Acceptar una pantalla no demostra per si sol que hi hagi hagut una elecció. Quan una aplicació necessita informació, la decisió només pot ser significativa si la finalitat s’entén, el permís no es barreja amb serveis innecessaris i existeix una alternativa que no castiga qui limita les seves dades. La privacitat no es protegeix amb una casella precipitada; es protegeix quan la persona pot decidir sense pressió, amb informació suficient i amb una via per canviar d’opinió.

La promesa de seguretat sol empènyer cap al registre total. Si es conserva cada missatge, cada pulsació i cada dubte, sembla més fàcil explicar què ha passat després. Tanmateix, aquesta acumulació també crea riscos: una conversa privada pot circular fora de context, una inferència pot semblar un fet i una persona pot evitar demanar ajuda per por de quedar marcada. La cura no augmenta automàticament amb la quantitat de dades. Augmenta quan els límits són clars, l'accés està justificat i una incidència es pot resoldre sense ampliar innecessàriament l'observació.

Una resposta automàtica pot organitzar una cita, orientar un tràmit, proposar una lectura o contestar una pregunta freqüent. En tots aquests casos hi ha persones que necessiten comprendre què es guarda, per a què s'utilitza i com poden demanar una correcció. També hi ha equips que necessiten aprendre de les errades. Ambdues necessitats són compatibles si el disseny distingeix entre millorar un servei i seguir qui l'utilitza. Una millora responsable busca patrons de funcionament; no converteix una interacció ordinària en una biografia detallada.

La cura comença per decidir què no cal saber#

Abans d'activar una eina convé descriure'n el propòsit en una frase concreta. “Resoldre dubtes sobre horaris” no autoritza a inferir salut, ingressos, relacions o estat d'ànim. “Ordenar sol·licituds rebudes” no requereix conservar l'historial complet de navegació. Aquesta precisió redueix el marge d'usos posteriors que ningú no esperava. També obliga a identificar quina dada és imprescindible per produir una resposta, quina només és convenient i quina no hauria d'entrar mai al sistema.

Abans d'activar una eina convé descriure'n el propòsit en una frase concreta. “Resoldre dubtes sobre horaris” no autoritza a inferir salut, ingressos, relacions o estat d'ànim.

El Reglament General de Protecció de Dades estableix principis de minimització, limitació de la finalitat i limitació del termini de conservació. No són obstacles aliens a la feina diària: serveixen per formular preguntes pràctiques. Es podria oferir la mateixa ajuda sense nom? És suficient una categoria en lloc d'una data exacta? Cal desar el text íntegre o n'hi ha prou amb un indicador agregat que hi ha hagut un error? Les respostes canvien segons el context, però deixar les preguntes sense resposta acostuma a portar a una recollida per defecte que després és difícil de reduir.

El Marc de Gestió de Riscos d'IA del NIST proposa governar, mapar, mesurar i gestionar riscos de manera contínua. Aplicat a la privacitat, aquest enfocament demana mirar tot el recorregut: entrada de dades, generació de la resposta, revisió humana, registre d'incidències i eliminació. Un equip pot protegir molt bé una base de dades i, tot i així, fallar si un proveïdor conserva còpies de converses o si els registres de prova es barregen amb expedients reals. Conèixer el recorregut permet posar límits abans que una informació sensible esdevingui rutinària.

Els Principis d'IA de l'OCDE afegeixen transparència, solidesa i responsabilitat. La transparència útil no consisteix en una política interminable enllaçada al peu de pàgina. Consisteix en un avís proper a la interacció: què fa l'assistent, quina informació utilitza, què no s'hi ha d'incloure i on és l'alternativa humana. Si una persona ha de revelar una dada per rebre atenció, la raó ha de ser comprensible. Si no és necessària, el formulari i el sistema haurien de deixar de demanar-la.

També importa el llenguatge. Frases com “el servei aprèn de cada conversa” poden amagar decisions molt diferents: una revisió temporal per detectar errors, una conservació indefinida, un entrenament extern o una cessió a un tercer. Cada pràctica necessita una explicació pròpia i una base legítima. Un avís honest no presenta la vigilància com a preu inevitable de l'ajuda; informa de límits, opcions i conseqüències sense castigar qui tria la via menys invasiva.

La Llei d'Intel·ligència Artificial de la Unió Europea reforça un enfocament basat en el risc i presta atenció a la governança de dades, la documentació, la supervisió humana i la informació a les persones. No exigeix tractar tota eina quotidiana com un sistema crític. Sí que convida a reconèixer que una resposta aparentment modesta pot influir en l'accés a serveis, oportunitats o reputació. Com més gran sigui aquesta influència, més important serà demostrar que les dades i les inferències tenen límits verificables.

