Imaginemos otro escenario. Hemos asistido al espectáculo ofrecido en la reunión entre los presidentes de Ucrania y Estados Unidos. ¿Es posible que la Administración Trump presione a Starlink para que reduzca o retire el soporte a la conectividad en Ucrania? Esto podría generar serios inconvenientes operativos para el Ejército ucraniano y para el funcionamiento ordinario de la sociedad. A nuestro juicio este es un escenario imposible, pero esta es una palabra que pierde significado cada minuto que pasa. ¿Deberían prever nuestras universidades, hospitales, industria y más de una administración un escenario de este tipo? No es en absoluto banal incluir en sus planes de contingencia la migración a otros entornos y/o la confirmación de las garantías que hubieran recibido de sus proveedores.

En términos geopolíticos esto podría suponer, más allá de la dependencia tecnológica, una pérdida de competitividad europea que el Informe Draghi atribuye a la hiperregulación europea. Debemos subrayar que la Unión Europea apuesta por un mercado regulado y tutelado por distintas autoridades independientes en el tratamiento de los datos de carácter personal, en los ecosistemas de datos no personales y en la regulación específica de la inteligencia artificial. Además, cuenta con el refuerzo de la coerción que proporciona un marco sancionador soportado mediante multas que podrían implicar altísimos costes para las empresas.

Y ese modelo sigue creciendo. Todas y cada una de las decisiones relacionadas con la generación de conjuntos de datos no solo se encuentran sometidas al Reglamento General de Protección de Datos y a las correspondientes autoridades. Aparecen nuevos organismos administrativos ya sea para la gestión del sistema, ya sea incorporando potestades administrativas y capacidad sancionadora. Por otra parte, determinados desarrollos tecnológicos, -desde los dispositivos médicos electrónicos a los sistemas de inteligencia artificial de alto riesgo, pasando por las historias clínicas electrónicas-, exigen seguir un proceso de validación por un organismo notificado para obtener el sello CE que les permita alcanzar el mercado. La asimetría resulta más que evidente. Cualquier compañía norteamericana que acceda a fondos privados y a fondos públicos en sus rondas de financiación va a disponer de un importante músculo económico y de procesos de desarrollo muy flexibles. Así, desplegarán sus productos en un tiempo significativamente más breve que el que se requeriría para sus competidores en el mercado de la Unión.

Llegados a este punto, es evidente, que lo que resultaría más sencillo sería desregular y competir con las mismas armas. Sin embargo, y en esencia, ello supondría no sólo claudicar sino renunciar a los valores que fundamentan nuestras democracias desde la Posguerra. La sociedad algorítmica que se dibuja en el horizonte norteamericano se parece cada vez menos al capitalismo de la vigilancia y emigra hacia el feudalismo digital. Ese modo de ver el mundo puede que genere riqueza, pero va a dejar en el camino a los más vulnerables, arrasar el estado social y obliga a renunciar a una democracia deliberativa que será sustituida por un estado de manipulación emocional permanente. No creo que sea esto lo que nuestras sociedades deseen, al menos no de manera consciente.

Sin embargo, podemos alcanzar el mismo resultado de persistir en el enfoque regulador que ha caracterizado la protección de datos y que no hemos sabido ni dirigir ni enfocar. Con demasiada frecuencia hemos confundido la garantía de un derecho fundamental con su prevalencia absoluta e indiscutible y hemos alterado la posición constitucional de los reguladores. Esta afirmación es dura, pero demostrable. No resulta en absoluto posible creer que esta materia se regula por el RGPD y mediante decisiones fiscalizables por los tribunales. Porque no es cierto. En realidad, en lugar de utilizar los instrumentos interpretativos de naturaleza reglamentaria que sí podrían ser objeto de recurso, el verdadero derecho está siendo generado mediante instrumentos de soft-law, como guías, directrices o informes jurídicos, que no son susceptibles de recurso.

Por otra parte, la generación de estos instrumentos en la mayor parte de las ocasiones no responde a un proceso de diálogo y co-creación sino a un criterio que se impone desde el regulador. Y ello suele arrojar resultados del más variado signo. El más común consiste en promover un grado de excelencia tan elevado como inalcanzable. En el otro extremo del espectro se sitúan las recomendaciones que hacen prevalecer a ultranza el derecho tutelado, a riesgo de la vida de las personas si fuera necesario, como demostró COVID. El resultado final es absolutamente contrafactual. En la práctica la gestión del riesgo regulador es de tal intensidad que paraliza la capacidad de innovación y obliga a los equipos jurídicos a una estrategia defensiva insostenible para las organizaciones. Aquellas que poseen una estructura multinacional pueden decidir dónde sitúan sus desarrollos a los demás sólo les queda emigrar o alquilar su talento a las temibles empresas norteamericanas.

Este estado de cosas obliga a reconsiderar el rol de las autoridades de protección de datos, y de las autoridades de inteligencia artificial y otras que irán surgiendo, en el contexto geopolítico hacía el que nos dirigimos. La independencia, el control regulador sobre el mercado y la defensa de los derechos fundamentales no se preservan mejor desde una grave carencia de políticas públicas que potencien el desarrollo de las tecnologías digitales. Para muestra valga un botón. En estos días se discuten en fase de información pública, las Guidelines 01/2025 on Pseudonymisation. El documento, contiene un párrafo, el número veintidós que parece apuntar a objetivar el concepto de dato seudonimizado. Si hemos leído bien el resultado será obvio: la anonimización de un dato personal es imposible. Es decir, aunque hayamos realizado un esfuerzo de anonimización muy robusta, aunque dispongamos de un espacio seguro de procesamiento, aunque integremos una intermediación de software que opere como barrera frente a usos indebidos y trace todos los usos, aunque utilicemos tecnologías criptográficas, si el conjunto de datos presenta un riesgo de reidentificación presente o futuro aplicará el RGPD. Es decir, aunque el usuario no pueda reidentificar, aunque el sistema evite ataques externos y ni un solo dato pueda salir del mismo, será un dato personal seudonimizado con todas las exigencias del RGPD. El resultado es evidente: no se podrán generar grandes conjuntos de datos en la Unión Europea porque salvo en el futuro Reglamento del Parlamento Europeo y del Consejo sobre el Espacio Europeo de Datos Sanitarios no existen excepciones a la regla del consentimiento ni habilitaciones específicas. Y de existir, dependen de la interpretación del Comité Europeo de Protección de Datos y de las mismas autoridades de protección de datos cuya visión estricta y restrictiva resulta más que evidente.

Por tanto, asumiendo que el marco regulador es imperativo y compartiendo su necesidad y carácter esencial para la garantía de los derechos fundamentales, es evidente que la partida de la geopolítica del dato se juega en los despachos de los reguladores. ¿Entenderán cual es su papel en este nuevo Gran Juego?