Lo que aún no viste del Ómnibus digital: datos sensibles para detectar sesgos en la IA
El artículo 4 bis del Reglamento europeo de IA amplía la posibilidad de tratar categorías especiales de datos para detectar y corregir sesgos, pero exige seis condiciones acumulativas
(Imagen: Sofía Dafne Chico)
Lo que aún no viste del Ómnibus digital: datos sensibles para detectar sesgos en la IA
El artículo 4 bis del Reglamento europeo de IA amplía la posibilidad de tratar categorías especiales de datos para detectar y corregir sesgos, pero exige seis condiciones acumulativas
(Imagen: Sofía Dafne Chico)
Una empresa utiliza inteligencia artificial para filtrar currículums. El sistema parece eficaz, pero surge una sospecha: podría estar descartando con mayor frecuencia a candidatos de un determinado origen étnico. Para comprobarlo, la empresa necesita comparar los resultados. Sin embargo, esa comprobación puede exigir el tratamiento de datos especialmente protegidos. Aquí aparece la paradoja: ¿Cómo puede una empresa saber si su inteligencia artificial discrimina a determinados grupos si el uso de los datos necesarios para identificar esa discriminación está especialmente restringido? El nuevo artículo 4 bis del Reglamento de Inteligencia Artificial ofrece una respuesta, aunque mucho más limitada de lo que podría parecer.
Para detectar un sesgo, primero hay que poder verlo
Un sistema de inteligencia artificial puede producir resultados aparentemente neutrales y, al mismo tiempo, perjudicar de manera sistemática a determinados grupos. El problema no siempre se encuentra en una instrucción abiertamente discriminatoria. También puede aparecer en los datos utilizados, en las variables elegidas o en la forma en que las salidas del sistema influyen en decisiones futuras.
Pensemos de nuevo en la selección de personal. Si una herramienta descarta más currículums de personas de un determinado origen étnico, la diferencia solo podrá identificarse si los resultados se comparan entre grupos. Sin esa comparación, la empresa podría medir la precisión general del sistema y no advertir el trato desigual.
El dilema es evidente. El control del sesgo puede requerir datos sobre el origen racial o étnico, la salud, las convicciones religiosas o la orientación sexual. Son categorías especiales de datos personales, definidas por remisión en el artículo 3, punto 37, del Reglamento de Inteligencia Artificial (RIA), y sometidas a una protección reforzada.
Suscríbete a nuestra
NEWSLETTER
La solución europea no consiste en rebajar esa protección. Consiste en permitir un tratamiento excepcional, limitado a una finalidad concreta y rodeado de garantías.
(Imagen: Sofía Dafne Chico)
Qué cambió con el Ómnibus digital sobre IA
El RIA original ya contemplaba esta posibilidad en su artículo 10, apartado 5. No obstante, su alcance era más estrecho: permitía tratar categorías especiales de datos a los proveedores de sistemas de IA de alto riesgo cuando fuera estrictamente necesario para detectar y corregir sesgos.
El Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, suprimió ese apartado y trasladó su contenido al nuevo artículo 4 bis. Además, amplió el número de operadores que pueden acogerse a la excepción. Su considerando 9 explica la razón: detectar y corregir sesgos constituye un interés público sustancial porque protege a las personas frente a sus efectos adversos, incluida la discriminación.
Por tanto, el artículo 4 bis sí es nuevo como precepto autónomo. Lo que no es completamente nuevo es la posibilidad de tratar categorías especiales de datos para detectar y corregir sesgos: esa habilitación ya existía, aunque solo para los proveedores de sistemas de IA de alto riesgo. La verdadera novedad material del Ómnibus es su ampliación a otros proveedores y responsables del despliegue en los supuestos que fija el propio artículo.
Ahora existen dos escenarios.
El primero afecta a los proveedores de sistemas de IA de alto riesgo. Estos pueden tratar excepcionalmente categorías especiales de datos cuando sea estrictamente necesario para cumplir las exigencias sobre detección y corrección de sesgos previstas en el artículo 10, apartado 2, letras f) y g), del RIA.