Un inventari breu ajuda més que una promesa genèrica. Ha d'indicar dades d'entrada, finalitat, destinataris, ubicació, termini de conservació, proveïdor, persona responsable i procediment d'esborrat. No cal publicar detalls que facilitin un abús, però sí disposar d'una descripció que pugui revisar qui atén una queixa. Quan ningú no sap on acaba una conversa o quina versió l'ha processada, una rectificació es converteix en una cerca incerta i la persona afectada suporta la càrrega de demostrar-ho tot.

Cas primer: l'assistent sanitari que demanava massa#

Un centre de salut va incorporar un assistent per orientar sobre preparació de cites i recursos generals. El formulari demanava telèfon, data de naixement, adreça completa, motiu de consulta i una descripció oberta fins i tot per preguntar per horaris. La intenció era oferir una resposta més precisa i detectar urgències, però moltes consultes no requerien aquesta informació. A més, els textos oberts quedaven disponibles per a un proveïdor que revisava qualitat tècnica.

Una revisió interna va detectar que algunes persones abandonaven el formulari després de llegir les preguntes. La solució no va ser afegir un consentiment més llarg. Es van separar les rutes: horaris i ubicació es resolien sense identificació; la preparació d'una cita demanava només la dada necessària; les qüestions de símptomes mostraven un avís clar i es derivaven a un canal clínic. Les converses de prova es van anonimitzar i es va definir un termini curt per als registres d'errors. El proveïdor rebia mètriques agregades en lloc de textos complets sempre que això permetia investigar la fallada.

El canvi va millorar tant la privacitat com la qualitat. Les persones entenien quan parlaven amb un sistema informatiu i quan necessitaven personal sanitari. El centre conservava la capacitat de detectar respostes perilloses, però va deixar de tractar cada pregunta com una història clínica potencial. Cuidar va significar dissenyar una porta d'urgència i una via humana, no conservar una còpia exhaustiva de cada dubte expressat en un moment de preocupació.

Cas segon: la universitat i el panell de risc#

Una universitat utilitzava un model per identificar estudiants que podien necessitar suport acadèmic. El panell combinava assistència, lliuraments i ús de la plataforma virtual. Amb el temps es va proposar afegir dades de biblioteca, participació en activitats i notes internes del personal per “millorar la precisió”. La proposta semblava prudent, però ampliava l'observació de manera difícil d'explicar i podia convertir un senyal estadístic en una etiqueta persistent.

La institució va establir un límit: el model només podia generar una invitació a recursos voluntaris, mai una sanció ni una conclusió sobre capacitat o compromís. Es van excloure les notes lliures i es va fixar una revisió independent abans d'afegir qualsevol font. El panell mostrava factors generals i un marge d'incertesa, no un perfil psicològic. Les dades es revisaven per períodes definits i s'eliminaven quan deixaven de ser necessàries per a la intervenció. Qui rebia un missatge podia acudir a una persona de suport sense justificar per què havia aparegut el senyal.

Aquest cas il·lustra que la prevenció pot ser útil sense normalitzar la vigilància. La pregunta rellevant no és només si una nova font millora una mètrica. També és si altera la relació educativa, si crea incentius per ocultar-se i si ofereix una ajuda que la persona realment pot rebutjar. Un servei de suport perd part del seu valor quan sembla un mecanisme de seguiment. La reducció de dades pot protegir la confiança que fa possible demanar ajuda a temps.

Cas tercer: l'ajuntament i les consultes d'habitatge#

Un ajuntament va llançar un assistent per explicar ajuts d'habitatge. Per mesurar satisfacció, el contracte inicial permetia registrar converses completes, identificadors del dispositiu i pàgines visitades abans i després de la consulta. Aquesta informació podia revelar precarietat econòmica, conflictes familiars o canvis de domicili. La mesura de qualitat era legítima com a objectiu, però el mètode superava el necessari per saber si les respostes eren clares i correctes.

El servei va substituir el seguiment detallat per una enquesta voluntària al final de la interacció i per proves periòdiques amb preguntes fictícies. Per investigar un error concret, es va habilitar un procediment amb accés limitat, motiu documentat i esborrat posterior. Les consultes es podien fer sense crear un compte, i l'avís indicava que l'assistent no tramitava ni decidia sol·licituds. Quan una resposta incloïa un termini, enllaçava a la font oficial i oferia telèfon i atenció presencial.

La correcció no va reduir la responsabilitat pública; la va fer més concreta. L'ajuntament va poder mesurar temps de resposta, temes confusos i errors recurrents sense construir un registre de trajectòries personals. Si apareixia una incidència amb possible impacte en un termini, hi havia personal autoritzat per revisar el cas i explicar la solució. La cura es va manifestar en poder reparar una orientació equivocada, no en observar cada pas posterior de qui havia demanat informació.

