Nork kontrolatzen du AAren Erregelamendua Euskadin?
Berria irakurri duzu: AESIAk espediente bat ireki dio langile-hautaketan adimen artifiziala erabiltzen duen enpresa bati, edo bezero batek, kontratazio-galdetegi edo due diligence baten barruan, zure AA sistema noren gainbegiratzepean legokeen galdetu dizu. Baliteke zure ETEk jada erabiltzea AA tresnak prozesuren batean —hautaketan, kreditu-scoringean, bezeroarekiko arreta automatizatuan—, eta lehen erreakzioa da galdetzea agentzia bera etor al dakizukeen atera zure atea jotzera. Bi egoerek galdera bera ezkutatzen dute: nork kontrolatzen du benetan AAren Erregelamenduaren betetzea Euskadin, eta DBEOrekin (Datuak Babesteko Erregelamendu Orokorra) ezagutzen duzun erakunde bera al da?
Zergatik da hau DBEOrekin baino zailagoa erantzutea
DBEOrekin, "nork gainbegiratzen nau" galderaren erantzuna urteak daramatza argi izaten: enpresa pribatu gehienentzat, Datuak Babesteko Espainiako Agentzia (AEPD) da. AAren Erregelamenduarekin —Europar Batasuneko (EB) 2024/1689 Erregelamendua— erantzuna oraindik eraikitzen ari da, ez bakarrik Euskadin, baita Europar Batasun osoan ere. Erregelamenduak estatu kide bakoitzari eskatzen dio merkatua zaintzeko agintaritzak izendatzeko, eta legeria nazionalaren esku uzten du zehazteko zein erakundek zer eginkizun duen. Espainiak jada eman du kide gehienek oraindik eman ez duten urrats bat: AAren gainbegiratzerako berariazko agentzia publiko bat sortu du. Baina erakunde bakoitzaren eskumen zehatzak, eta horiek Euskadiko egitura propioekin —Eusko Jaurlaritza, foru-aldundiak, udalak— nola uztartzen diren, oraindik doitzen ari den atala da.
Nork zer egiten duen: AESIA, AEPD eta AVPD
Adimen Artifiziala Gainbegiratzeko Espainiako Agentziak (AESIA), 729/2023 Errege Dekretuaren bidez sortuak eta A Coruñan egoitza duenak, guk ulertzen dugun bezala, AAren Erregelamenduaren merkatu-zaintzarako Espainiako agintaritza nagusia da: Espainian —Euskadi barne— jarduten duten AA sistemek erregelamenduaren betekizunak betetzen dituzten gainbegiratzeko pentsatutako erakundea. Izendapen nahiko berria da, eta, edozein erakunde berrirekin gertatzen den bezala, merezi du haren mandatu zehatzaren irismena egiaztatzea —zein sistema-kategoria eta zein artikulu estaltzen dituen orain— AESIAren iturri ofizialetan, zure kasu zehatzari buruzko ondoriorik itxi aurretik.
AEPD, bere aldetik, ez da mapatik desagertzen. DBEOren kontrol-agintaritza gisa duen eginkizuna osorik mantentzen du, eta arrazoizkoa da pentsatzea —xehetasun finala erakundeen arteko koordinazioa nola artikulatzen den araberakoa izanik ere— datu pertsonalak tratatzen dituzten AA sistemetarako paper garrantzitsua gordeko duela, izan ere, enpresek erabiltzen duten AA-ren zati handi bat —langile-hautaketa, bezeroen scoringa, erabiltzaileen datuak dituzten txatbotak— aldi berean datu pertsonalen tratamendua da, DBEOren mende dagoena. Zure ETEk jada AEPD baduzu erreferentzia gisa datuen babesean, ziurrenik hala jarraituko du zure AA sistemen datu pertsonalen dimentsioari dagokionez, nahiz eta AAren Erregelamenduaren gainbegiratzea AESIAren esku egon.
Eta gero dago Datuak Babesteko Euskal Agintaritza (AVPD, batzuetan DBEA edo DBEB laburduraz ere aipatua —izen laburtuaren erabilera ez da beti erabat homogeneoa iturrietan, eta hori bera ere argitzeke dagoen xehetasuna da). Askotan nahasmena sortzen du, izenak "AEPDren euskal bertsioa" balitz bezala ematen baitu. Ez da, gehienetan ez behintzat ETE gehienentzat: AVPDren eskumena datuen babesean, funtsean, sektore publiko euskaldunak egindako tratamenduetara mugatzen da —Eusko Jaurlaritza, foru-aldundiak, udalak eta erakunde publikoak—. Zure enpresa pribatua bada, zure datuen babeserako gainbegiratzailea AEPD izaten jarraitzen du, ez AVPD. AVPD jokoan sartzen den unea da zure enpresa udal edo erakunde publiko baten hornitzaile denean eta zuk garatu edo ezarritako AA sistema erakunde horrek erabiltzen duenean: orduan, administrazio bezeroak egindako datu pertsonalen tratamendua AVPDren lupapean egon liteke, nahiz eta zu, enpresa hornitzaile gisa, ez zauden zuzenean haren mende.
