La reciente modificación de la política de privacidad de Anthropic desarrolladora del conocido asistente de inteligencia artificial Claude, constituye probablemente uno de los acontecimientos más relevantes de los últimos meses desde la perspectiva del Derecho tecnológico. Aunque la noticia ha sido presentada principalmente como una cuestión de privacidad o de protección de datos, sus implicaciones trascienden ampliamente ese ámbito y afectan de forma directa a cuestiones tan diversas como la protección de los derechos fundamentales, la propiedad intelectual, la ciberseguridad, la gobernanza de la inteligencia artificial, la responsabilidad de los proveedores de servicios digitales e incluso el futuro del anonimato en Internet.
Según la información publicada, Anthropic prevé introducir procedimientos reforzados de verificación de identidad que podrían implicar la aportación de documentos oficiales de identificación, fotografías, vídeos faciales y la generación de patrones biométricos destinados a verificar la identidad de determinados usuarios. Asimismo, la compañía contempla la posibilidad de colaborar con autoridades públicas en supuestos relacionados con actividades fraudulentas, ilícitas o potencialmente peligrosas. Estas medidas se justifican en un contexto en el que los sistemas de inteligencia artificial generativa son utilizados cada vez con mayor frecuencia para desarrollar campañas de fraude, automatizar ataques de ingeniería social, generar código malicioso o intentar eludir mecanismos de seguridad diseñados para prevenir usos abusivos de estas tecnologías.
Desde una perspectiva estrictamente jurídica, la primera cuestión que merece atención es la relativa al tratamiento de datos biométricos. El Reglamento (UE) 2016/679 (RGPD) atribuye a los datos biométricos una protección reforzada cuando son tratados con la finalidad de identificar de manera unívoca a una persona física. No se trata simplemente de una categoría adicional de datos personales, sino de una de las categorías especiales de datos contempladas en el artículo 9 del Reglamento, equiparadas en términos de protección a los datos relativos a la salud, al origen racial o étnico, a las convicciones religiosas o a la orientación sexual. La razón de esta protección reforzada resulta evidente: mientras una contraseña puede modificarse cuando se produce una brecha de seguridad, la geometría facial, la huella dactilar o el patrón del iris constituyen atributos permanentes de la persona. Una vez comprometidos, las consecuencias pueden resultar irreversibles.
La creciente normalización de los sistemas de identificación biométrica plantea además un debate mucho más profundo sobre la evolución del concepto mismo de identidad digital. Durante décadas, Internet se desarrolló bajo la premisa de que era posible participar en el entorno digital utilizando identidades parciales, seudónimos o incluso de forma anónima. Esa arquitectura favoreció el desarrollo de la libertad de expresión, la investigación periodística, la denuncia de irregularidades y la participación en espacios de debate especialmente sensibles. Sin embargo, el auge de la inteligencia artificial parece estar impulsando una tendencia inversa: la progresiva vinculación entre la identidad civil del usuario y su actividad digital. Lo que inicialmente se presenta como una medida de seguridad puede convertirse en un mecanismo de trazabilidad prácticamente absoluta de la actividad desarrollada en plataformas de inteligencia artificial.
Esta circunstancia resulta especialmente relevante desde la óptica del Derecho europeo de los derechos fundamentales. El artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea reconoce el derecho al respeto de la vida privada y familiar, mientras que el artículo 8 consagra específicamente el derecho fundamental a la protección de los datos personales. La jurisprudencia del Tribunal de Justicia de la Unión Europea ha venido reiterando que cualquier limitación de estos derechos debe superar un estricto juicio de proporcionalidad, necesidad y adecuación. En consecuencia, la cuestión jurídica esencial no consiste únicamente en determinar si una empresa puede solicitar una identificación biométrica, sino si dicha exigencia resulta verdaderamente necesaria para alcanzar la finalidad perseguida y si existen medidas menos intrusivas capaces de proporcionar un nivel equivalente de seguridad.
La problemática adquiere una dimensión todavía más compleja cuando se analiza desde la perspectiva de la gobernanza de la inteligencia artificial. La entrada en vigor progresiva del Reglamento Europeo de Inteligencia Artificial ha introducido una lógica regulatoria basada en el riesgo. En este nuevo paradigma normativo, la gestión de riesgos deja de ser una cuestión exclusivamente técnica para convertirse en una obligación jurídica. Los desarrolladores y proveedores de sistemas de inteligencia artificial deben demostrar de forma activa que han identificado, evaluado y mitigado los riesgos asociados a sus tecnologías. La exigencia de mecanismos de identificación reforzada puede interpretarse precisamente como una manifestación de esta nueva cultura regulatoria. Sin embargo, ello no elimina la necesidad de justificar adecuadamente la proporcionalidad de las medidas adoptadas.
