El riesgo de confiar secretos personales a ChatGPT

Si se pregunta a ChatGPT qu¨¦ hace con los datos personales que alguien aporta en la conversaci¨®n, esta es su respuesta: ¡°Como modelo de lenguaje desarrollado por OpenAI, no tengo la capacidad de procesar, almacenar ni utilizar informaci¨®n personal de usuarios, a menos que se me proporcione en el transcurso de una conversaci¨®n individual¡±. Sin embargo, OpenAI, la empresa propietaria de ChatGPT, s¨ª puede utilizar esa informaci¨®n en ciertos casos, seg¨²n la pol¨ªtica de privacidad de la compa?¨ªa.

Son un tipo de datos determinados y solo para algunos casos. Tienen que ser datos de la cuenta de OpenAI, como por ejemplo el nombre o la informaci¨®n de la tarjeta de pago del usuario, informaci¨®n personal que el usuario intercambie con ChatGPT o con la compa?¨ªa, informaci¨®n del usuario al interactuar con las cuentas de OpenAI en redes sociales, como Instagram, Facebook, Medium, Twitter, YouTube y LinkedIn o datos que el usuario facilite a la compa?¨ªa en sus encuestas o eventos. Con esta informaci¨®n, la compa?¨ªa puede mejorar sus productos y servicios, crear nuevos desarrollos, llevar a cabo investigaciones, establecer comunicaci¨®n directa con los usuarios, cumplir con obligaciones legales a favor de la empresa y prevenir fraudes, usos indebidos del servicio y actividades delictivas.

Esta delicada cuesti¨®n no solo afecta a la nueva IA generativa. Enviar un correo electr¨®nico por Gmail a un amigo, o compartir fotos o documentos en espacios en la nube como OneDrive, son actos cotidianos que autorizan a los proveedores de esos servicios a compartir informaci¨®n con terceros. Empresas como OpenAI, Microsoft y Google pueden revelar la informaci¨®n a proveedores de servicios y satisfacer as¨ª las necesidades de su negocio, seg¨²n indican sus pol¨ªticas de privacidad.

Sin embargo, salvo excepciones, las empresas no pueden utilizar los datos personales con otros fines. Ricard Mart¨ªnez, profesor de derecho constitucional de la Universitat de Val¨¨ncia, se?ala que est¨¢ estrictamente prohibido por el Reglamento General de Protecci¨®n de Datos (RGPD): ¡°Se exponen a un alto riesgo regulatorio. Podr¨ªa sancionarse a la empresa con una multa equivalente al 4% de la facturaci¨®n anual global¡±. Para esos casos, solo pueden utilizarse con fines de inter¨¦s p¨²blico admitidos por el reglamento, como el archivo o la investigaci¨®n hist¨®rica, estad¨ªstica o cient¨ªfica, o si se supera un juicio de compatibilidad¡±.

La inteligencia artificial generativa, como ChatGPT, se nutre de un gran volumen de datos, algunos de ellos personales, y a partir de esa informaci¨®n genera contenido original. En Espa?a, estas herramientas reciben 377 millones de visitas al a?o, seg¨²n un estudio. Analizan la informaci¨®n recopilada, responden a las consultas de los usuarios y mejoran su servicio, a pesar de que la herramienta ¡°no entiende los documentos con los que se alimenta¡±, advierte Borja Adsuara, abogado experto en derecho digital.

Recomendaci¨®n: ser muy discretos con los chatbots

La Agencia Espa?ola de Protecci¨®n de Datos (AEPD) sugiere a los usuarios que no acepten que el chatbot pida datos de registro que no sean necesarios; que solicite consentimiento sin definir para qu¨¦ se van a tratar los datos y sin que permitan retirarlo en cualquier momento, o que realice transferencias a pa¨ªses que no ofrezcan garant¨ªas suficientes. Tambi¨¦n recomienda ¡°limitar los datos personales que se exponen, no dar datos personales de terceros si hay dudas de que el tratamiento va a trascender el ¨¢mbito dom¨¦stico y tener en cuenta que no hay garant¨ªas de que la informaci¨®n proporcionada por el chatbot sea correcta¡±. Las consecuencias son ¡°el da?o emocional, la desinformaci¨®n o inducir a enga?o¡±.

