Los Regulatory Sandbox en la Propuesta Inicial de Reglamento de Inteligencia Artificial.

 

LOS REGULATORY SANDBOX EN LA PROPUESTA INICIAL DE REGLAMENTO DE INTELIGENCIA ARTIFICIAL DEL PARLAMENTO EUROPEO

Arnau Gómez Echeverría - Entrada Nº4.

1.- Introducción

    Hace no más de 3 semanas, el Parlamento Europeo (PE) alcanzó un compromiso sobre el borrador de enmiendas de la Propuesta inicial de Reglamento de Inteligencia Artificial. (Propuesta inicial de Reglamento IA, que os adjunto al final del Post)

    Para los agentes económicos del mercado, la regulación propuesta por la Unión Europea, basada, fundamentalmente, en el riesgo de los distintos sistemas de IA, puede llegar a constituir una barrera o un límite a la innovación. De esta dicotomía que, principalmente, preocupa a empresas desarrolladoras de IA, (Innovación vs. Regulación basada en parámetros de riesgo), nacen los Regulatory Sandbox, de los que hablaremos y sobre los que reflexionaremos en esta cuarta Entrada del Blog. ¿Qué son? ¿Cuál es su origen? ¿Qué pueden aportar? ¿Cómo funcionan?… Son algunas de las preguntas a las que, a lo largo del Post, trataremos de dar respuesta. 

2.- Los Regulatory Sandbox en la Propuesta Inicial de Reglamento de Inteligencia Artificial del PE. Art. 53.

    El artículo 53 de la Propuesta del PE (en relación con los apartados 71, 72, 72a y 72b) bajo el Título (V) “Medidas para dar soporte a la Innovación”, recoge la obligación, dirigida a cada uno de los 27, de “establecer, al menos, un Sandbox Regulatorio de IA a nivel estatal, al tiempo que la regulación de IA sea aplicable en los Estados Miembro.”

    Pero, ¿qué es y cómo funciona exactamente un Regulatory Sandbox? Se trata, como bien dice la Propuesta del Parlamento Europeo de IA en sus apartados 71 y ss., de un “espacio para experimentar”, y al mismo tiempo una manera de “facilitar el desarrollo y las pruebas de sistemas innovadores de Inteligencia Artificial bajo una estricta supervisión reglamentaria antes de su comercialización o puesta en servicio.” En Derecho Comparado, se trata de una práctica muy extendida, sobre todo, en los Estados Unidos. Por ejemplo: En 2018, se habilitaron determinadas carreteras en el estado de Arizona para que, bajo la supervisión y control de las autoridades, pudieran circular coches de conducción autónoma. (Compañías como Uber o Toyota se valieron de esta iniciativa del gobierno de Arizona para testear sus proyectos)

    En un plano más teórico, Dragos Tudorache, eurodiputado del Grupo Renew Europe en el Parlamento Europeo, y miembro del Comisión de Libertades Civiles, Justicia y Asuntos de Interior, define los Regulatory Sandbox como grandes impulsores de la innovación tecnológica, que tienen, principalmente, 3 objetivos (¿Para qué sirven? ¿Cuál es su virtualidad?) 

• Permitir y facilitar la interacción directa con la autoridad en un entorno cuya base la constituye una filosofía de ensayo-error. 

• Llegar a un producto que dé confianza, tanto al desarrollador como al consumidor, con anterioridad de su puesta en el mercado. 

• Garantizar el cumplimiento de las normas en materia de Inteligencia Artificial, detectando, especialmente, cuales son los riesgos que se derivan de la implantación de dichos sistemas, y evitando materializarlos.

Los objetivos sobre los que, ilustrativa y muy claramente, reflexiona Dragos Tudorache, están previstos en el apartado 72 de la Propuesta del Parlamento Europeo del Reglamento de IA, al decir que “los objetivos de los Regulatory Sandbox deben ser:

• Para las autoridades de establecimiento comprender mejor los avances técnicos, mejorar los métodos de supervisión y orientar a los desarrolladores y proveedores de sistemas de IA para lograr (efectivamente) el cumplimiento normativo del Reglamento, o en su caso, de otra legislación de la Unión y de los Estados Miembros, así como con la Carta de los Derechos Fundamentales. 

