IA agéntica como medio de tratamiento
Enfoque según el cual un sistema de IA agéntica no es un tratamiento en sí, sino uno de los medios con los que el responsable lleva a cabo tratamientos de datos personales. Responsable del tratamiento es quien determina los fines y medios del tratamiento (artículo 4, punto 7, del Reglamento (UE) 2016/679), y las orientaciones de la AEPD sobre IA agéntica lo aplican a los agentes «independientemente de la forma de que tengan dichos medios, ya sean sistemas de IA agéntica u otros» (apartado V.A, p. 33).
Las obligaciones de protección de datos no se predican del agente, sino de cada tratamiento en el que actúa.
Qué obligaciones lleva asociadas
Es un criterio de interpretación que proponen las orientaciones de la AEPD, no una obligación nueva. Las obligaciones son las del Reglamento (UE) 2016/679 para cada tratamiento, aplicables desde el 25/05/2018: entre ellas, los principios del artículo 5 con la responsabilidad proactiva, el registro de las actividades de tratamiento del artículo 30 y, cuando sea probable un alto riesgo para los derechos y libertades de las personas físicas, la evaluación de impacto del artículo 35.
Qué no es
No es un registro de agentes: el registro del artículo 30 es de actividades de tratamiento, y un agente figura en él a través de los tratamientos en los que interviene. Tampoco reparte por sí mismo las responsabilidades: cada servicio de terceros al que accede el agente tiene el papel que corresponda a su relación con el responsable —ninguno si no recibe datos personales vinculados a una persona, encargado si los trata por cuenta del responsable, o responsable cuando se le comunican para sus propios fines—, y las orientaciones lo analizan caso por caso (pp. 33-34); y si un encargado infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable con respecto a ese tratamiento (artículo 28, apartado 10). Y no deja fuera lo que genera el propio agente: las orientaciones piden tener en cuenta los tratamientos adicionales de datos que puedan producirse por los componentes del sistema (p. 33).
El matiz que casi nadie recoge
Que el agente sea un medio no lo hace un medio neutro. Las orientaciones advierten que incluir la IA agéntica como medio del tratamiento introduce nuevas incertidumbres (apartado V.G, p. 40) y señalan que el responsable ha de gestionar los nuevos riesgos que su uso puede generar (apartado V.A, p. 33). Por eso el análisis se hace tratamiento a tratamiento: el mismo agente puede ser inocuo en uno y determinante en otro.