Transparencia algorítmica y secreto empresarial: la sentencia europea que
redefine el equilibrio
Por Santiago
Carretero Sánchez, Profesor Titular de Filosofía del Derecho. Universidad Rey
Juan Carlos
El Tribunal de Justicia de la Unión Europea
(TJUE) ha dado un paso decisivo en la interpretación del Reglamento General de
Protección de Datos (RGPD) frente a la creciente opacidad de los sistemas
automatizados de decisión.
La sentencia de 27 de febrero de 2025, asunto C-203/22, Dun &
Bradstreet Austria GmbH, establece con claridad que el derecho de
acceso a la “lógica implicada” en una decisión automatizada no puede
sacrificarse sin más en nombre del secreto empresarial.
El caso se originó en Austria, cuando un
ciudadano solicitó a la empresa Dun & Bradstreet —dedicada al
análisis automatizado de solvencia— que le explicara los criterios empleados
para elaborar un perfil crediticio que había condicionado su contratación. Ante
la negativa de la compañía, el tribunal austriaco remitió al TJUE una cuestión
prejudicial sobre el alcance del artículo 15.1.h del RGPD, en conexión con el
artículo 22, que prohíbe las decisiones basadas exclusivamente en tratamientos
automatizados que produzcan efectos jurídicos relevantes.
(Sentencia completa disponible en Curia Europa: curia.europa.eu,
C-203/22, 27.2.2025)
Una
interpretación expansiva del derecho de acceso
El Tribunal interpreta que el responsable del
tratamiento debe ofrecer una explicación comprensible, relevante y accesible
sobre los principios utilizados para obtener el resultado automatizado, aunque
no sea necesario divulgar el código fuente ni toda la arquitectura del sistema.
La información, subraya el TJUE, debe permitir al interesado comprender por
qué ha recibido una evaluación concreta y cómo se han ponderado sus datos
personales.
No bastan fórmulas genéricas del tipo “se aplicó un modelo estadístico de
solvencia”, sino que debe aportarse una descripción funcional que permita
impugnar o verificar el resultado.
Este enfoque refuerza la idea de que el artículo
15 RGPD no es meramente declarativo, sino instrumental: sirve para hacer
efectivo el derecho a la intervención humana, a la explicación y a la
impugnación previstos en el artículo 22.3.
El secreto
empresarial no es un escudo absoluto
La sentencia reconoce que el derecho de acceso
puede colisionar con la protección de secretos empresariales o con los derechos
de terceros. Sin embargo, el TJUE rechaza que esa tensión justifique una
negativa general a informar.
El controlador podrá reservar información sensible solo si demuestra que existe
un riesgo real y proporcional para sus intereses legítimos; en caso contrario,
deberá facilitar la lógica esencial del sistema o, al menos, ponerla a
disposición de la autoridad competente o del tribunal nacional para su examen.
Esta doctrina obliga a empresas y
administraciones a repensar sus estrategias de cumplimiento: la simple
invocación del secreto comercial ya no basta para cerrar el acceso a la
explicación algorítmica.
Repercusiones
prácticas para el Derecho y la abogacía digital
El fallo marca una pauta de transparencia
proactiva. Los despachos y entidades que utilicen IA para procesos de
evaluación, selección o predicción deberán diseñar mecanismos de explicación
adaptados al nivel de comprensión del usuario afectado.
También deberán incluir cláusulas contractuales claras con sus proveedores
tecnológicos sobre cómo gestionar los conflictos entre secreto industrial y
transparencia.
Por otra parte, el TJUE consolida el papel de los
tribunales y autoridades de protección de datos como árbitros en la
ponderación de intereses contrapuestos. La información que el responsable se
niegue a revelar deberá poder ser examinada por una autoridad o juez,
garantizando un control efectivo de la decisión automatizada.
Finalmente, el impacto de esta sentencia
trasciende el ámbito de la protección de datos: abre camino hacia una responsabilidad
algorítmica estructural, en la que la transparencia no es una concesión
voluntaria, sino un deber jurídico inherente al uso de la inteligencia
artificial en la toma de decisiones.
Fuentes:
- Tribunal de Justicia de la Unión Europea, C-203/22, Dun &
Bradstreet Austria GmbH, sentencia de 27 de febrero de 2025.
curia.europa.eu
- Clyde & Co, “ECJ ruling on
automated decision-making and data subjects’ rights”, marzo 2025.
- Inside Privacy, “CJEU clarifies
GDPR rights on automated decision-making and trade secrets”, marzo 2025.
- Data Protection
Report, “What organisations need to disclose to
individuals about AI and automated decisions”, marzo 2025.
Comentarios
Publicar un comentario