• Para los proveedores y desarrolladores, permitir y facilitar el ensayo y desarrollo de soluciones innovadoras relacionados con los sistemas de IA.”

• Y, en general, fomentar “el desarrollo de soluciones innovadoras relacionadas con los sistemas de IA en la fase previa a la comercialización; aumentar la seguridad jurídica; permitir un mayor aprendizaje normativo estableciendo autoridades en un entorno controlado para desarrollar mejores orientaciones e identificar posibles mejoras futuras del marco jurídico a través del procedimiento legislativo ordinario”. 

    Los Regulatory Sandbox son, en definitiva, una suerte de “oasis normativos”, o si se prefiere, entornos normativamente más flexibles, en los que, bajo la supervisión de Autoridades de Control, y en una interacción y cooperación directa con ellos, se permiten prácticas de determinados Proyectos (bien de IA, bien de cualquier otra naturaleza) antes de su lanzamiento o comercialización. De esta manera, se fomenta la innovación, y las empresas y agentes del mercado pueden testear sus Proyectos, detectar debilidades de los mismos, y saber, de la mano de las Autoridades de Control, si su funcionamiento se adecúa a las disposiciones normativas vigentes en ese momento. Por decirlo de otra manera: Los Regulatory Sandbox son espacios que permiten a las empresas y agentes económicos no acudir “a ciegas” al mercado. 

3. La propuesta de España. El borrador de Real-Decreto que establece un entorno controlado de pruebas en materia de Inteligencia Artificial (Sandbox)

    El pasado 29 de mayo el Ministerio de Asuntos Económicos y Transformación Digital publicó un borrador de Real-Decreto, en el que se prevé un entorno controlado de pruebas (Sandbox), dirigido, fundamentalmente, a determinar como se van a aplicar, controlar, y en definitiva, utilizar, los sistemas de Inteligencia Artificial que el Reglamento IA (Propuesta del Parlamento Europeo) prevé en su articulado.

    La Propuesta de Sandbox IA del Ministerio tiene como objeto “estudiar la operatividad de los requisitos establecidos en la propuesta de Reglamento europeo, así como la autoevaluación de cumplimiento y la prueba de sistemas de supervisión de los sistemas de inteligencia artificial de alto riesgo de los participantes durante su funcionamiento.” (Art. 1 del borrador Real-Decreto)

    Entre otros, el borrador de Real-Decreto establece un procedimiento de acceso al espacio del entorno controlado de pruebas, abierto a los proveedores de sistemas de Inteligencia Artificial ubicados en España. (Arts. 6 y ss. RD, en los que se prevén figuras como “órgano instructor, etc.) 

    Además, el artículo 11 del texto establece una serie de requisitos que los sistemas de IA deberán cumplir para participar del sistema de Sandbox previsto, (en línea con lo que prevé la Propuesta de Reglamento de IA del PE) entre los que destacan especialmente, los siguientes:  

• Establecimiento, implementación, documentación y mantenimiento de un sistema de gestión de riesgo que se refiera al proyecto de Inteligencia Artificial en cuestión.

• Registros automáticos de eventos. “Logs”.

• Instrucciones de uso del sistema de Inteligencia Artificial en formato electrónico, que además, deberán incluir información técnica, información sobre las características y prestaciones del sistema, etc. Todo ello de manera clara, actualizada, concisa, accesible y comprensible para los usuarios (finales) del sistema.

    Así, las inicativas en materia de Sandbox Regulatorios en los distintos Estados Miembros permitirán conectar a las autoridades competentes con las entidades desarrolladoras de inteligencia artificial para definir de forma conjunta buenas prácticas y obtener conclusiones que puedan servir de base para la implementación del futuro Reglamento europeo de Inteligencia Artificial.

