Por otra parte, los actores del mundo de los videojuegos están preocupados ya que los modders (fans que modifican las características de juegos para crear nuevo contenido), están clonando sus voces con inteligencia artificial para dar mayor realismo a esos nuevos niveles, personajes o historias.

En ese sentido, HoYoverse, uno de las desarrolladores de videojuegos más grandes de China, creadores del altamente popular Genshin Impact, usó en 2022 la clonación para reemplazar con inteligencia artificial la voz de una vocalista en un nuevo evento de un juego, ya que la actriz original no estaba disponible para trabajar.

Por si fuera poco, uno de los motivos de la huelga de actores en EEUU es el temor a las inteligencias artificiales generativas, por ejemplo por la posibilidad de recrear su rostro, imagen o voz y dejar de depender de ellos con tanta regularidad. Por ejemplo, se sabe que los estudios de Hollywood ya estaban sugiriendo clonar a los extras y su fisionomia por algo más de 200$ el extra, y a perpetuidad, para poder incluirlos en las películas que hicieran falta sin tener que contratarlos.

En resumen, que el reciente capítulo de la sexta temporada de Black Mirror, “Joan is awful”, ya no es tan ciencia ficción como podía parecer…

De acuerdo, parece que esto es más real de lo que parecía, pero desde la perspectiva de la protección de datos personales, que es desde donde vamos a analizar el supuesto, ¿puedo clonar una voz mediante inteligencia artificial?

Veamos las posibilidades.

Dato personal y biométrico

Para empezar, ¿qué es la voz desde la perspectiva de la protección de datos? Es un dato de carácter personal de acuerdo a numerosas resoluciones e informes de la Agencia Española de Protección de Datos.

El Tribunal Constitucional vino a decir lo mismo en el año 2000 al considerar que instalar micrófonos en determinadas dependencias de un casino con la finalidad de aumentar la seguridad, suponía “una intromisión ilegítima en el derecho a la intimidad consagrado en el art. 18.1 CE, pues no existe argumento definitivo que autorice a la empresa a escuchar y grabar las conversaciones privadas que los trabajadores del casino mantengan entre sí o con los clientes”.

También el Tribunal Supremo se ha pronunciado, concretamente en 2020, indicando que la voz será un dato personal si está asociada a otro dato (un teléfono, por ejemplo) o es “puesta a disposición de otras personas que pueden identificar a quién pertenece”.

Por tanto, si bien podría haber casos extremos en los que la voz no fuera un dato personal (por ejemplo, un audio breve de mala calidad, sin metadatos y sin pista alguna en las palabras pronunciadas), lo mejor es considerar que en la mayoría de supuestos lo es.

Aclarado eso, hay que resaltar que la voz no es un dato personal cualquiera, ya que en principio será un dato de tipo biométrico ya que hace referencia a “las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona”, según el artículo 4.14 RGPD.

Ahora bien, aquí hay bastantes más matices a realizar.

Como bien explica Janvier Parewyck, una cosa es el habla (en la que por ejemplo alguien podría identificarse al iniciar un discurso, lo que obviamente convertiría a ese dato en personal) y otra la voz como tal (que no dejan de ser los sonidos que los humanos reproducimos, pero que no tienen porqué incluir el habla o la expresión).

Un grito será obviamente una voz, pero muchas veces no formaría parte del habla.

Uno de los elementos que sugiere la necesidad de entender la voz como un dato biométrico es que la misma puede identificar a una persona de forma individual (especialmente en el caso de voces características), pero también puede dar a conocer su origen étnico y localización por el acento, su estado de ánimo o incluso una enfermedad.

Pero es cierto que dependerá mucho del audio y la voz que en el mismo pueda escucharse, hablar o no de dato biométrico y por tanto de un dato de categoría especial.

En ese sentido, otro elemento importante es el Considerando 51 del RGPD, ya que señala que un dato potencialmente biométrico no siempre será de categoría especial, dependiendo en realidad de la finalidad:

“El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física“.