Los expertos coinciden en el mismo consejo: no compartir informaci¨®n personal con la herramienta de inteligencia artificial. Incluso el propio ChatGPT lo advierte: ¡°Ten en cuenta que si compartes informaci¨®n personal, sensible o confidencial durante la conversaci¨®n, deber¨ªas tener precauci¨®n. Se recomienda no proporcionar informaci¨®n delicada a trav¨¦s de plataformas en l¨ªnea, incluso en conversaciones con modelos de lenguaje como yo¡±.

Eliminar los datos personales

Si, pese a esas recomendaciones, ya se han compartido datos personales con una inteligencia artificial, se pueden intentar borrar. Hay un formulario en la p¨¢gina web de OpenAI para poder eliminarlos: la mala noticia es que la compa?¨ªa advierte de que ¡°el env¨ªo de una solicitud no garantiza que la informaci¨®n sobre usted se elimine de los resultados de ChatGPT¡±. Debe ser cumplimentado con los datos reales del interesado, quien debe ¡°jurar¡± por escrito la veracidad de lo que expone. Adem¨¢s, la informaci¨®n del formulario puede ser cotejada con otras fuentes para verificar su veracidad. Microsoft tambi¨¦n ofrece un panel de privacidad para acceder a los datos personales y borrarlos.

Por la v¨ªa de las acciones legales, Mart¨ªnez explica que el usuario ¡°puede ejercer el derecho de supresi¨®n, si cree que los datos personales se han tratado il¨ªcitamente, son incorrectos e inadecuados. Puede darse de baja, retirar su consentimiento, que es libre y no est¨¢ sujeto a condici¨®n, y la compa?¨ªa est¨¢ obligada a borrar toda la informaci¨®n¡±. Este especialista tambi¨¦n incide en que existe el derecho de portabilidad: ¡°Cada vez, m¨¢s aplicaciones permiten al usuario descargar todo su historial y llev¨¢rselo en un formato compatible. El reglamento tambi¨¦n recomienda la anonimizaci¨®n de los datos personales¡±.

La anonimizaci¨®n, seg¨²n la AEPD, consiste en la conversi¨®n de datos personales en datos que no se pueden utilizar para identificar a ninguna persona. En su gu¨ªa sobre el tratamiento de la inteligencia artificial (IA), la agencia explica que la anonimizaci¨®n es una de las t¨¦cnicas para minimizar el uso de datos, garantizando que se empleen solo los datos precisos para el fin determinado.

Nueva ley de inteligencia artificial

Las empresas que gestionen datos personales, tras la entrada en vigor de la nueva ley europea de inteligencia artificial, tendr¨¢n que tener en cuenta tres claves, seg¨²n ha explicado la consultora Entelgy a este peri¨®dico: deber¨¢n revelar c¨®mo funciona el algoritmo y el contenido que genera en un registro europeo; a pesar de no ser obligatorio, se recomienda establecer mecanismos de supervisi¨®n humana; por ¨²ltimo, los modelos de lenguaje de gran tama?o (LLM) deber¨¢n introducir sistemas de seguridad y los desarrolladores tendr¨¢n la obligaci¨®n de ser transparentes sobre el material protegido por derechos de autor que utilizan.

Sin embargo, la nueva norma no es incompatible con el Reglamento General de Protecci¨®n de Datos. As¨ª lo explica Mart¨ªnez: ¡°La IA que trate datos personales, o que genere en el futuro datos personales, nunca podr¨¢ alcanzar el mercado si no garantiza el cumplimiento del RGPD. Esto se manifiesta de modo muy especial en los sistemas de alto riesgo, que deben implantar un modelo de gobernanza de datos, as¨ª como registros de funcionamiento y de uso que garanticen la trazabilidad¡±.

El siguiente paso para la inteligencia artificial, se?ala Adsuara, es que la informaci¨®n personal recopilada se pueda utilizar en una especie de piscinas personales: ¡°Un lugar en el que cada uno tenga su repositorio de documentos con datos personales, pero que la informaci¨®n no salga de ah¨ª, que no se utilice para alimentar la inteligencia artificial generativa universal¡±, explica.

Puedes seguir a EL PA?S Tecnolog¨ªa en Facebook y X o apuntarte aqu¨ª para recibir nuestra newsletter semanal.