Fuentes consultadas: (Links abajo)

- Borrador RD Ministerio de Asuntos Económicos y Transformación Digital. 

- Vídeo de Youtube: Dragos Tudorache & IA Act.

- Propuesta Reglamento IA PE. 

Enlaces a Bibliografía: 

- Borrador RD Ministerio de Asuntos Económicos y Transformación Digital: https://portal.mineco.gob.es/RecursosArticulo/mineco/ministerio/participacion_publica/audiencia/ficheros/Proyecto_RD_Sandbox_IA-1.pdf

- Vídeo de Youtube: Dragos Tudorache & IA Act: https://www.google.es/url?sa=i&rct=j&q=&esrc=s&source=web&cd=&ved=0CAIQw7AJahcKEwiYwILyq6T_AhUAAAAAHQAAAAAQAg&url=https%3A%2F%2Fwww.youtube.com%2Fwatch%3Fv%3DBBmq4T_550U&psig=AOvVaw2rWm6reS_0ciepcCaNhlak&ust=1685786942988663 

- Propuesta de Reglamento IA PE: https://www.europarl.europa.eu/resources/library/media/20230516RES90302/20230516RES90302.pdf

El derecho de información previa (arts. 11 LOPD y 12 RGPD) en el ámbito de la videovigilancia laboral. Análisis de la STS 285/2022 de 30 de marzo.

DERECHO LABORAL Y NUEVAS TECNOLOGÍAS

EL DERECHO DE INFORMACIÓN PREVIA (ARTS. 11 LOPDPGDD Y 12 RGPD) EN EL ÁMBITO DE LA VIDEOVIGILANCIA LABORAL. ANÁLISIS DE LA STS 285/2020, DE 30/03/2022.

Arnau Gómez Echeverría - Entrada Nº2. 

Introducción.

    El efectivo cumplimiento de la normativa en materia de Protección de Datos en el ámbito de las relaciones laborales ha constituido siempre una cuestión más que controvertida, máxime teniendo en consideración que, la implementación de los sistemas de videovigilancia en el ámbito laboral ha dado pie a un debate, con opiniones muy diversas: ¿Qué prima más, el poder de control del empresario, o el derecho a la Protección de Datos de las personas trabajadoras? 

    En esta segunda entrada del Blog, se tratará esta cuestión mediante el estudio jurisprudencial de la Sentencia del Tribunal Supremo 285/2022, de 30 de marzo, y además, se analizarán, de manera gráfica y genérica, las claves prácticas de la videovigilancia en el ámbito laboral, mediante una breve aportación de la Guía Práctica de la AEPD en lo referente a la videovigilancia en el ámbito de las relaciones laborales. 

A) Análisis de la STS 285/2022, de 30 de marzo.

1. Antecedentes y recorrido judicial del caso. 

    El procedimiento del que posteriormente dimanará la Sentencia que es objeto de análisis en este artículo se inicia en 2019, ante el Juzgado de lo Social nº8 de Madrid. La persona trabajadora que interpuso la demanda contaba con más de 30 años de antigüedad, y la prestación de servicios se llevaba a cabo en el servicio de Cafetería y Hostelería del Aeropuerto de Barajas, en Madrid. 

    En 2009, la empresa decide colocar dentro del centro de trabajo varias cámaras de vigilancia, concretamente sobre las cajas registradoras, con tal de identificar al personal que, en ese momento, se encontraba haciendo operaciones de cobro. La finalidad de la instalación de los dispositivos de videovigilancia no era otra que, según la empresa, garantizar la seguridad tanto de los empleados, como de los bienes de la empresa. Además, la empresa colocó carteles adhesivos y avisos gráficos en la entrada del establecimiento, con tal de informar sobre la existencia de dispositivos de videovigilancia a los clientes y usuarios del negocio.

    No obstante, y a pesar de que la empleadora notificase a la representación legal de los trabajadores (en fechas 17 de enero de 2014 y 31 de julio de 2015) el cambio y nueva ubicación de las cámaras de seguridad, la empresa no notificó a la persona trabajadora: A) La existencia de las cámaras activas de videovigilancia que captaban su imagen durante el desarrollo de la actividad laboral. B) La posibilidad de utilizar las imágenes con fines disciplinarios.