Zenbat kostatzen da gaizki asmatzea
Zein erakundek ikuskatuko zaituen ziurtasunik ez izateak ez du murrizten erregelamendua betetzen ez baduzu jaso dezakezun isunaren zenbatekoa. AAren Erregelamenduaren 99. artikuluak 35 milioi eurorako edo aurreko ekitaldiko fakturazio globalaren %7rako isunak ezartzen ditu —zenbatekoa handiagoa dena aplikatuz— AA praktika debekatuetarako. Gainerako urraketa larriek, esaterako, arrisku handiko sistemen betebeharrekin lotutakoek, 15 milioi eurorako edo fakturazio globalaren %3rako isunak izan ditzakete. 99(6) artikuluak muga proportzionalki baxuagoak aurreikusten ditu ETE eta startupentzat, eta hori garrantzitsua da hau irakurtzen ari den Euskadiko negozio gehienentzat, baina fakturazio milioika eurotako esposizioaren gaineko muga txikiagoa izanda ere, kopuru handia izaten jarraitzen du enpresa txiki batentzat. Eta hori guztia DBEOk berezko zehapen-erregimen independentea duela kontuan hartu gabe, AEPDk, edo dagokionean AVPDk, aldi berean aplika dezakeena datu pertsonalen tratamendua tartean dagoenean.
Kontrol-zerrenda: zure esposizioa gaur bertan ebaluatzeko
Ez da beharrezkoa eskema instituzionala erabat itxi arte itxarotea etxeko kontuak ordenatzeko. Hauek dira orain erantzutea merezi duten galderak:
- Bost minutu behar dituzu identifikatzeko zure enpresak erabiltzen dituen AA sistema guztiak, eta horietako zeinek tratatzen dituzten datu pertsonalak?
- Egiaztatu duzu horietako sistemaren batek erregelamenduaren III. eranskineko arrisku handiko kategorietan sartzen den, esaterako langile-hautaketa, kreditu-ebaluazioa edo bezeroen scoringa?
- Udal, foru-aldundi edo beste erakunde publiko euskaldun baten hornitzaile bazara, badakizu zuk hornitutako AA sistemak administrazioaren datu propioak tratatzen dituen, hori baita AVPDk zerbait esateko duen ala ez zehazten duena?
- Prest duzu oinarrizko dokumentazioa zure AA erabilera-kasu arriskutsuenetarako —helburua, erabilitako datuak, gainbegiratze humanoa—, edo itxaroten ari zara arautzaile batek eskatu arte?
- Baduzu pertsona bat izendatuta AESIAren eta AEPDren erregelamenduaren aplikazioari buruzko argitalpenei jarraitzeko, kasualitatez berria topatzen duenaren esku ez uzteko?
- DBEOrako jada duzun dokumentazioak balioko luke oinarri gisa AAri lotutako ikuskapen baten aurrean, edo erregelamenduak eskatzen duen xehetasun zehatzean laburregi geratzen da?
Informazio orokorra da hau, ez aholkularitza juridikoa: artikulu honen helburua da orientatzea gai bati buruz —AESIA, AEPD eta AVPDren arteko eskumen-banaketa zehatzari buruz— oraindik doitzen ari dena, eta ahalik eta argien izaten saiatu gara zer ez dagoen konfirmatuta esatean. Ez du ordezkatzen zure kasu zehatzerako aholkularitza juridikoa. Komplyan bereizten dugu iturri primarioen aurka berrikusitako edukia oraindik zirriborro fasean dagoen materialetik, dagokion pisuarekin balora dezazun.
Eskema instituzionala hurrengo hilabeteetan itxiko da, AESIAk gida gehiago argitaratu eta AEPDrekiko koordinazioa argitu ahala. Hori ez dago zure esku. Zure esku dagoena da jakitea, gaur, zure AA sistemetatik zeinek deituko lukeen atentzioa AESIAk, AEPDk edo, sektore publikoarekin lan egiten baduzu, AVPDk atea joko balute. Zure AA erabilera-kasu errealei buruzko galdetegi labur batek irakurketa argia ematen dizu, hizkuntza arruntean, non duzun ziurrenik esposizio handiena, eskema behin betiko itxita geratzen denerako zerotik hasi ez zaitezen.