REFERENCIA.
Marrugo, I., Mejía, M. y Rodríguez, A. (13 de septiembre de 2024). Nuevos Lineamientos de la SIC en Protección de Datos Personales [Webinar]. Futurlex y Red Colombiana de Oficiales de Protección de Datos (OPD). Vía Zoom.
Conferencistas:
- Iván Darío Marrugo
- Maria Paula Mejía
Moderador:
- Andrés Eduardo Rodríguez
Los conferencistas en el desarrollo del webinar abordaron los nuevos lineamientos de la Circular 002 del 2024 y Circular 003 del 2024 emitidas por la SIC que traen consigo un manejo más adecuado de la Inteligencia Artificial (IA) y la ampliación respecto del concepto de responsabilidad a la hora de tratar datos personales.
La Superintendencia de Industria y Comercio emitió la Circular 002 de 2024, que establece lineamientos sobre el tratamiento de datos en sistemas de Inteligencia Artificial (IA). Su objetivo es garantizar el manejo responsable y seguro de los datos personales (es de carácter obligatorio).
Obligaciones:
Del uso cada vez más común de sistemas de Inteligencia Artificial a la hora de abordar el tratamiento de datos personales se requiere como mínimo evaluar:
- Idoneidad del tratamiento: El tratamiento es capaz de alcanzar el objetivo propuesto.
- Necesidad: Medidas moderadas y con menor impacto de las operaciones de tratamiento de los datos.
- Razonabilidad: Debe cumplir finalidades constitucionales.
- Proporcionalidad: En sentido estricto son las ventajas al restringir el derecho a la protección de datos que no deben ser superadas por las desventajas de la afectación al derecho de habeas data.
Los administradores de datos deben abstenerse de realizar tratamiento de datos personales si puede haber riesgo alto de impacto de ocasionarse un evento de seguridad y un eventual riesgo al titular de la información o daño grave e irreversible.
Lea también: La transformación digital de la mano de la Rama Judicial
El Estudio de impacto de privacidad previo al desarrollo de la IA es necesario en la medida en que sea probable que la IA conlleve un riesgo para los titulares de la información.
Una forma de minimizar el riesgo es el uso de datos de titulares de personas no reales (data sintética)
Desafíos:
Cuando se habla de desafíos, se plantean mínimos necesarios a la hora de utilizar cualquier Inteligencia Artificial de la forma más correcta posible minimizando así posibles riesgos sobre datos personales e incluso sobre brechas de seguridad, para lo cual debemos:
- Reducir sesgos algorítmicos
- Ofrecer transparencia de los modelos
- Seguridad de los datos en entornos complejos
- Protección sobre datos sensibles
- Ser responsables por las decisiones algorítmicas que se tomen
Recomendaciones de la SIC:
A la hora de abordar el tratamiento de datos en sistemas de Inteligencia Artificial se recomienda como mínimo modelar los sistemas de tal forma que se:
- Elaboren evaluaciones de impacto de privacidad.
- Tomen medidas de seguridad robustas.
- Garantice transparencia de los modelos
- Cuente con personal capacitado en protección de datos e IA.
- Colabore con la SIC.
Inquietud general plasmada con la charla: ¿Quién será responsable en caso de incumplimiento en el tratamiento de datos en sistemas de Inteligencia Artificial?
La Superintendencia de Industria y Comercio emitió la Circular 003 de 2024, dirigida a los Administradores de entidades vigiladas por la Superintendencia de Industria y Comercio, por medio de la cual imparte instrucciones para los administradores de societarios en relación con el Tratamiento de Datos Personales
Plantean el alcance del art 26 del Reglamento General de Protección de Datos, en el cual se definió al Responsable como la entidad que define cómo y de qué forma se protegen los datos personales.
Ahora bien, la figura de Corresponsable plantea la toma conjunta de decisiones sobre los fines y medios a través de los cuales se establecen las responsabilidades.
La Responsabilidad de los administradores tiene alcance no solo hacia la empresa sino hacia las personas cuyos datos están siendo tratados por la compañía.
Obligaciones mínimas a la hora de evaluar el tratamiento de datos personales:
- Cumplimiento legal (Ley 1581/2012 y normas concordantes)
- Responsabilidad compartida
- Implementación de políticas internas
- Evaluación de riesgos (identificación de amenazas e implementación de medidas para minimizar riesgos)
- Responsabilidad demostrada (implementar, mantener y demostrar un SG-PDP)
El no cumplimiento deriva en sanciones legales y multas de carácter personal además de daños reputacionales.
