En la era del Big Data y la Inteligencia Artificial (IA), las empresas suelen asumir un dogma clásico: «cuantos más datos tengamos y más exactos sean en su sentido tradicional, mejor funcionará nuestro modelo». Sin embargo, la regulación europea y las autoridades de control están cambiando radicalmente este paradigma: La AEPD redefine la calidad del dato para la IA.

La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica clave sobre la exactitud, idoneidad y calidad de los datos en tratamientos con Inteligencia Artificial. En ella, clarifica un aspecto fundamental para científicos de datos, responsables de privacidad y directivos: la calidad técnica del dato y el principio de exactitud del RGPD no son lo mismo, y la veracidad absoluta no siempre es exigible ni conveniente.

En este artículo del blog de Data and Co desglosamos las claves estratégicas de este pronunciamiento de la AEPD y cómo afecta a las organizaciones que desarrollan o despliegan soluciones de datos e IA.

1. Calidad del Dato vs. Exactitud RGPD: Dos conceptos que no debes confundir

Uno de los errores más comunes en la gobernanza de datos corporativa es equiparar los estándares de la industria (como ISO 25012 o ISO 5259) con el principio de exactitud del Reglamento General de Protección de Datos (RGPD).

• Calidad del dato (Estándares ISO): Es un concepto técnico amplio, aplicable tanto a datos personales como no personales. Mide el grado en que las características de un dato satisfacen necesidades específicas (completitud, formato, precisión, consistencia).
• Exactitud RGPD: Es un principio normativo instrumental obligatoriamente vinculado a la finalidad del tratamiento.

La clave de la AEPD: Un dato no es «exacto» para el RGPD por ser minuciosamente veraz en abstracto, sino por ser adecuado e idóneo para cumplir el fin concreto del tratamiento sin lesionar los derechos de las personas.

2. ¿Es necesaria la veracidad absoluta en el entrenamiento de IA?

Sorprendentemente, la respuesta de la AEPD es no en todos los casos. El RGPD establece que los datos deben ser «exactos y, si fuera necesario, actualizados». La actualización o la veracidad punto por punto solo son exigibles cuando la ausencia de estas propiedades comprometa la finalidad o afecte negativamente a los derechos de los individuos.

Existen técnicas esenciales para la calidad de un modelo de IA que sacrifican deliberadamente la «verdad literal» de un registro individual en favor del rendimiento global:

• Técnicas de imputación de valores vacíos: Completar campos faltantes introduciendo la media estadística de un grupo crea datos formalmente «inventados» para ese individuo concreto, pero incrementa la completitud y la utilidad técnica de la base de datos sin violar el RGPD.
• Desesgamiento: Ajustar o normalizar valores para eliminar sesgos discriminatorios modifica la información original, pero garantiza un tratamiento leal e idóneo.
• Datos sintéticos y privacidad diferencial: Alterar registros para proteger la identidad permite entrenar modelos reduciendo el riesgo para las personas físicas.

Si el tratamiento es agregado o de desarrollo algorítmico, la veracidad absoluta del registro individual pasa a un segundo plano. En cambio, si el resultado del sistema va a tomar una decisión automatizada sobre una persona (como conceder un crédito o calificar en un proceso de selección), la veracidad del resultado de salida sí debe ser máxima.

3. Registro individual vs. Calidad del Dataset

En los entornos de Machine Learning, evaluar los datos fila por fila o campo por campo es insuficiente. La AEPD subraya que, en los tratamientos destinados al desarrollo de IA, la idoneidad depende de la calidad del conjunto de datos (dataset) en su totalidad.

Un dataset puede tener registros técnicamente perfectos según la norma ISO y, al mismo tiempo, ser completamente inservible o ilegal bajo el RGPD si presenta:

1. Falta de representatividad: No refleja el entorno real donde operará la IA.
2. Sesgos de distribución: Como la sobrerrepresentación de un género o grupo demográfico.
3. Poder predictivo deficiente: Variables que no aportan información útil para separar clases o predecir resultados.

Bajo la responsabilidad proactiva del RGPD, el responsable del tratamiento debe evaluar y documentar la trazabilidad y equilibrio del dataset global, no solo la corrección de registros aislados.

4. El desarrollo de la IA es un tratamiento distinto a su explotación

Un matiz operativo crucial que destaca la AEPD es la separación de ciclos de vida:

1. Tratamiento de Desarrollo/Evolución: Crear, entrenar, verificar y validar el modelo de IA.
2. Tratamiento de Explotación/Despliegue: Usar el modelo ya entrenado para procesar datos de clientes o usuarios en el día a día.

Cada uno de estos dos momentos requiere evaluar la calidad de los datos de forma independiente.

El peligro de exigir «demasiada calidad»

Exigir requisitos de calidad desproporcionados para la fase de entrenamiento (como un nivel de detalle o volumen excesivos) vulnera el principio de minimización de datos del RGPD.

Además, encarece absurdamente los procesos de gobierno del dato e incluso puede llevar al fracaso o cancelación injustificada de proyectos de innovación por asumir erróneamente que los datos «no son lo suficientemente perfectos». Si un conjunto de datos no reúne la calidad mínima necesaria para entrenar un modelo, su acceso ni siquiera estará legitimado, salvo para realizar la auditoría previa de calidad.

5. El impacto indirecto de los datos NO personales

En la arquitectura de una IA, conviven datos personales y no personales (baremos, configuraciones, datos de sensores, tablas de equivalencia).

La AEPD advierte que la falta de calidad en los datos no personales de entrada puede corromper las operaciones intermedias y provocar un resultado final inexacto o discriminatorio para una persona física. Por tanto, las métricas de calidad y la gobernanza corporativa deben cubrir la totalidad del pipeline de datos, sin importar su naturaleza jurídica inicial.

6. Recomendaciones prácticas para las organizaciones

Para alinear el cumplimiento normativo con el éxito técnico en proyectos de IA y analítica avanzada, la AEPD propone una hoja de ruta muy clara:

1. Equipos multidisciplinares obligatorios: Es inviable definir la calidad de los datos en proyectos de IA solo desde el área legal o solo desde el área de ingeniería. La definición de métricas requiere la colaboración estrecha de Científicos de Datos (Data Scientists) y Delegados de Protección de Datos (DPD/DPO).
2. Gobernanza basada en métricas de salida: No basta con medir la calidad de lo que «entra» al algoritmo; es imprescindible evaluar objetivamente la calidad e idoneidad de los resultados que la IA genera en fase de explotación.
3. Gestión de fallos mediante salvaguardas: Como el sistema perfecto no existe, la idoneidad de un tratamiento no depende de tener un modelo infalible, sino de diseñar salvaguardas alrededor del sistema (supervisión humana, filtros de salida, cortafuegos o bucles de revisión).
4. Documentación como prueba de Responsabilidad Proactiva: Todos los criterios de selección, exclusión, preprocesado y métricas de rendimiento deben estar documentados de forma transparente antes de iniciar el despliegue comercial o corporativo.

¿Cómo debería ser la calidad del dato para la IA?

La Inteligencia Artificial no exige bases de datos impecables en términos absolutos, sino conjuntos de datos idóneos, minimizados y representativos para su fin específico.

En Data & Co ayudamos a las organizaciones a estructurar, verificar y optimizar sus activos de información.