La legislación emergente sobre reconocimiento facial muestra la necesidad de más claridad y normalización.
Tanto los desarrolladores como los usuarios de las tecnologías FRS deberían participar en el debate político para definir las normas que vendrán.
El reconocimiento facial se ha consolidado como una potente tecnología biométrica, tanto en la práctica como en el imaginario colectivo. Las revelaciones sobre su uso en el ámbito público y por parte de las fuerzas del orden han alimentado el debate sobre las preocupaciones éticas y los esfuerzos legislativos correspondientes para prohibir o limitar su uso.
Además, IBM ha anunciado recientemente que ya no ofrecerá «software de reconocimiento o análisis facial de IBM de uso general», y Microsoft y Amazon han pedido una moratoria de un año sobre el uso policial de sus tecnologías de reconocimiento facial y que el Congreso asuma la fijación de normas éticas.
Estos últimos acontecimientos subrayan que ha llegado el momento de determinar los usos adecuados, los límites y las salvaguardas frente a los retos concretos de cada caso de uso, tanto en lo que respecta al estado de las propias tecnologías como a la forma en que las personas las despliegan dentro de sectores y entornos específicos, y por parte de ellas.
¿Qué hace el Foro Económico Mundial en relación con la Cuarta Revolución Industrial?
El Centro para las Tecnologías de Frontera y la Innovación reúne a científicos, responsables políticos y líderes empresariales para comprender las tecnologías emergentes y sus implicaciones en el mundo real.
Al facilitar la colaboración y la experimentación, el Centro ayuda a sus socios a traducir la innovación procedente de la investigación en aplicaciones prácticas que abordan retos globales compartidos.
Diferencias entre las propuestas legislativas emergentes
Las propuestas legislativas estatales de Estados Unidos sobre los usos comerciales de los servicios de reconocimiento facial (FRS) revelan cuánto trabajo queda por delante para alcanzar leyes que aborden eficazmente los derechos humanos y las libertades civiles (más allá de los intereses de privacidad y seguridad), y que también orienten y comprometan eficazmente a las empresas en ese objetivo.
El Estado de Washington ha avanzado en su propuesta de Ley de Privacidad de Washington (WPA, por sus siglas en inglés), la primera de su tipo en abordar específicamente los usos comerciales de los FRS e incorporar requisitos de no discriminación más allá de los tradicionales en materia de privacidad. California siguió de cerca a Washington con el Proyecto de Ley de la Asamblea 2261, que habría impuesto restricciones a determinadas actividades comerciales de FRS, pero que acaba de ser bloqueado como parte de un esfuerzo legislativo más amplio que también habría permitido ciertos usos por parte de las fuerzas del orden.
Sin embargo, estas propuestas emergentes revelan normas dispares, lo que pone de manifiesto la dificultad de legislar en este ámbito, el trabajo pendiente para definir normas claras, coherentes y eficaces, y las incertidumbres a las que se enfrentarán las empresas a medida que avancen (al menos a corto y medio plazo).
Las propuestas existentes, por ejemplo, adoptan enfoques distintos en cuanto a las obligaciones de no discriminación. La WPA exige pruebas realizadas por terceros para detectar «diferencias de precisión y de rendimiento injusto entre subpoblaciones diferenciadas». Sin embargo, no define qué constituye un «rendimiento injusto» y no está claro si se extiende a la protección frente al uso de los FRS para vulnerar derechos civiles básicos más allá del acceso a bienes y servicios. (La opción de California sí ofrecía esta orientación, pero otras leyes de otras localidades en el futuro podrían no tener en cuenta estas cuestiones, dejando lagunas que habrá que salvar).
Las diferencias también abarcan cuestiones de supervisión. La WPA exige a los responsables del tratamiento que garanticen una «revisión humana significativa» y que prueben los FRS en condiciones operativas antes de su despliegue, en concreto para los FRS destinados a tomar decisiones que produzcan efectos jurídicos o efectos igualmente significativos para los consumidores. No define qué podría constituir una «revisión humana significativa» de los FRS. La medida de California intentó abordar esta cuestión, incluyendo la revisión o supervisión por parte de una o más personas formadas que «son en última instancia responsables de tomar decisiones basadas, en todo o en parte, en el resultado de un FRS». Aun así, las definiciones dispares complicarán las cosas a las empresas que intenten cumplir la normativa cuando las medidas no coinciden en definiciones clave.
Qué pueden hacer ahora las empresas
Con tanto en desarrollo, las empresas tienen la oportunidad de contribuir al debate político y de definir las normas que vendrán. El Foro Económico Mundial está ayudando a afrontar este reto con su enfoque multipartito y un marco de gobernanza práctico y hace un llamamiento a la participación de las empresas y de las partes interesadas. Un proyecto en curso, Límites responsables para la tecnología de reconocimiento facial, contribuirá a desarrollar un marco de gobernanza que garantice un uso seguro y fiable de la tecnología FRS. A medida que estas y otras iniciativas tomen forma, hay algunos pasos valiosos que las empresas pueden dar ya:
1. Reflexionar sobre el marco de responsable del tratamiento y encargado del tratamiento, y más allá de él
La distinción entre responsables y encargados del tratamiento, tomada del RGPD de la UE, es fundamental para la WPA y para el proyecto AB 2261 de California, hoy sin efecto. Tal como está redactado actualmente, la condición de cada empresa como una u otra (o ninguna) determinará sus obligaciones de privacidad y, lo que es importante, sus obligaciones de no discriminación. De hecho, las propuestas parecen asumir que las empresas que utilizan los FRS para la identificación, la verificación y el seguimiento persistente de personas serán responsables del tratamiento, y que las empresas que desarrollan o suministran FRS a los responsables del tratamiento serán encargados del tratamiento siempre que traten datos personales —recopilando, utilizando, almacenando o analizando, entre otras operaciones— siguiendo las instrucciones del responsable del tratamiento.