En el mismo sentido se pronuncian las Directrices 2/2021 sobre los asistentes de voz virtuales del EDPB, en su página 25:

“El RGPD considera que la mera naturaleza de los datos no siempre es suficiente para determinar si estos reúnen los requisitos para ser considerados categorías especiales de datos ya que «el tratamiento de fotografías […] únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física» (considerando 51). El mismo razonamiento se aplica a la voz.”

Es decir, que si alguien dice en un audio que va en silla de ruedas debido a una enfermedad, no significa que debamos tratar automáticamente ese dato como un dato biométrico y de categoría especial ya que la finalidad (presente o futura) al recoger ese audio quizá no era revelar, deducir o extraer esa particularidad que sí podría convertir al dato en especial.

La página 18 de las Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de vídeo del EDPB tienen más ejemplos en ese sentido.

Por tanto, ¿será la voz siempre un dato personal? En la mayoría de casos.

¿Será también un dato de categoría especial al consistir en un dato biométrico dirigido a identificar de manera unívoca a una persona física? Dependerá especialmente de la finalidad que demos a esa voz, y de los elementos que la compongan y puedan facilitar o no la identificación de la persona.

Como último apunte, la distinción que la AEPD venía haciendo desde hace un tiempo entre identificación y autenticación a efectos de determinar o no el carácter biométrico de un dato, se ha saldado con un claro “Es indiferente” según las Directrices 05/2022 sobre el uso de tecnología para reconocimiento facial por los cuerpos y fuerzas de seguridad del EDPB.

Según su Considerando 12: “Aunque ambas funciones -autenticación e identificación- son distintas, las dos se refieren al tratamiento de datos biométricos relacionados con una persona física identificada o identificable y, por lo tanto constituyen un tratamiento de datos personales, y más concretamente un tratamiento de categorías especiales de datos personales”.

Por tanto, a la hora de determinar la finalidad de la voz la diferencia entre identificación y autenticación pierde la importancia que le daba la AEDP.

Dicho esto, ¿a qué escenarios podríamos hacer frente al clonar una voz con inteligencia artificial y cuál sería la base legal más adecuada?

Escenarios y bases legales

1.- Clonar la propia voz

Empecemos por lo fácil :p

Clono mi propia voz para experimentar con ello. Seguramente es donde menos dolores de cabeza podemos tener: excepción doméstica del art. 2.2 c) RGPD y adelante.

Sí habría que tener en cuenta, que a menos que hayamos desarrollado nosotros el software que hace la clonación, la herramienta de tercero que usemos sí tiene obligaciones legales respecto a nosotros y por nuestro lado podremos ejercer los correspondientes derechos.

2.- Clonar la voz de terceros

Aquí pueden darse diferentes posibilidades:

A) Amigos, conocidos o familiares

En muchos casos seguramente podríamos estar ante un nuevo supuesto de excepción doméstica del art. 2.2 c) RGPD. Por ejemplo, clonar la voz de mi sobrino, un amigo o mi hermano para hacerle hablar Klingon o como Homer Simpson pero con su tono de voz.

Nuevamente hay que tener en cuenta los derechos propios y de terceros respecto al servicio usado para clonar la voz mediante inteligencia artificial.

Pero podría ser un caso más serio (por ejemplo, un mod para el videojuego Skyrim que publico online, que dobla un amigo en castellano y que se doblará al inglés artificialmente). Ahí tendría mucho sentido requerir el consentimiento de esa persona.

En este escenario también podríamos acabar con la clonación de la voz mediante inteligencia artificial de una persona fallecida (no tan de ficción como parece). Eso está excluido del ámbito de la protección de datos, pero la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, artículo 3.1, sí contempla que por parte de las personas vinculadas al fallecido se pueda acceder a los datos que pudiera tratar un responsable. Y ahí podríamos estar hablando de audios o vídeos con voz de una red social que quieran usarse para su clonación.

