El tratado internacional sobre IA añade incertidumbre a los CIO

Este jueves se dio a conocer la firma del primer tratado internacional jurídicamente vinculante sobre inteligencia artificial (IA), negociado por representantes de 57 países, pero su lenguaje es tan general que no está claro si los CIO de las empresas tendrán que hacer algo diferente para cumplirlo.

Esta iniciativa, mayoritariamente europea, se suma a la larga lista de iniciativas de cumplimiento de la normativa mundial sobre IA, además de los numerosos intentos legales de regular la IA en Estados Unidos. Los signatarios iniciales fueron Andorra, Georgia, Islandia, Noruega, la República de Moldavia, San Marino y el Reino Unido, así como Israel, Estados Unidos y la Unión Europea.

En su anuncio, el Consejo de Europa afirmaba que “existen graves riesgos y peligros derivados de determinadas actividades dentro del ciclo de vida de la IA, como la discriminación en diversos contextos, la desigualdad de género, el menoscabo de los procesos democráticos, de la dignidad humana o de la autonomía individual, o los usos indebidos de los sistemas de inteligencia artificial por parte de algunos Estados con fines represivos, en violación de la legislación internacional sobre derechos humanos”.

Qué dice el tratado

El tratado, denominado Convenio Marco sobre la Inteligencia Artificial y los Derechos Humanos, la Democracia y el Estado de Derecho, hace hincapié en que las empresas deben dejar claro a los usuarios si se están comunicando con un ser humano o con una IA.

Según el tratado, las empresas deben “avisar de que se está interactuando con un sistema de inteligencia artificial y no con un ser humano”, así como “llevar a cabo evaluaciones de riesgo e impacto con respecto a las repercusiones reales y potenciales sobre los derechos humanos, la democracia y el Estado de derecho”.

Las entidades también deben documentar todo lo que puedan sobre el uso de la IA y estar dispuestas a ponerlo a disposición de cualquiera que pregunte al respecto. El acuerdo dice que las entidades deben “documentar la información pertinente sobre los sistemas de IA y su uso y ponerla a disposición de las personas afectadas. La información debe ser suficiente para permitir a las personas afectadas impugnar la decisión o decisiones tomadas mediante el uso del sistema o basadas sustancialmente en él, así como impugnar el uso del propio sistema” y poder “presentar una denuncia ante las autoridades competentes”.

Doble estándar

Una observadora del proceso de negociación del tratado, Francesca Fanucci, especialista jurídica de ECNL (European Center for Not-for-Profit Law Stichting), describió el esfuerzo como “diluido”, sobre todo al tratar de las empresas privadas y la seguridad nacional. “La formulación de principios y obligaciones en esta convención es tan amplia y está tan plagada de salvedades que plantea serias dudas sobre su seguridad jurídica y su aplicabilidad efectiva“, declaró a Reuters.

El documento final excluye explícitamente las cuestiones de seguridad nacional: “Las cuestiones relativas a la defensa nacional no entran en el ámbito de aplicación del presente Convenio”.

En una entrevista con COMPUTERWORLD, Fanucci dijo que la versión final del tratado trata a las empresas de forma muy diferente a los gobiernos. El tratado “establece obligaciones para los Estados Partes, no para los actores privados directamente. Este tratado impone a los Estados Partes que apliquen sus normas al sector público, pero que elijan si las aplican en su legislación nacional al sector privado y cómo hacerlo. Se trata de un compromiso alcanzado con los países que pidieron específicamente que se excluyera al sector privado, entre ellos Estados Unidos, Canadá, Israel y Reino Unido”, explicó Fanucci. “Prácticamente se les permite formular una reserva al tratado”.

“Este doble estándar es decepcionante”, añadió.

Falta de concreción

Tim Peters, directivo de la empresa canadiense de cumplimiento Enghouse Systems, fue uno de los muchos que aplaudió la idea y la intención del tratado, aunque cuestionó sus detalles concretos.

“El tratado sobre IA del Consejo de Europa es un intento bienintencionado, pero fundamentalmente erróneo, de regular un espacio en rápida evolución con herramientas de ayer. Aunque el tratado se autoproclama tecnológicamente neutral, esta neutralidad puede ser su talón de Aquiles”, afirmó Peters. “La IA no es una solución única, y tratar de aplicar normas generales que regulen todo, desde los robots de atención al cliente hasta las armas autónomas, podría ahogar la innovación y empujar a Europa a una camisa de fuerza reguladora”.

Peters agregó que esto podría socavar en última instancia los esfuerzos de IA empresarial. “Los ejecutivos de TI de las empresas deberían preocuparse por las consecuencias no deseadas: sofocar su capacidad de adaptación, ralentizar el desarrollo de la IA y llevar el talento y la inversión a regiones más amigables con la IA”, dijo Peters. “En última instancia, este tratado podría crear una división competitiva entre las empresas que juegan sobre seguro en Europa y las que empujan los límites en otros lugares. Las empresas que quieren prosperar necesitan pensar críticamente sobre el impacto a largo plazo de este tratado, no solo en la ética de la IA, sino en su capacidad de innovar”.

Otro ejecutivo del sector, Andrew Gamino-Cheong, CTO de Trustible, también cuestionó la falta de concreción del acuerdo. “El contenido real del tratado no es especialmente sólido y se trata sobre todo de declaraciones de principios de alto nivel. Pero creo que se trata sobre todo de un esfuerzo para que los países se unan a la hora de hacer valer sus derechos como entidades soberanas sobre el mundo digital. Para contextualizar un poco lo que quiero decir, veo lo que está ocurriendo con Elon Musk y Brasil como un buen ejemplo de los retos a los que se enfrentan los gobiernos con la tecnología”, dijo Gamino-Cheong. “Es tecnológicamente difícil bloquear Starlink en Brasil, lo que a su vez puede permitir el acceso a X, que es capaz de establecer sus propias normas de contenido y esquivar lo que Brasil quiere que hagan. Del mismo modo, aunque Clearview AI no opere legalmente en la UE, el hecho de que tengan datos de ciudadanos de la UE es suficiente para que se interpongan demandas GDPR contra ellos allí”.

El director gerente de Ernst & Young, Brian Levine, abordó las preguntas sobre la aplicabilidad de este tratado, especialmente con empresas de Estados Unidos, a pesar de que este país fue uno de los firmantes. No es raro que las empresas estadounidenses ignoren las multas y sanciones europeas.

“Hay que ir paso a paso. No se pueden aplicar reglas y normas compartidas hasta que no se llega a un acuerdo sobre cuáles son esas reglas y normas”, dijo Levine. “Estamos saliendo rápidamente de la fase del ‘Salvaje Oeste’ de la IA. Prepárense para el cambio de muy poca regulación y orientación a demasiada”.

El tratado entrará en vigor “el primer día del mes siguiente a la expiración de un plazo de tres meses a partir de la fecha en que cinco signatarios, incluidos al menos tres Estados miembros del Consejo de Europa, lo hayan ratificado”, según el anuncio.