Internet hizo extraordinariamente fácil acceder a información ajena. Y esa facilidad produjo una confusión que se volvió todavía más relevante con la inteligencia artificial: asumir que aquello que puede obtenerse técnicamente también puede reutilizarse libremente.
No es así.
Público, accesible y libremente reutilizable no son conceptos equivalentes.
Esa diferencia existía cuando escribí sobre software libre: que el código pudiera ser leído, modificado o distribuido dependía de los derechos existentes y de las condiciones bajo las cuales su autor había permitido hacerlo. La tecnología facilitaba la copia; la licencia determinaba qué usos estaban jurídicamente habilitados.
Hoy el problema excede ampliamente al software.
Ver no es lo mismo que reutilizar
Una fotografía publicada en una red social puede ser visible para millones de personas. Eso no responde, por sí solo, si un tercero puede descargarla masivamente, incorporarla a una base de datos, utilizarla para entrenar un modelo o extraer características biométricas destinadas a identificar a quien aparece en ella.
Cada uno de esos actos puede involucrar tratamientos diferentes y regímenes jurídicos distintos.
Puede existir derecho de autor sobre la fotografía. La imagen puede constituir un dato personal. Su procesamiento técnico puede generar información biométrica. También pueden existir condiciones contractuales sobre el acceso a la plataforma o sobre determinados usos del contenido.
El error está en convertir la accesibilidad técnica en una autorización jurídica general.
Cuando la escala cambia el problema
El scraping vuelve especialmente visible esa diferencia.
Consultar una página pública y recolectar automáticamente millones de registros no son necesariamente equivalentes desde el punto de vista jurídico. La escala, la finalidad, la naturaleza de los datos y el tratamiento posterior importan.
La inteligencia artificial intensificó este problema porque permite transformar grandes cantidades de información disponible en Internet en datasets utilizados para entrenamiento, perfilado, clasificación o identificación.
El caso del reconocimiento facial muestra hasta dónde puede llegar esa transformación.
Una colección de fotografías públicas puede convertirse, mediante procesamiento, en una base capaz de buscar e identificar personas a partir de sus características faciales. El dato visible sigue siendo una fotografía; la capacidad construida sobre millones de ellas es completamente diferente.
El caso que obligó a dibujar un límite
La discusión dejó hace tiempo de ser solamente teórica.
El AI Act europeo prohíbe expresamente los sistemas destinados a crear o ampliar bases de reconocimiento facial mediante el scraping indiscriminado de imágenes faciales obtenidas de Internet o de cámaras de videovigilancia.
La importancia de esa regla excede al reconocimiento facial.
Muestra que la pregunta jurídica no termina en "¿podía acceder a ese dato?". También importa preguntarse para qué fue obtenido, qué tratamiento posterior se realizará y qué nueva capacidad puede construirse a partir de él.
Un dato puede tener más de una dimensión jurídica
Esto obliga también a abandonar otra simplificación frecuente: tratar todos los problemas relacionados con datos como si fueran problemas de privacidad, o todos los contenidos de Internet como si fueran solamente propiedad intelectual.
Una misma fotografía puede involucrar simultáneamente derecho de autor, protección de datos personales, derechos sobre la imagen y, dependiendo del tratamiento realizado, información biométrica.
Un dataset puede contener materiales sometidos a condiciones jurídicas completamente diferentes.
Y una organización que los utiliza necesita identificar esas diferencias antes de decidir qué puede hacer con ellos.
De la disponibilidad a la procedencia
En los artículos anteriores aparecía repetidamente una misma necesidad.
Con el software, conocer los componentes de los que depende un sistema.
Con la inteligencia artificial, conocer los materiales utilizados para construirlo.
Con los datos obtenidos de Internet aparece ahora otra versión del mismo problema: conocer su procedencia no alcanza si desconocemos las condiciones bajo las cuales pueden reutilizarse.
Por eso una política de datos no debería limitarse a preguntar dónde están almacenados o quién puede acceder a ellos. También debería permitir reconstruir su origen, la finalidad para la que fueron obtenidos, los derechos que pueden afectarlos y los usos posteriores que la organización pretende realizar.
Hace veinte años, una licencia podía marcar la diferencia entre poder ver un código y tener derecho a modificarlo y redistribuirlo.
Hoy necesitamos recuperar esa misma precisión frente a una cantidad inmensamente mayor de información.
Que algo esté en Internet responde dónde podemos encontrarlo. No responde qué podemos hacer con ello.