    En fecha 9 de mayo de 2018, la empresa comunica a la persona trabajadora la extinción del contrato de trabajo por motivos disciplinarios, ya que, gracias a la revisión de las cámaras de vigilancia instaladas, la empresa pudo comprobar la comisión de una serie de actos ilícitos por parte de la persona trabajadora, en reiteradas ocasiones, en las fechas 14, 17, 18, 19 y 23 de marzo de 2018. 

    Ha de tenerse en consideración que los hechos ocurren con anterioridad a la entrada en vigor de la vigente LOPDPGDD, y que por tanto, la ley aplicable en mayo de 2018, era la LOPRODA. 

    Sentado este extremo, el TSJ de Madrid, en recurso de suplicación, entiende que no se da cumplimiento a lo dispuesto en el art. 5 de la LOPRODA (Ley aplicable en ese momento), ya que, no se ha podido acreditar que la empresa informase previamente a la persona trabajadora de la existencia del sistema de grabación, ni que ésta tuviera conocimiento de ello, ni que la empresa hubiera colocado los distintivos genéricos de la Agencia de Protección de Datos”. 

    En la misma línea, el TSJ declara como elemento decisivo para resolver el pleito (en favor de la persona trabajadora despedida) “la total ausencia de conocimiento y de comunicación expresa así como la inexistencia de las advertencias públicas y genéricas obligatorias, respecto a la instalación de un sistema de grabación de imágenes, sin que sea relevante ni el consentimiento del trabajador. 

    La representación recurrida aportó al procedimiento como Sentencia de contraste la Sentencia del Tribunal Superior de Justicia de Madrid, 10 de enero de 2020, resolución de la que se extrae el enjuiciamiento de un caso muy parecido, y en la que se analiza un despido disciplinario de un trabajador de la misma empresa, con la misma categoría profesional. En este caso, la STSJ de Madrid de 10 de enero de 2020 admitió la prueba de videovigilancia y, tras atribuirle un carácter lícito a la grabación efectuada por parte de las cámaras de la empresa, declaró procedente el despido, en contra de lo resuelto por el juzgador de instancia. 

    En este caso, razona la STSJ de Madrid de 10 de enero de 2020, quedó debidamente acreditado que “las cámaras instaladas en el centro de trabajo cumplían la normativa en materia de protección de datos, tal y como se deduce del hecho probado cuarto, teniendo como objeto garantizar la seguridad de los empleados y bienes de la empresa. Existían carteles adhesivos informando de la existencia de cámara a la entrada de los establecimientos y en el interior de los mismos, y los representantes de los trabajadores fueron informados de la ubicación de las cámaras en todo momento”.     

    La resolución de contraste se fundamenta, entre otros, en la Instrucción 1/2006 de la Agencia Española de Protección de Datos, así como en la LOPRODA, texto aprobado en 1999, y que constituye la antesala a la normativa actualmente vigente de Protección de Datos, inexistente en la fecha en que ocurrieron estos hechos. 

2. La STS 285/2022 de 30 de marzo, y su posterior cristalización en el artículo 89 de la LOPD. 

    La dualidad de resoluciones referentes a una misma cuestión hizo que el caso llegase al Tribunal Supremo, vía recurso para la unificación de doctrina. El Tribunal Supremo dictó la Sentencia 285/2022, de 30 de marzo, y lo recogido por el Alto Tribunal en esta resolución es de capital importancia, ya que, este razonamiento jurisprudencial, así como la conclusión a la que llega el Juzgador, se incluirán posteriormente en el texto de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, en concreto, en su artículo 89, en el que se concreta el régimen específico de la videovigilancia en el ámbito laboral.

