Decisiones automatizadas: el vacío normativo que las empresas dominicanas deben llenar por sí mismas

Estas decisiones ya no son exclusivas de la banca. Hoteles que fijan tarifas dinámicas, centros de contacto que miden y clasifican a sus agentes con herramientas de analítica, comercios electrónicos que deciden a quién ofrecer financiamiento en el momento de pagar y departamentos de recursos humanos que filtran candidatos con software de selección forman parte del paisaje empresarial cotidiano, y la adopción masiva de la inteligencia artificial (IA) generativa ha acelerado esa tendencia hasta convertir lo que era una herramienta de apoyo en una pieza que produce consecuencias concretas sobre personas concretas. Por eso la pregunta que debería ocupar a los equipos legales internos y a los oficiales de cumplimiento no es si su organización toma decisiones automatizadas, porque casi con certeza ya lo hace, sino bajo qué reglas lo hace y quién responde cuando una de esas decisiones resulta errónea, opaca o discriminatoria.

La respuesta corta es que el ordenamiento dominicano no ofrece reglas específicas. La Ley 172-13 sobre Protección de Datos de Carácter Personal no contiene una sola disposición dedicada a las decisiones individuales automatizadas ni a la elaboración de perfiles con efectos jurídicos. No reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, ni el derecho a obtener intervención humana, ni el derecho a conocer la lógica aplicada. La omisión es más llamativa si se compara con leyes de su misma familia. La Ley 18.331 de Uruguay, de 2008, ya reconocía el derecho a impugnar valoraciones personales basadas en tratamientos automatizados y a obtener información sobre los criterios de valoración y el programa utilizado, una fórmula heredada de la normativa española de los años noventa. El legislador dominicano, que tomó buena parte de su arquitectura de esas mismas fuentes, dejó fuera precisamente esa pieza.

Lo paradójico es que la ley sí conoce los algoritmos, aunque los mira desde el lado de quien los utiliza. Define el puntaje de crédito como una metodología basada en modelos probabilísticos, matemáticos y econométricos aplicados mediante programas informáticos para la toma de decisiones crediticias (art. 6.28), y al mismo tiempo obliga a las Sociedades de Información Crediticia a proteger bajo estricta confidencialidad los algoritmos y tecnologías que emplean (art. 63). El artículo 71, por su parte, admite tratar datos aptos para establecer perfiles con fines promocionales o para determinar hábitos de consumo. La ley regula, en definitiva, el perfil como insumo comercial y el algoritmo como secreto empresarial, pero no al titular como sujeto de la decisión.

Sus remedios tampoco alcanzan el problema. El acceso, la rectificación, la supresión y el hábeas data (arts. 7 a 17) fueron diseñados para corregir datos inexactos, y una decisión automatizada puede ser injusta aun cuando cada dato que la alimenta sea perfectamente exacto. Los modelos de IA actuales no necesitan el historial individual de nadie para formarse una conclusión sobre una persona, pues infieren patrones a partir de datos agregados de grandes poblaciones y proyectan esa inferencia sobre el individuo. Rectificar un dato no corrige una probabilidad. A ello se suma que no existe una autoridad de control de alcance general, pues la Superintendencia de Bancos supervisa únicamente los bancos de datos destinados a proveer informes crediticios (art. 29).

El horizonte legislativo no cierra la brecha a corto plazo. El Congreso discute un proyecto de reforma integral que crearía una Autoridad Nacional de Protección de Datos, ampliaría los derechos de los titulares e impondría un deber de responsabilidad proactiva, y la Comisión de Inteligencia Artificial de la Cámara de Diputados estudia varias iniciativas sobre la materia, entre ellas los proyectos 05389-2024-2028-CD y 05808-2024-2028-CD. Ninguna es ley todavía, y aun cuando alguna se apruebe, sus reglas y sus períodos de transición tardarán en desplegarse. Mientras tanto, el uso de la inteligencia artificial sigue regido por normas pensadas para otros problemas.

