Glosario de gobernanza de IA y protección de datos

Capacidades, conocimientos y comprensión que permiten a proveedores, responsables del despliegue y personas afectadas usar sistemas de IA de forma informada y reconocer sus oportunidades, riesgos y posibles perjuicios.

Resultado de un modelo de IA generativa que es fluido y seguro, pero falso, sin fundamento o inventado, como hechos, citas o referencias fabricados.

La anonimización es el tratamiento irreversible de datos para que ninguna persona pueda ser identificada por medios razonablemente probables, lo que los saca del ámbito de la protección de datos.

La ANPD (Autoridade Nacional de Proteção de Dados) es la autoridad de protección de datos de Brasil, encargada de regular, orientar y fiscalizar el cumplimiento de la LGPD.

El aseguramiento de IA es el proceso de medir, evaluar y comunicar evidencias sobre si un sistema de IA, o su gobernanza, es confiable y cumple criterios acordados.

Fundamento legal, tomado de una lista cerrada de la ley, que hace lícito un tratamiento concreto de datos personales, como consentimiento, contrato, obligación legal o interés legítimo.

Una brecha de datos personales es un incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos, a datos personales.

Datos personales que revelan origen étnico o racial, opiniones políticas, creencias religiosas, afiliación sindical, datos genéticos o biométricos, salud, vida u orientación sexual, sujetos a reglas más estrictas.

La CCPA, modificada por la CPRA, es la ley de privacidad del consumidor de California que otorga a sus residentes derechos sobre su información personal en manos de empresas alcanzadas.

Las cláusulas contractuales tipo son términos de protección de datos adoptados por una autoridad que, firmados sin cambios, ofrecen garantías adecuadas para transferir datos personales a otro país.

Órgano multidisciplinario que revisa usos de IA relevantes o controvertidos, asesora a quienes deciden y escala inquietudes éticas dentro de la estructura de gobernanza de la organización.

Manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, mediante una declaración o un acto afirmativo claro, el tratamiento de sus datos personales.

El contrato de encargo del tratamiento es el acuerdo vinculante con el que el responsable instruye al encargado y fija las condiciones obligatorias del tratamiento en su nombre.

Toda información sobre una persona física identificada o identificable, directa o indirectamente, como un nombre, un número de identificación, datos de localización o un identificador en línea.

Datos generados artificialmente que reproducen propiedades estadísticas de un conjunto real sin copiar directamente sus registros, usados para entrenar, probar o compartir.

Una decisión de adecuación es la declaración formal de que otro país garantiza un nivel adecuado de protección de datos, lo que permite transferirle datos sin garantías adicionales.

Decisiones sobre personas adoptadas únicamente por medios automatizados, sin intervención humana significativa, que pueden producir efectos jurídicos o similares y activan garantías específicas.

Persona designada por el responsable o el encargado del tratamiento para asesorar, supervisar el cumplimiento de la normativa de protección de datos y servir de contacto con interesados y autoridades.

Derecho a obtener la supresión de los propios datos personales sin dilación indebida cuando concurre una causa legal, como que ya no sean necesarios o se retire el consentimiento.

Derechos de las personas sobre sus datos personales, como información, acceso, rectificación, supresión, limitación, portabilidad, oposición y garantías frente a decisiones exclusivamente automatizadas.

Degradación del desempeño de un modelo de IA con el tiempo porque los datos o las relaciones que encuentra en producción difieren de los del entrenamiento.

Todo tratamiento automatizado de datos personales para evaluar aspectos personales de una persona, en particular analizar o predecir su rendimiento, situación económica, salud, preferencias, comportamiento o ubicación.

Persona física o jurídica, autoridad pública u otro organismo que trata datos personales por cuenta del responsable del tratamiento y según sus instrucciones.

Evaluación de los efectos previsibles de un sistema de IA sobre personas, grupos y sociedad, documentada antes del despliegue y revisada cuando cambian el sistema o su uso.

