Uso secundario
El concepto se define como el riesgo intrínseco al **uso secundario** de datos personales. Este fenómeno ocurre cuando la información recopilada originalmente para un propósito específico es reutilizada para un fin completamente diferente sin el consentimiento expreso del usuario final. La Inteligencia Artificial agrava significativamente este riesgo al potenciar dos vectores clave: (1) La capacidad de **generar nuevas e inesperadas capacidades de inferencia** a partir de los datos recolectados, lo cual revela información latente no contemplada en el propósito inicial y (2) La posibilidad de **(re)construir modelos de IA** incluso a partir de conjuntos de datos distribuidos públicamente, lo que complica el rastreo y control del uso original de la información sensible
ENTIDAD
1 - Humano
INTENCIÓN
1 - Intencional
TIEMPO
3 - Otro
ID del riesgo
mit1234
Linea de dominio
2. Privacidad y Seguridad
2.1 > Compromiso de la privacidad por filtración o inferencia de información sensible
Estrategia de mitigacion
1. Implementar la Anonimización, Seudonimización y Minimización Estricta de los Datos. La estrategia prioritaria es aplicar de manera rigurosa técnicas de anonimización y seudonimización, así como el principio de minimización de datos, antes de cualquier tratamiento con fines secundarios. Esto debe complementarse con el uso de entornos de tratamiento seguros (secure processing environments) y la consideración de datos sintéticos, con el fin de proteger la privacidad individual y mitigar la capacidad de la IA para generar inferencias sensibles no previstas. 2. Establecer un Marco de Gobernanza de Datos y Controles de Acceso Rigurosos. Diseñar e implementar una gobernanza de datos exhaustiva que defina y regule explícitamente los casos de uso secundarios permitidos para los modelos de IA, conforme a políticas internas estrictas y al Principio de Mínimo Privilegio. Se debe reforzar la seguridad mediante Controles de Acceso basados en Roles (RBAC), Autenticación Multifactorial (MFA) y soluciones de Prevención de Pérdida de Datos (DLP) para bloquear cualquier extracción o uso anómalo no autorizado. 3. Realizar Evaluaciones de Impacto y Auditorías de Compatibilidad de Fines de Forma Periódica. Llevar a cabo Evaluaciones de Impacto relativas a la Protección de Datos (EIPD) de manera sistemática y periódica, con especial énfasis en el análisis de la compatibilidad del "uso secundario" (o tratamiento ulterior) con los fines originales de la recogida, según lo exige la normativa vigente (e.g., RGPD). Esta práctica debe ir acompañada de una monitorización continua para asegurar la transparencia y el cumplimiento normativo, abordando proactivamente las vulnerabilidades del sistema de IA.