El segundo es la verdadera novedad. Los proveedores y responsables del despliegue de otros sistemas y modelos de IA, así como los responsables del despliegue de sistemas de alto riesgo, también pueden acogerse a la excepción. Para ello, debe tratarse de un posible sesgo que probablemente afecte a la salud o a la seguridad de las personas, tenga consecuencias negativas para los derechos fundamentales o dé lugar a una discriminación prohibida por el Derecho de la Unión.
En palabras sencillas: la posibilidad deja de estar reservada al desarrollador de una IA de alto riesgo. Puede alcanzar también a quien utiliza el sistema y, en circunstancias graves, a sistemas o modelos que no estén clasificados como de alto riesgo.
La ampliación, sin embargo, no equivale a una autorización general. El propio artículo 4 bis aclara que su apartado 2 no crea una obligación de buscar y corregir sesgos. Permite hacerlo cuando se cumplen los requisitos, pero no convierte cualquier análisis de datos sensibles en lícito.
(Imagen: Sofía Dafne Chico)
No es un permiso para recopilar datos «por si acaso»
La expresión decisiva del artículo 4 bis es «estrictamente necesario». No basta con que los datos sean útiles, cómodos o capaces de mejorar el análisis. La organización debe poder justificar que no puede detectar y corregir el sesgo de manera efectiva mediante otros datos.
Por ese motivo, la norma exige comprobar primero si la finalidad puede alcanzarse con datos sintéticos o anonimizados. Los datos sintéticos son datos generados artificialmente para reproducir características útiles de un conjunto real. Los datos anonimizados, por su parte, ya no permiten identificar a una persona. Si alguna de estas alternativas permite realizar una comprobación efectiva, la excepción no puede utilizarse.
Tampoco sería válido conservar categorías especiales para futuros controles todavía no definidos. El artículo 4 bis vincula el tratamiento a una finalidad definida de detección y corrección de sesgos. La lógica preventiva del precepto no ampara una reserva indefinida de información sensible.
Las seis condiciones deben cumplirse a la vez
La norma no ofrece un menú de garantías entre las que una empresa pueda elegir. Exige que concurran todas.
- No debe existir una alternativa eficaz. La organización tiene que demostrar que otros datos, incluidos los sintéticos o anonimizados, no permiten detectar y corregir el sesgo de forma efectiva.
- La reutilización debe estar limitada técnicamente. Los datos no pueden quedar disponibles para cualquier finalidad. Deben aplicarse medidas avanzadas de seguridad y protección de la intimidad, incluida la pseudonimización, es decir, la separación de la identidad de la persona respecto de la información utilizada en el análisis.
- El acceso debe ser estricto y quedar documentado. Solo las personas autorizadas pueden acceder a los datos. Además, deben estar sometidas a obligaciones adecuadas de confidencialidad y cada acceso debe poder controlarse y justificarse.
- Los datos no pueden comunicarse a terceros. El artículo prohíbe transmitirlos, transferirlos o permitir que otras partes accedan a ellos. Esta condición obliga a revisar con especial cuidado la arquitectura técnica y la intervención de colaboradores externos.
- La eliminación no puede aplazarse. Los datos deben borrarse cuando el sesgo haya sido corregido o cuando finalice su período de conservación, si esto sucede antes.
- La necesidad debe quedar escrita. El registro de las actividades de tratamiento debe explicar por qué era estrictamente necesario utilizar categorías especiales y por qué el objetivo no podía alcanzarse mediante otros datos.
Estas garantías se añaden a la normativa europea de protección de datos; no la sustituyen. El artículo 4 bis lo dice expresamente. Por tanto, cumplir el RIA no elimina las obligaciones que resulten aplicables en materia de protección de datos personales.
(Imagen: Sofía Dafne Chico)
Un caso práctico: una herramienta que filtra currículums
Imaginemos que una empresa desarrolla una herramienta de IA para ordenar candidaturas y otra compañía la utiliza en sus procesos de contratación. Tras revisar los resultados, aparece un indicio consistente de que el sistema perjudica a personas de un determinado origen étnico.