En la práctica, sin embargo, las empresas que utilizan o suministran FRS no siempre encajan en el marco de responsable/encargado del tratamiento, y sus funciones pueden cambiar con el tiempo. Por ejemplo, un proveedor de FRS puede ser responsable del tratamiento desde el principio, o bien operar inicialmente como encargado y convertirse en responsable si empieza a tratar datos personales al margen de las instrucciones del responsable (por ejemplo, al entrenar una herramienta de IA genérica). Otras empresas podrían no tratar datos personales inicialmente, pero en algún momento empezar a tratar los datos específicos de clientes de un cliente/responsable del tratamiento de FRS (por ejemplo, al implementar esa herramienta).
Además, los desarrolladores o proveedores de FRS que no tratan datos personales (incluido el seguimiento persistente) quedarían fuera del ámbito de aplicación de la ley y, por tanto, no estarían sujetos a las obligaciones de privacidad ni de no discriminación. En este escenario, un responsable del tratamiento tendría que exigir contractualmente a dicho desarrollador de FRS que se someta igualmente por escrito a estas obligaciones de no discriminación —en particular, a las pruebas realizadas por terceros y a la aplicación de planes de mitigación— para garantizar el cumplimiento de sus propias obligaciones de no discriminación. Además, los desarrolladores o proveedores de FRS también podrían desear exigir contractualmente a los usuarios de FRS que cumplan las leyes federales o estatales de no discriminación aplicables.
Es posible que la legislación aborde algún día los usos de FRS más allá de este esquema de responsable/encargado del tratamiento, y eso aportará claridad. Mientras tanto, sin embargo, las empresas deben tener presente que a) su tratamiento de datos personales define cada vez más nuevas obligaciones, y b) los requisitos de no discriminación existentes pueden ya aplicarse a sus actividades digitales.
2. Anticiparse a los requisitos más probables y poner a un equipo diverso al frente
Con arreglo a estas propuestas, tanto los responsables como los encargados del tratamiento estarían sujetos a amplios requisitos de no discriminación mediante contratos cruzados, supervisión humana, pruebas y requisitos de auditoría. Sin embargo, este enfoque predominantemente basado en la intervención humana al final del proceso podría no ser suficiente para abordar las preocupaciones sobre discriminación en torno al uso de los FRS, especialmente tal como están redactadas actualmente. En cualquier caso, constituyen un punto de partida.
Las empresas que contemplan el uso de FRS pueden empezar a construir sistemas sólidos y fiables centrándose en las similitudes entre estas propuestas, incluidas sus exigencias de supervisión humana, pruebas previas a la publicación para detectar sesgos y efectos perjudiciales, y auditorías periódicas (y pensando desde el principio en sus estrategias generales de IA y en sus normas de confianza). De manera más amplia, el trabajo para construir sistemas de IA fiables debe ser una parte fundamental de todas las fases del ciclo de vida del producto, incorporando normas en el diseño y el funcionamiento de los sistemas FRS y en los equipos que los operan. Para hacerlo bien, desde el principio, las empresas deben analizar en profundidad los distintos usos, la calidad y los impactos de estas tecnologías —en particular a nivel directivo y de supervisión— y garantizar que los equipos responsables representen una diversidad de experiencias vividas y de conocimientos especializados.
Perspectivas de futuro
Las diferencias planteadas incluso entre estos dos enfoques legislativos generarían falta de claridad para las empresas que intenten normalizar o anticipar los protocolos de cumplimiento.
Aun así, la legislación y la regulación son inevitables con el tiempo: el Congreso podría promulgar pronto normas y limitaciones para usos específicos. California volverá casi con toda seguridad, tarde o temprano, a legislar sobre los usos comerciales de esta tecnología. Y Illinois y Texas también podrían intentar modificar sus leyes de privacidad biométrica para incorporar requisitos de no discriminación. Asimismo, ciertas ciudades (entre ellas Nueva York y San Francisco) estudian ampliar los proyectos de ley sobre los FRS de uso privado. Igualmente, el Instituto Brookings acaba de publicar un informe que señala la preeminencia federal como uno de los principales obstáculos para la regulación en Estados Unidos, y en el fondo de este asunto subyacen incoherencias entre las propuestas legislativas, así como la cuestión constitucional sobre el equilibrio entre las competencias federales y estatales.
A medida que las propuestas vayan tomando forma, es fundamental que los desarrolladores y usuarios de estas tecnologías participen en el debate político para definir las normas que vendrán (y para desarrollar y probar sus propias normas de confianza). No hacerlo podría acarrear suspensiones del mercado más largas y costosas, interrupciones de la actividad empresarial y daños reputacionales en la fase final, mucho antes de que cualquier ley tenga algo que decir al respecto.