Sería un error leer la ausencia de reglas específicas como una licencia. El artículo 44 de la Constitución exige que todo tratamiento de datos personales respete los principios de calidad, licitud, lealtad, seguridad y finalidad, y la Ley 172-13 los desarrolla en su artículo 5 con exigencias que un sistema automatizado puede incumplir con facilidad, como que los datos sean adecuados, pertinentes y no excesivos en relación con la finalidad para la que fueron obtenidos. Un modelo que reutiliza información recogida para un propósito distinto, o que incorpora variables que nada tienen que ver con la decisión, choca con esos principios aunque ninguna norma mencione la palabra algoritmo. El propio artículo 7 habilita al titular a exigir la suspensión de sus datos en caso de discriminación, y el artículo 16 abre la puerta a la indemnización conforme al derecho común. El derecho a la igualdad del artículo 39 de la Constitución, la legislación laboral y la Ley 358-05 de protección al consumidor completan un mapa de riesgos en el que la decisión de la IA sigue siendo, a todos los efectos, la decisión de la empresa.

A ese riesgo interno se suma uno que muchas organizaciones dominicanas subestiman. El Reglamento General de Protección de Datos europeo se aplica también a responsables establecidos fuera de la Unión cuando ofrecen bienes o servicios a personas que se encuentran en ella o monitorean su comportamiento, y su artículo 22 reconoce expresamente el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados. Para el sector turístico, que recibe y perfila a millones de visitantes europeos, o para los centros de contacto que atienden mercados extranjeros, ese estándar no es una referencia académica sino una exigencia contractual que llega a través de clientes, socios y casas matrices. La aplicación progresiva del Reglamento europeo de Inteligencia Artificial, con sus obligaciones de transparencia y gestión de riesgos, refuerza esa presión. La empresa dominicana que opera en esos mercados ya está, de hecho, bajo reglas que su propia ley todavía no tiene.

La buena noticia es que la Ley 172-13 ofrece, casi sin proponérselo, la base para que las empresas se autorregulen. Su artículo 73 permite que los responsables de tratamiento formulen, mediante decisiones de empresa, códigos tipo que establezcan procedimientos, obligaciones y garantías para el ejercicio de los derechos de las personas, y el artículo 13.5 ya obliga a adoptar un manual interno de políticas y procedimientos. Ahí existe un espacio que pocas organizaciones han sabido aprovechar y que permite anticiparse a lo que vendrá.

Aprovecharlo, sin embargo, exige algo más que trasladar garantías del derecho comparado. Cada organización automatiza de manera distinta, con desarrollos propios o con herramientas integradas en plataformas de terceros, y no todas sus decisiones pesan lo mismo sobre las personas. Saber dónde decide realmente un sistema, qué tan significativos son sus efectos y qué grado de intervención humana resulta útil, y no meramente cosmética, son preguntas cuya respuesta depende del negocio, de sus procesos y de los mercados en que opera. Un revisor que se limita a firmar lo que el modelo de IA ya resolvió no protege a nadie, ni siquiera a la empresa.

Tampoco basta con redactar una política. La transparencia frente al afectado debe convivir con la legítima confidencialidad del algoritmo, los contratos con proveedores tecnológicos suelen esconder más riesgos de los que aparentan y la gobernanza interna tiene que poder demostrarse ante un tercero. Resolver esas tensiones de forma coherente, y en sintonía desde ahora con el estándar europeo y con la dirección que marca la reforma en discusión, es lo que distingue un programa capaz de resistir el escrutinio de otro que solo lo aparenta. Bien diseñado, además, convierte la adaptación futura en un ajuste y no en una reconstrucción.

El vacío normativo sobre decisiones automatizadas no es un permiso; es una responsabilidad que el legislador, por ahora, ha trasladado a las empresas. Cuando llegue la reforma y con ella una autoridad con potestad de investigar y sancionar, la pregunta ya no será si la organización usaba IA para decidir sobre personas, sino si puede demostrar que lo hacía con criterios explicables, con supervisión humana efectiva y con un cauce para que el afectado fuera escuchado. Las empresas que respondan esa pregunta hoy, por iniciativa propia, no solo reducirán su exposición, sino que estarán en mejor posición para ganarse la confianza de clientes, empleados y socios internacionales que ya dan por sentado que ningún sistema de IA debería tener la última palabra sobre la vida de nadie.