Evaluación que ciertos responsables del despliegue de IA de alto riesgo realizan antes del primer uso para identificar riesgos para los derechos fundamentales de las personas afectadas.

Evaluación documentada de un tratamiento que probablemente entrañe alto riesgo para las personas, que describe el tratamiento, su necesidad y proporcionalidad, los riesgos y las medidas para afrontarlos.

Proceso que demuestra si se cumplen requisitos especificados; en el Reglamento Europeo de IA, la verificación exigida a un sistema de alto riesgo antes de comercializarse.

Proceso estructurado para identificar, analizar y evaluar los riesgos que un sistema de IA plantea a personas, organizaciones y sociedad, para poder tratarlos y monitorearlos.

La evidencia de auditoría es información verificable pertinente a los criterios de auditoría; la no conformidad es el incumplimiento de un requisito, detectado al comparar esa evidencia con los criterios.

Capacidad de ofrecer a las personas razones significativas y precisas sobre el resultado de un sistema de IA, adecuadas a su función y a la decisión adoptada.

Documento estandarizado que registra la motivación, composición, proceso de recolección, preprocesamiento, usos previstos, distribución y mantenimiento de un conjunto de datos.

Documento breve y estructurado que describe el uso previsto de un modelo entrenado, su desempeño entre grupos relevantes, limitaciones, datos de entrenamiento y consideraciones éticas.

Sistema de roles, políticas, procesos y controles mediante el cual una organización dirige, supervisa y rinde cuentas sobre cómo desarrolla, adquiere y usa la IA.

Uso de herramientas, modelos o funciones de IA por parte de empleados o equipos sin el conocimiento, la aprobación ni los controles de las áreas de gobernanza de la organización.

Enfoque para diseñar, desarrollar y usar la IA de forma lícita, segura, justa, transparente y responsable, con respeto de los derechos humanos en todo su ciclo de vida.

Evento en el que el desarrollo, el uso o la falla de un sistema de IA causa o casi causa, directa o indirectamente, daño a personas, bienes, ambiente o derechos.

Base jurídica que permite el tratamiento necesario para los intereses legítimos del responsable o de un tercero, salvo que prevalezcan los intereses, derechos y libertades del interesado.

Registro actualizado de los sistemas y modelos de IA que una organización desarrolla, compra o usa, con responsable, finalidad, datos, nivel de riesgo y estado de cada uno.

Ataque que oculta instrucciones en la entrada del usuario o en contenido que lee un modelo de IA, haciendo que ignore sus reglas y actúe a favor del atacante.

Guía internacional para que quienes desarrollan, despliegan o usan IA gestionen sus riesgos específicos, adaptando los principios y el proceso de la ISO 31000.

La ISO/IEC 27701 es la norma internacional para un sistema de gestión de la privacidad de la información, con requisitos y controles para responsables y encargados de datos personales.

Norma internacional que especifica los requisitos para establecer, implementar, mantener y mejorar de forma continua un sistema de gestión de IA en una organización.

La LGPD (Ley n.º 13.709/2018) es la Ley General de Protección de Datos Personales de Brasil, que regula el tratamiento de datos personales por organizaciones públicas y privadas.

Principio según el cual los datos personales se recogen con fines determinados, explícitos y legítimos, y no se tratan posteriormente de manera incompatible con esos fines.

Principio según el cual los datos personales se conservan de forma que permita identificar a los interesados solo durante el tiempo necesario para los fines del tratamiento.

Marcado con el que el proveedor indica que un sistema de IA de alto riesgo cumple el Reglamento Europeo de IA y la legislación de armonización de la UE.

Medidas cuantitativas que comparan resultados o tasas de error de un sistema de IA entre grupos para detectar y dar seguimiento a disparidades injustificadas.

Principio según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan.

Modelo de IA, normalmente entrenado con grandes volúmenes de datos, que presenta una generalidad significativa, realiza con competencia muchas tareas distintas y puede integrarse en numerosos sistemas.