B) Colaboradores, proveedores o clientes (relación mercantil)

Aquí estaríamos hablando de alguno de los escenarios comentados al inicio: actores de doblaje de todo tipo (series, películas, videojuegos, documentales, vídeos explicativos, audioguías, etc), cantantes, voces para anuncios, trailers, gestión de eventos, conciertos, entre otras.

Lo normal será tener contrato regulando la prestación del servicio, por ejemplo doblar una serie. Luego, según la finalidad para la que queramos tratar la clonación de la voz en particular (por ejemplo, el doblaje a otros idiomas con el mismo tono, para un contenido de carácter global y en un margen de tiempo breve) ya es cuando deberíamos analizar la base legal a aplicar.

La base legal contractual podría ser una, sin olvidar los límites que ha establecido la autoridad irlandesa en la sanción a Meta por usar la base contractual para publicidad comportamental, de enero de 2023.

El interés legítimo, con la opción de oponerse, podría ser otra opción. Aunque sin olvidar que quizá hay alternativas más proporcionales (voces enlatadas o actores locales, por ejemplo).

Finalmente, quizá la más “sencilla” y menos problemática base legal sería el consentimiento expreso o explícito, según el caso, de la persona contratada.

En los anteriores casos, y para los supuestos en los que la voz sea un dato de categoría especial, tener en cuenta la particularidad del artículo 9.2 e) RGPD cuando dice que no estaría prohibido el tratamiento referido a datos personales que el interesado ha hecho “manifiestamente públicos”. ¿Los cantantes y actores podrían tener un problema con este apartado?

Todo ello sin olvidar lo previsto en el artículo 7.6 de Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, según la cuál: “Tendrán la consideración de intromisiones ilegítimas en el ámbito de protección delimitado por el artículo segundo de esta Ley: La utilización del nombre, de la voz o de la imagen de una persona para fines publicitarios, comerciales o de naturaleza análoga.”

C) Empleados (relación laboral)

Finalmente, el escenario relativo a los empleados es donde parece más difícil poder justificar una base legal que no sea un consentimiento expreso o explícito.

Y obviamente podría afectar a cualquier de los perfiles mencionados anteriormente, solo que cambia la relación de mercantil a laboral.

En resumen: una de las muchas variantes de la inteligencia artificial es cómo permite ya reproducir de forma muy verosímil algunas de nuestras características más únicas, el rostro, los ojos, formas de moverse o la voz.

Si eso ocurre y quiero clonar la voz de alguien mediante inteligencia artificial, desde la perspectiva de la protección de datos debo recordar que será casi siempre un dato personal. Además, puede también ser un dato de categoría especial por ser biométrico, aunque en ese caso será importante la finalidad que demos a ese tratamiento.

Finalmente, según el escenario en el que se produzca esa “clonación”, doméstico, mercantil o laboral, la base legal que deberé tenerse en cuenta para tratar ese dato de forma correcta puede cambiar bastante.

Una más de esas cuestiones vinculada a la inteligencia artificial que parece muy lejana pero que en realidad ya está muy presente.

¡Ojo con los copiones de voz! :p

La entrada ¿Es legal clonar la voz mediante inteligencia artificial? se publicó primero en Términos y Condiciones.

El chatbot es un gran modelo de lenguaje ajustado con técnicas de aprendizaje, tanto supervisadas como de refuerzo., que a partir del modelo GPT-3.5 de OpenAI, consigue respuestas sorprendentemente articuladas y detalladas.

De hecho, el Departamento de Educación de Nueva York ya ha prohibido su uso en los colegios por miedo a que sirva para hacer chuletas altamente sofisticadas.

Como el chatbot tanto te puede crear un programa informático sencillo, como escribir una redacción para la clase de inglés, hacer un poema o sugerirte cómo darte de baja en Netflix, he pensado que podía ser interesante ver cómo lo hace a la hora de redactar cláusulas de privacidad muy comunes, como las de alta, webinar, blog, newsletter, el aviso de cookies y otras parecidas.