Desde la perspectiva de la ciberseguridad, la decisión de Anthropic refleja una paradoja que se observa cada vez con mayor frecuencia en el ámbito tecnológico. Las organizaciones recopilan más información con el objetivo de protegerse mejor frente a amenazas externas, pero al hacerlo incrementan simultáneamente el valor estratégico de la información almacenada y, por tanto, el atractivo de sus sistemas para los potenciales atacantes. Una base de datos que contenga documentos de identidad, fotografías faciales, registros de actividad y conversaciones mantenidas con sistemas de inteligencia artificial constituye un objetivo extraordinariamente valioso para grupos criminales, servicios de inteligencia extranjeros o actores especializados en extorsión digital. La historia reciente demuestra que ninguna organización, por sofisticada que sea, puede garantizar un riesgo cero frente a incidentes de seguridad.
Las implicaciones para el secreto profesional son igualmente relevantes. Abogados, médicos, psicólogos, consultores estratégicos, periodistas y otros profesionales sujetos a obligaciones reforzadas de confidencialidad utilizan cada vez con mayor frecuencia herramientas de inteligencia artificial para tareas de apoyo, investigación, análisis documental o generación de borradores. La posibilidad de que las plataformas vinculen de forma inequívoca la identidad real del usuario con las conversaciones mantenidas, los documentos procesados y los resultados generados modifica sustancialmente la evaluación del riesgo jurídico asociado a estas herramientas. Aunque las condiciones contractuales establezcan garantías específicas y aunque los proveedores aseguren que no utilizan las conversaciones para entrenar modelos, el mero hecho de que exista una atribución nominativa de la actividad desarrollada incrementa significativamente la sensibilidad de la información tratada.
Desde el punto de vista de la propiedad intelectual, la cuestión resulta igualmente fascinante. Uno de los grandes problemas jurídicos derivados de la inteligencia artificial generativa ha sido la dificultad para acreditar la participación humana en el proceso creativo. La progresiva implantación de mecanismos de identificación robusta podría alterar radicalmente este escenario. En un futuro próximo, será posible acreditar con un elevado grado de certeza quién utilizó un sistema de inteligencia artificial, cuándo lo hizo, qué instrucciones proporcionó y qué resultados obtuvo. Esta trazabilidad puede convertirse en una herramienta probatoria extraordinariamente valiosa en litigios relacionados con la autoría de obras, la titularidad de derechos, la apropiación indebida de contenidos o las controversias derivadas de relaciones laborales y mercantiles.
Al mismo tiempo, esta misma capacidad de trazabilidad plantea riesgos evidentes para la privacidad intelectual de los usuarios. Tradicionalmente, el proceso creativo ha disfrutado de un espacio de intimidad relativamente protegido. Los borradores, las ideas preliminares, las hipótesis descartadas y las fases iniciales de desarrollo de una obra rara vez quedaban registradas de forma sistemática. Sin embargo, la utilización de sistemas de inteligencia artificial genera un rastro digital extremadamente detallado de todo el proceso creativo. Desde una perspectiva jurídica, nos encontramos ante una transformación profunda de la relación entre autoría, privacidad y prueba.
La noticia protagonizada por Anthropic debe interpretarse, por tanto, como un síntoma de una evolución mucho más amplia. No estamos simplemente ante una modificación de una política de privacidad corporativa. Nos encontramos ante una manifestación de la tensión creciente entre seguridad y libertad, entre trazabilidad y anonimato, entre cumplimiento normativo y protección de los derechos fundamentales. Durante los últimos años, el debate jurídico sobre la inteligencia artificial se ha centrado principalmente en los datos de entrenamiento, los sesgos algorítmicos o la protección de los derechos de propiedad intelectual. Sin embargo, es posible que la cuestión verdaderamente decisiva para la próxima década sea otra muy distinta: la progresiva desaparición de la separación entre nuestra identidad civil y nuestra actividad digital.
La gran pregunta jurídica que plantea este caso no es únicamente qué pueden hacer los sistemas de inteligencia artificial, sino qué grado de conocimiento sobre sus usuarios estarán legitimadas para adquirir las empresas que los desarrollan. La respuesta a esta cuestión condicionará no sólo el futuro de la privacidad, sino también el equilibrio entre innovación tecnológica, seguridad y derechos fundamentales en la sociedad digital del siglo XXI.
