La autoridad italiana de protección de datos impuso el viernes una limitación temporal inmediata al tratamiento de los datos personales de los usuarios italianos por parte de OpenAI a través de ChatGPT, lo que supone la intervención regulatoria más significativa hasta la fecha contra este servicio de inteligencia artificial generativa de rápido crecimiento.
El organismo regulador italiano, conocido como Garante, declaró en su resolución del 31 de marzo que había abierto una investigación tras detectar irregularidades en los avisos de privacidad, la base legal para la recopilación masiva de información personal utilizada para entrenar algoritmos, la inexactitud de los datos personales generados por el sistema y la ausencia de un mecanismo eficaz para verificar la edad de los usuarios. Asimismo, señaló un incidente de seguridad ocurrido el 20 de marzo que expuso los títulos de chat de algunos usuarios y cierta información de pago.
Los datos de entrenamiento se convierten en el centro del debate sobre la IA
La orden va más allá de la mera mecánica de una filtración de datos. El Garante afirmó que, al parecer, no existía fundamento jurídico que justificara la «recopilación y el procesamiento masivos» de datos personales utilizados para entrenar los algoritmos subyacentes de ChatGPT. Este desafío plantea una cuestión fundamental para la IA generativa moderna: si la ingesta masiva de información a escala de internet puede satisfacer los requisitos europeos de un procesamiento lícito, transparente y proporcionado.
OpenAI ha descrito sus modelos como sistemas entrenados con una combinación de información pública, material con licencia y datos creados por instructores humanos, pero la empresa no publica una lista completa de los documentos de entrenamiento. La intervención del regulador podría obligar a una explicación más precisa sobre qué datos personales se utilizan, por qué su procesamiento es lícito y qué derechos tienen las personas cuando los resultados de los modelos contienen información inexacta sobre ellas.
La decisión llegó apenas dos semanas después de que OpenAI lanzara GPT-4, un modelo más avanzado que puede procesar imágenes y texto, y que, según la compañía, ofrece un rendimiento sustancialmente superior al de sistemas anteriores en numerosas pruebas comparativas profesionales y académicas. Este lanzamiento ha intensificado tanto el interés comercial como el escrutinio sobre la fiabilidad de los sistemas.
Una brecha de seguridad ocurrida el 20 de marzo aumentó la urgencia
OpenAI reveló que un fallo de software dejó a ChatGPT fuera de servicio el 20 de marzo, después de que algunos usuarios pudieran ver los títulos de las conversaciones de otros usuarios. En un informe detallado del incidente, la compañía indicó que el mismo fallo pudo haber expuesto información relacionada con pagos del 1,2 % de los suscriptores de ChatGPT Plus activos durante un período de nueve horas, incluyendo nombres, direcciones de correo electrónico, direcciones de pago, fechas de vencimiento de las tarjetas y los últimos cuatro dígitos de los números de tarjeta.
El incidente no reveló los números completos de las tarjetas de crédito, y OpenAI afirmó haber contactado a los usuarios afectados. Sin embargo, proporcionó un ejemplo concreto de los riesgos para la privacidad asociados a un servicio que millones de personas utilizan para escribir, programar, investigar y mantener conversaciones cada vez más delicadas.
Por lo tanto, la actuación de la Autoridad de Protección de Datos (Garante) combina dos cuestiones regulatorias distintas: las obligaciones convencionales de ciberseguridad en torno a una violación de seguridad y cuestiones más amplias sobre si los sistemas de IA generativa pueden recopilar, inferir y reproducir legalmente información personal a gran escala.
Italia se convierte en el primer caso de prueba importante de Occidente
The Guardian informó que Italia había restringido el acceso a ChatGPT mientras el regulador investigaba, convirtiéndose así en el primer país occidental en tomar una medida tan directa contra el servicio. OpenAI respondió bloqueando el acceso en Italia y afirmó que, según su criterio, cumple con la ley de privacidad.
Según Euronews , OpenAI recibió un plazo de 20 días para comunicar las medidas adoptadas para cumplir con la normativa. De acuerdo con el Reglamento General de Protección de Datos (RGPD) europeo, las infracciones pueden acarrear sanciones de hasta 20 millones de euros o el 4 % de los ingresos anuales mundiales, según la normativa y las circunstancias.
La medida regulatoria también plantea una compleja cuestión de aplicación. ChatGPT es un servicio en la nube de alcance global, mientras que la legislación sobre privacidad es territorial y se basa en derechos. OpenAI puede restringir el acceso por geografía, pero resolver las cuestiones subyacentes podría requerir cambios en la gobernanza de datos, los avisos, los controles de edad, el desarrollo de modelos o los procedimientos para corregir la información, y no simplemente un bloqueo geográfico.
La presión sobre la IA avanzada se está ampliando
La decisión de Italia se produce en medio de un debate más amplio sobre la rapidez con la que deberían implementarse los sistemas avanzados de IA. Más de mil investigadores y ejecutivos del sector tecnológico han firmado una carta pública en la que solicitan una pausa de seis meses en el entrenamiento de sistemas más potentes que GPT-4 mientras se desarrollan estándares de seguridad. La carta no es un documento normativo y la pausa propuesta es voluntaria, pero ilustra la creciente preocupación por la lentitud de la gobernanza en comparación con el desarrollo de las capacidades técnicas.
Al mismo tiempo, la competencia comercial se está acelerando. Microsoft está integrando la tecnología OpenAI en su software de búsqueda y productividad, Google está desarrollando sus propios sistemas conversacionales y las startups están creando aplicaciones basadas en grandes modelos de lenguaje. El incentivo económico es la rapidez en la implementación; las autoridades de privacidad y seguridad están demostrando que la implementación puede generar obligaciones antes de que se establezcan estándares en la industria.
El informe contemporáneo de TechCrunch señalaba que la orden italiana cuestionaba no solo la transparencia, sino también la exactitud de los datos personales generados por ChatGPT. Este es un tema particularmente importante para los modelos generativos, ya que no recuperan información de la misma manera que una base de datos convencional. Generan lenguaje estadísticamente probable y pueden producir afirmaciones seguras pero falsas.
un informe de Reuters publicado por Investing.com, la medida adoptada por Italia fue inmediata mientras el regulador investiga el caso. Es probable que otras autoridades europeas de protección de datos sigan de cerca el caso, ya que el RGPD se aplica en toda la Unión Europea, aunque los reguladores nacionales sean los responsables de su cumplimiento.
El resultado podría convertirse en un modelo inicial sobre cómo se aplica la legislación de privacidad a la IA generativa. Las preguntas centrales ya no son teóricas: qué datos se pueden usar para entrenar un modelo, qué información se debe proporcionar a los usuarios, cómo se excluye o protege a los menores, cómo se corrige la información personal inexacta y quién es responsable cuando un modelo la genera. Italia ha incorporado estas preguntas a un proceso regulatorio formal, convirtiendo a ChatGPT no solo en un fenómeno tecnológico, sino también en una prueba de si la legislación de privacidad vigente puede regir una nueva clase de sistemas de aprendizaje automático.