Modelo de gobernanza del IIA que separa la responsabilidad de la gestión sobre los riesgos, la supervisión especializada de riesgos y cumplimiento y el aseguramiento independiente de auditoría interna.

Modelo de IA de gran escala entrenado con datos amplios, generalmente mediante autosupervisión, que puede adaptarse a una gran variedad de tareas posteriores.

El AI Risk Management Framework del NIST, marco voluntario de Estados Unidos que organiza la gestión de riesgos de IA en cuatro funciones: Govern, Map, Measure y Manage.

La notificación de brechas es el deber de informar una violación de datos personales a la autoridad: 72 horas en el RGPD y tres días hábiles en la LGPD.

Deberes legales de informar a las personas cuando interactúan con IA, cuando un contenido es generado o manipulado por IA y cómo se tratan sus datos personales.

Política organizacional que define qué herramientas de IA puede usar el personal, para qué finalidades, con qué datos y bajo qué reglas de revisión y divulgación.

Usos de la IA prohibidos de forma directa por el artículo 5 del Reglamento Europeo de IA, porque su riesgo para los derechos fundamentales y la seguridad se considera inaceptable.

Primer estándar intergubernamental sobre IA, adoptado por el Consejo de la OCDE, que establece cinco principios basados en valores para una IA confiable y cinco recomendaciones para las políticas nacionales.

Obligación de integrar los principios y garantías de protección de datos en sistemas y procesos desde su diseño, y de tratar por defecto solo los datos necesarios para cada fin.

Información documentada sobre de dónde provienen los datos, cómo y en qué condiciones se recolectaron y todas las transformaciones que sufrieron antes de usarse.

En el Reglamento Europeo de IA, quien desarrolla un sistema de IA o modelo GPAI, o lo encarga, y lo ofrece con su propio nombre o marca.

Prueba adversarial estructurada en la que un equipo intenta deliberadamente que un sistema de IA falle, se comporte mal o cause daño, para hallar debilidades antes que otros.

Inventario documentado que el responsable o el encargado mantiene de sus operaciones de tratamiento, con fines, categorías de datos, destinatarios, transferencias, plazos de conservación y medidas de seguridad.

Reglamento (UE) 2024/1689, norma de la Unión Europea con reglas armonizadas y basadas en el riesgo para la oferta y el uso de sistemas y modelos de IA.

En el Reglamento Europeo de IA, persona u organismo que utiliza un sistema de IA bajo su autoridad, salvo en una actividad personal no profesional.

Persona física o jurídica, autoridad pública u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento de datos personales.

El RGPD (Reglamento (UE) 2016/679) es la norma de la Unión Europea que regula el tratamiento de datos personales y la libre circulación de esos datos.

Errores sistemáticos en los resultados de un sistema de IA que producen diferencias injustificadas de trato o de resultado para ciertas personas o grupos.

La seudonimización es el tratamiento de datos personales de modo que ya no puedan atribuirse a una persona sin información adicional, conservada por separado y bajo medidas técnicas y organizativas.

Conjunto de políticas, objetivos, procesos y controles interrelacionados que una organización usa para gobernar el desarrollo, el suministro o el uso responsable de sistemas de IA, según la ISO/IEC 42001.

En el Reglamento Europeo de IA, sistema que es componente de seguridad de un producto regulado o se usa en un ámbito sensible del Anexo III.

Solicitud de una persona al responsable para ejercer un derecho de protección de datos, en especial el acceso a una copia de sus datos y a información sobre su tratamiento.

Medidas que permiten a personas competentes monitorear un sistema de IA, comprender sus límites e intervenir, anular o detener sus resultados cuando sea necesario.

Las tecnologías de mejora de la privacidad son métodos técnicos que permiten usar, compartir o analizar datos reduciendo la exposición de la información personal.

Una transferencia internacional de datos es el envío o la puesta a disposición de datos personales a un destinatario en otro país, permitida solo mediante un mecanismo reconocido.

Imagen, audio o video generado o manipulado por IA que se asemeja a personas, objetos, lugares o hechos reales y parecería falsamente auténtico.