    La resolución del TS desdice la dictada por el TSJ de Madrid en suplicación, alegando, fundamentalmente, que las exigencias del deber de información previa al trabajador se entienden cumplidas por la mera existencia del distintivo informativo colocado a la entrada del establecimiento. El TS alude a que “en el año 2009 se dictó resolución de la Agencia de Protección de Datos por la que archivaba sus actuaciones en la que se dejaba constancia, entre otras cuestiones, de que se colocaban carteles adhesivos informando de la existencia de cámara a la entrada de los establecimientos y en el interior de los mismos”.

    Además, el Tribunal Supremo, tras llevar a cabo el pertinente juicio de proporcionalidad (medida adoptada vs. Derechos Fundamentales de la persona trabajadora) declaró la licitud de la medida adoptada por el empresario, ya que, la instalación de dispositivos de videovigilancia cumple con los parámetros constitucionales exigidos, al estar orientada a un fin legítimo y justificado (como puede ser el de evitar los hurtos). La medida es también idónea, pues está orientada a dejar constancia de la relación causa-efecto entre el acto ilícito llevado a término por el empleador y las consecuencias que de él se derivan para la empresa. 

    Con todo, dice el Tribunal Supremo, la medida es en sí misma proporcionada, ya que, la captación de imágenes tiene un fin concreto y específico, sin que el mismo, además, sea ajeno a la relación laboral que une a las partes. 

    La lógica de la doctrina jurisprudencial que subyace de la STS 285/2022, de 30 de marzo de 2022, fue introducida por el legislador en el artículo 89 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: 

“Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo. 

1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos”. 

                    ¡OJO! El precepto tiene límites, en el apartado siguiente del mismo: 

“2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos”. 

No obstante, y términos del derecho de información previa a los trabajadores sobre los dispositivos de videovigilancia, ha de estarse a lo que el Tribunal Supremo declaro en su Sentencia, y es que, el deber de información previa ex art. 11 LOPDPGDD y 12 RGPD no es absoluto, y puede decaer a un régimen de mínimos cuando se esté hablando sobre comisión de hechos ilícitos, entendiéndose colmadas las exigencias de información en virtud de lo previsto en el artículo 22.4 de la LOPDPGDD, referente al marco general de videovigilancia, y no sólo a aquella en el ámbito laboral. 

De la lectura de la Sentencia se extrae que, lo relevante a efectos de tener por informado o no informado previamente al trabajador, es la concurrencia o no de un acto ilícito, siendo ello determinante a la hora de aplicar o no aplicar el régimen de información “mínima”, contenida en el marco general, en el art. 22.4 de la LOPDPGDD. Es decir, el TS sienta como criterio o norma general la obligación de informar previa y expresamente al trabajador de la existencia de sistemas de videovigilancia, sin perjuicio de que, esta norma general, pueda verse reducida a una información mínima en el caso de concurrir o advertirse hechos ilícitos. (Aplicación del régimen general de videovigilancia art. 22.4 LOPDPGDD)

B) Guía Práctica de la Agencia Española de Protección de Datos (AEPD) en materia de videovigilancia en el ámbito de las relaciones laborales.

    Al margen del análisis jurisprudencial -referente sobre todo al derecho de información previa al trabajador ex art. 89 LOPD y art. 22.4 del mismo texto- esta segunda entrada del Blog pretende ofrecer al lector una serie de consideraciones prácticas sobre la videovigilancia en el ámbito laboral. Se aporta, para ello, un esquema práctico de la AEPD, en el que se analizan mínimamente las implicaciones prácticas más importantes en materia de videovigilancia laboral, con relevancia, en este caso, a efectos de Protección de Datos.

    Lo expuesto hasta ahora hace referencia a la excepción que el esquema de la AEPD no menciona en lo relativo al derecho de información previa (subrayado en el esuqema de amarillo), pero considero el resto de cuestiones prácticas de sumo interés, por lo que, se adjuntan mediante el esquema de la AEPD, sin perjuicio de que, a futuro, podáis encontrar alguna entrada independiente -y más profunda- sobre las cuestiones a las que se refiere la guía práctica de la Agencia. 

          

                         Fuente: Agencia Española de Protección de Datos. (AEDP)