Son cláusulas muy estándar que se repiten de forma regular. Por tanto, tendría sentido que ChatGPT para ese tipo de tarea pudiera ser una buena ayuda o incluso un sustituto.

¡Así que vamos a ello!

Empezamos con un clásico, el Aviso de Cookies.

Importante indicar que la primera consulta ha buscado siempre ser lo más genérica posible, sin dar muchas pistas.

En ese sentido, decir que mientras más se desarrolla la pregunta, mejor es la respuesta. De hecho, ChatGPT recuerda las indicaciones anteriores que se le dieron en la misma conversación, lo que se nota mucho a la hora de redactar las cláusulas.

Es decir, si uno hacía la misma pregunta en una conversación nueva y no siguiendo una conversación en la que se han realizado múltiples apuntes y ajustes, la falta de detalle y calidad en la respuesta se nota bastante.

Lo veremos luego en un ejemplo concreto.

La primera cláusula para el aviso de cookies es muy genérica y contiene un error que ya anticipo que no he conseguido deshacer, a pesar de los muchos ajustes: la inclusión del consentimiento tácito.

Todas las versiones generadas respecto al aviso de cookies, incluso la de inglés, siempre dicen que el uso de la web implica la aceptación de las cookies. Pero sabemos que ya no es el caso desde la llegada del RGPD.

Supongo que eso es un buen ejemplo de cómo un error legal muy común, ya que muchos avisos de cookies siguen diciendo eso, condiciona la veracidad y calidad del dataset en un asunto jurídico.

En materia legal esto es más común de lo que parece, donde existen creencias populares sobre cuestiones jurídicas comunes que en realidad son erróneas. Por tanto ojo, ya que cuando el dataset está basado en información pública mayormente, esos errores jurídicos comunes va a seguir extendiéndose.

Sea como sea, el recordatorio incluido en cada uno de los ejemplos una vez creada la cláusula, sí dice que debe recopilarse el consentimiento antes de usar las cookies. Así que en parte ChatGPT acierta.

La segunda versión del aviso de cookies, detallando el tipo de cookies y la posibilidad de rechazar y configurar:

El resultado es sorprendentemente bueno, sabiendo describir el tipo de cookie. Pero de nuevo falla con el tema del consentimiento tácito.

Un tercer intento con el aviso de cookies, detallando ahora que deben ser aceptadas o rechazadas antes de su instalación, que deben poder ser rechazadas todas y configuradas individualmente:

ChatGPT ofrece aquí la mejor versión sin duda. Pero a pesar de todos los ajustes, sigue insistiendo en que la navegación es igual a aceptar las cookies (aunque antes diga que no se instalarán sin haber sido consentidas).

Por ver si era un problema de idioma, también probé con una versión en inglés, pero seguía insistiendo en el mismo error del consentimiento tácito:

En general el aviso de cookies es más que correcto con el problema de la frase sobre el consentimiento tácito. Aunque al menos en la tercera versión están incluidas ambas opciones.

Probamos ahora con una cláusula de privacidad para un formulario de contacto:

La respuesta en sencilla pero correcta.

Como puede observarse, ChatGPT siempre incluye en todas las respuestas un recordatorio relativo a la necesidad de ser transparentes y requerir el consentimiento.

Una segunda versión del formulario de contacto, recordando que debe indicarse la base legal y los derechos a ejercer:

Sin que nadie le haya dicho nada, elige como base legal el interés legítimo, que podría ser perfectamente correcto en este caso, y enuncia correctamente todos los derechos del usuario.

Buena respuesta.

Probamos ahora con la cláusula de privacidad para un formulario de alta:

De nuevo, buena respuesta y sorprendente detalle al describir algunos de los datos que se recopilarán.