El artículo 4 bis no autoriza, por sí solo, a incorporar automáticamente ese dato al sistema ni a utilizarlo para tomar decisiones sobre los candidatos. La habilitación tiene una finalidad mucho más concreta: detectar y corregir el sesgo.
Antes de tratar categorías especiales, la organización tendría que comprobar si el problema puede analizarse con datos anonimizados o sintéticos. Si no fuera posible, debería justificar la necesidad estricta, aislar la información, limitar los accesos, impedir su comunicación a terceros, registrar las operaciones y fijar su eliminación.
El ejemplo también permite distinguir dos figuras del RIA. El proveedor es quien desarrolla el sistema y lo introduce en el mercado o lo pone en servicio bajo su nombre. El responsable del despliegue es quien lo utiliza bajo su autoridad, por ejemplo, la empresa que emplea la herramienta para seleccionar personal. Tras el Ómnibus, ambos pueden quedar comprendidos por el artículo 4 bis, aunque no siempre por el mismo apartado ni bajo idéntica justificación.
La autorización y la obligación no son lo mismo
El artículo 4 bis permite realizar un tratamiento que, sin esta habilitación y las demás condiciones aplicables, encontraría importantes límites. Pero permitir no significa obligar.
En los sistemas de alto riesgo, el artículo 10 impone a sus proveedores exigencias sobre la gobernanza de los datos y el examen de posibles sesgos. El calendario de aplicación de esas obligaciones fue modificado por el Ómnibus: las secciones 1, 2 y 3 del capítulo III, con excepción del artículo 6, apartado 5, se aplicarán desde el 2 de diciembre de 2027 a los sistemas del anexo III y desde el 2 de agosto de 2028 a los sistemas de alto riesgo vinculados a productos del anexo I.
El artículo 4 bis cumple otra función. Proporciona la habilitación necesaria para que determinadas comprobaciones puedan realizarse respetando sus garantías. El considerando 9 del Ómnibus explica que esta base debe estar disponible desde la fecha general de aplicación del RIA, el 2 de agosto de 2026, para que los proveedores puedan prepararse para las futuras exigencias de alto riesgo.
Para los demás proveedores y responsables del despliegue comprendidos en el apartado 2, el texto es tajante: la disposición no crea por sí sola una obligación de llevar a cabo la detección y corrección de sesgos.
(Imagen: Sofía Dafne Chico)
Cinco preguntas antes de tratar categorías especiales
Una organización que pretenda acogerse al artículo 4 bis debería poder responder, por escrito, a cinco preguntas:
- ¿Actúa como proveedor o como responsable del despliegue?
- ¿El sistema es de alto riesgo o entra en el supuesto excepcional del apartado 2?
- ¿Qué sesgo concreto se pretende detectar y qué daño puede producir?
- ¿Por qué los datos sintéticos, anonimizados u otros datos no son eficaces?
- ¿Puede cumplir simultáneamente las seis garantías del artículo 4 bis?
Si alguna respuesta es vaga, la organización todavía no ha demostrado la necesidad estricta que exige el RIA.
La justicia algorítmica también exige límites
El Ómnibus trata de resolver una contradicción real: no siempre es posible comprobar la discriminación sin observar las características protegidas sobre las que esa discriminación puede recaer. Sin embargo, la respuesta no consiste en permitir una vigilancia generalizada de esas características.
El artículo 4 bis abre una puerta estrecha. Permite tratar categorías especiales de datos para detectar y corregir sesgos, amplía los operadores que pueden hacerlo y reconoce que el problema no se limita a los sistemas formalmente clasificados como de alto riesgo. Al mismo tiempo, obliga a demostrar que no existe una alternativa eficaz, restringe el acceso y la reutilización, impide la comunicación a terceros y exige borrar y documentar.
La idea central es sencilla: una IA más justa puede requerir datos más sensibles, pero cuanto mayor sea la sensibilidad del dato, más rigurosa debe ser la justificación para utilizarlo.