Revisar un dany no autoritza una vigilància indefinida#

Una incidència pot requerir conservar evidències. Si una resposta automàtica ofereix una instrucció errònia, és raonable reconstruir quina versió era activa, quina font es va usar i a qui podia afectar. Però aquesta necessitat no justifica obrir tots els registres ni guardar indefinidament converses alienes al problema. Un protocol proporcionat delimita la data, el tipus de cas, les persones amb accés i el moment de destrucció o anonimització. També evita que una investigació es converteixi, sense decisió explícita, en una nova base de dades de comportament.

L'Autoritat Europea de Protecció de Dades i el Comitè Europeu de Protecció de Dades han insistit en la responsabilitat proactiva: qui tracta dades ha de poder demostrar que ha previst riscos i mesures adequades. Aquesta demostració pot basar-se en documentació, controls d'accés, avaluació de proveïdors i registres tècnics mínims. No requereix que el sistema conegui més de la vida d'una persona. De fet, una organització preparada per explicar els seus límits sol resoldre millor una queixa que una altra amb muntanyes de dades sense ordre ni finalitat definida.

La revisió humana també necessita límits. Una persona encarregada de qualitat no hauria de poder llegir per curiositat converses sensibles ni descarregar lots sencers per treballar fora dels sistemes autoritzats. Convé assignar funcions, registrar accessos rellevants i separar l'atenció al públic de l'anàlisi tècnica quan sigui possible. Aquestes precaucions protegeixen tant qui consulta com qui treballa: redueixen decisions improvisades i fan visible quan una excepció necessita autorització.

Hi ha situacions en què l'opció més segura és no automatitzar una resposta. Si l'assumpte inclou violència, salut urgent, menors, migració, deute o risc de perdre un habitatge, una interfície pot orientar cap a recursos, però no hauria d'exigir relats extensos per provar que mereix atenció. La derivació a una persona preparada i una explicació clara de confidencialitat solen cuidar més que un qüestionari que pretén classificar una experiència complexa. L'automatització responsable sap reconèixer les seves fronteres.

L'accessibilitat forma part de la privacitat. Una persona que no pot usar una web, entendre un text complex o evitar compartir un dispositiu pot quedar exposada de manera desproporcionada. Per això les alternatives han de ser reals: telèfon, presencialitat, llenguatge clar, idiomes pertinents i possibilitat de corregir sense publicar detalls sensibles. Una única pantalla que obliga a acceptar-ho tot no ofereix una elecció significativa, encara que usi paraules amables sobre control.

Els contractes mereixen una lectura concreta. Han d'aclarir si el proveïdor utilitza dades per entrenar models, on s'allotgen, quins subcontractistes intervenen, què passa en acabar el servei i com es notifiquen canvis. També han de permetre exportar o eliminar informació quan correspon. Una organització no pot delegar el seu deure de cura mitjançant una clàusula opaca. Qui presenta una resposta automàtica davant del públic conserva l'obligació de conèixer, limitar i corregir-ne els efectes.

Una resposta digna deixa espai per no ser observat

El bon funcionament no es mesura només per rapidesa, percentatge d'encerts o reducció de trucades. També es mesura per la possibilitat de preguntar sense lliurar una petjada excessiva, discrepar sense rebre una etiqueta i obtenir ajuda sense quedar atrapat en una pantalla. Aquesta mesura exigeix revisar periòdicament quines dades s'han afegit, quins usos no s'han complert i quins registres poden desaparèixer. L'esborrat planificat és una pràctica de qualitat, no una pèrdua de memòria institucional.

Un equip pot fer exercicis senzills: intentar resoldre una consulta amb la menor informació possible, demanar una correcció com si no hi hagués accés a internet, comprovar quina explicació rep algú que rebutja el seguiment i revisar si un proveïdor pot veure més del necessari. Aquests assajos revelen friccions que les mètriques no mostren. També ajuden a distingir una salvaguarda real d'un avís que desplaça tota la responsabilitat cap a la persona usuària.

Cuidar no equival a abandonar la supervisió. Equival a supervisar el sistema, els seus límits i les seves conseqüències sense convertir cada persona en objecte de supervisió. Una resposta automàtica mereix confiança raonable quan informa amb claredat, recull poc, conserva menys, permet una intervenció humana i aprèn de les errades de manera verificable. La privacitat no és silenci davant d'un dany; és la condició que permet demanar ajuda, corregir una resposta i continuar sense una vigilància que romangui quan la necessitat ja ha acabat.

Fonts institucionals: Agència Espanyola de Protecció de Dades, aepd.es; Comitè Europeu de Protecció de Dades, edpb.europa.eu; Comissió Europea, protecció de dades a la UE; Information Commissioner's Office, ico.org.uk.