Nos deja con la duda de si aplica consentimiento o no para el envío de comunicaciones, pero el “Y en su caso” diría que da a entender que sí.

Probemos ahora con una cláusula para los comentarios en un blog:

Nuevamente, buena respuesta y razonando con bastante lógica las finalidades.

Probemos ahora ChatGPT con una cláusula de privacidad para un newsletter:

De nuevo, sorprendentemente buena. Quizá se viene algo arriba con lo del interés legítimo para personalizar el correo y ofrecer productos y servicios de interés, pero en lo básico está correcta.

Para demostrar la importancia de lo que enseñamos a ChatGPT y cómo recuerda lo que le vamos contando, aquí la diferencia al crear una cláusula para el alta en un webinar si se hace en una nueva conversación o en una conversación con muchos ejemplos y ajustes previos.

NUEVA CONVERSACIÓN

CONVERSACIÓN CON MUCHOS EJEMPLOS PREVIOS

Como puede observarse, la pregunta era la misma pero el resultado es muy diferente si ChatGPT ha tenido preguntas y apuntes previos que le permiten precisar mucho más y saber dónde ha fallado.

De hecho, la segunda respuesta es francamente buena.

Viendo que la cosa progresaba bien, decidimos subir un poco la dificultad y sugerirle que redactara una cláusula de privacidad para una tienda online, indicando el responsable del tratamiento, la base legal y la necesidad de configurar el envío de publicidad mediante un consentimiento opt-out.

De inicio tuvimos algunos fallos:

Pero tras algunos ajustes y esperar casi un minuto de reloj, conseguimos lo siguiente:

No empezó mal, pero a ChatGPT definitivamente se le atragantó el tema del consentimiento opt-out. Por tanto, aquí regular tirando a error.

Y ya que estábamos, le pedimos que nos redactara un contrato de encargado de tratamiento, pero sorprendentemente sugirió las pautas de lo que debería tener ese contrato (aunque en verdad eran cláusulas más propias de un contrato de prestación de servicios común).

También en inglés dio el mismo resultado.

Eso sí, nos recuerda que el contrato debería ser revisado por un abogado antes de su firma. :p

En resumen:

– Para ser un prototipo, tiene ya aciertos importantes (las cláusulas para newsletter, formulario de contacto, alta, webinar o blog eran correctas en su totalidad o mayoría).

– Guiarlo o darle pautas cada vez más concretas definitivamente ayuda en el resultado, ya que el sistema recuerda lo hablado. Lo que quiere decir que quizá ahora mismo sea mejor para abogados en prácticas que para emprendedores con ganas de gastar poco, ya que la falta de conocimiento previo condiciona bastante el resultado.

– A pesar de las pautas que uno introduzca, parece que hay errores jurídicos inevitables si la fuente usada está plagada de ese error: por ejemplo, el omnipresente consentimiento tácito en los avisos de cookies. Lo que pone de manifiesto la importancia del dataset y los datos de entrenamiento usados, y su corrección.

– A pesar de los éxitos, es obvio que cuando la dificultad de la tarea aumenta también empeora la respuesta, a pesar de los ajustes que se le den. De hecho, en algunas respuestas ni tan siquiera sugiere un modelo (el del contrato de encargado de tratamiento) sino las pautas del mismo (y las mismas no son correctas).

Por tanto, hoy por hoy ChatGPT seguramente no sustituya a ningún abogado en materia de privacidad, aunque sí puede ser útil para inspirarlos y ahorrarles algo de trabajo. Pero a medio – largo plazo no me cabe duda que Facilita RGPD y otras herramientas similares para generar la papelería más básica en privacidad serán reemplazadas por herramientas como ChatGPT.

Quién sabe, quizá ése también sea el futuro de algunas consultoras en privacidad que van a los más básico de lo básico, acabar siendo sustituidas por un chatbot.

La entrada ¿Sirve ChatGPT para redactar cláusulas de privacidad? se publicó primero en Términos y Condiciones.