El Departamento de Justicia (DOJ) ha propuesto una serie de remedios para restaurar la competencia en el mercado de motores de búsqueda. Uno de ellos es una exigencia de acceso a datos que obligaría a Google a compartir su datos de búsqueda de usuarios con rivales y potenciales rivales. El objetivo es superar las ventajas de escala que dan a Google una ventaja insuperable en la provisión de resultados de búsqueda de alta calidad.
Para proteger la privacidad de los usuarios, el DOJ también propuso que Google “haga que este datos esté disponible de una manera que proporcione salvaguardias de seguridad y privacidad adecuadas…”.
Esta propuesta de acceso a datos y sus protecciones de privacidad acompañantes tendrán que adaptarse a la naturaleza rápidamente cambiante del negocio de búsqueda. La búsqueda se está convirtiendo rápidamente en solo un componente de los servicios de inteligencia artificial (IA).
En lugar de un servicio independiente que devuelve enlaces a las consultas de los usuarios, los motores de búsqueda escanearán Internet para encontrar respuestas a las preguntas planteadas a los chatbots. Los agentes de IA también extraerán los sitios web apropiados para completar las tareas asignadas.
Una de las características más destacadas de este mundo avanzado de servicios de IA será un énfasis extremo en la personalización. Este modelo de negocio desencadenará una carrera entre los proveedores de servicios de IA para obtener grandes cantidades de información detallada del usuario, mucho de la cual es información altamente sensible sobre religión, afiliación política, orientación sexual y proclividades, condiciones médicas, así como información de marketing más tradicional como gustos musicales, preferencias de marca y favoritos de moda.
Las historias de búsqueda detalladas de Google serán un tesoro de interés para todas las empresas que compiten por proporcionar servicios de IA avanzados. Como resultado, las protecciones de privacidad que el DOJ propone exigir para los datos de usuario transferidos de Google a los rivales de IA de Google deberán ser extraordinariamente robustas para superar el impulso natural de estos rivales de IA de explotar plenamente los datos que se les han puesto en las manos, no por el consentimiento del usuario, sino por mandato judicial.
En la cara de estos nuevos riesgos de privacidad de IA, las protecciones de privacidad propuestas por el DOJ son insuficientes. Deben ampliarse para incluir requisitos adicionales de desidentificación razonable, una prohibición de intentos de reidentificación y la inclusión de un experto en privacidad en el comité técnico que administra los remedios antimonopolio.
La propuesta de acceso a datos del DOJ requeriría, entre otras cosas, que Google ponga a disposición “todos los datos que se pueden obtener de los usuarios en los Estados Unidos, directamente a través de la interacción de un motor de búsqueda con el dispositivo del usuario, incluyendo el software que se ejecuta en ese dispositivo, por medios automatizados”. También incluye la información que Google recopila “cuando responde a consultas comerciales, cola y locales”. Los datos deben proporcionarse a “cualquier proveedor de, o potencial entrada en la provisión de, un motor de búsqueda general (GSE) o de anuncios de texto de búsqueda en los Estados Unidos”. Estos competidores deben hacer un “muestra” de un “plan para invertir y competir en estos mercados de búsqueda y tal muestra debe ser “suficiente” según lo determinado por el DOJ en consulta con un comité técnico. Un competidor calificado también no debe suponer un riesgo para la seguridad nacional, un requisito que parece específicamente diseñado para excluir a las empresas de IA chinas, como DeepSeek.
El punto de la exigencia de acceso a datos es superar los efectos de red en la eficiencia del motor de búsqueda. Google, según el DOJ y el tribunal, tiene con mucho la mayor cantidad de consultas y clics y ha utilizado esta ventaja para crear y mantener una ventaja de calidad insuperable sobre sus pocos rivales. El acceso a los datos da a estos rivales y potenciales rivales acceso a datos de formación de alta calidad que Google actualmente tiene en su única posesión. De todos los remedios propuestos, el acceso a los datos es el más probable para producir un rival con un motor de búsqueda que puede igualar el de Google y, por lo tanto, atraer usuarios de su plataforma. Es una parte esencial de un remedio efectivo para restaurar la competencia en la búsqueda. Los legisladores europeos han llegado a la misma conclusión sobre la necesidad de acceso a datos. El Digital Markets Act (DMA) exige que Google proporcione a los competidores en la búsqueda acceso “a datos de clasificación, consulta, clic y vista relacionados con la búsqueda gratuita y de pago generada por los usuarios finales en sus motores de búsqueda en línea.” Como señala la Comisión Federal de Comercio (FTC) en su escrito amicus en el caso, “Dado el alcance de esta propuesta de compartición de datos, las consideraciones de privacidad son críticamente importantes.”
Para proteger la privacidad de los usuarios de Google, el DOJ propone que antes de que se compartan los conjuntos de datos, Google debe “usar técnicas de curso ordinario para eliminar cualquier Información Personalmente Identificable.” Además, un competidor calificado debe aceptar auditorías de privacidad regulares por parte del comité técnico. Google debe comunicar a la empresa que recibe la información “cualquier técnica de anonimización o mejora de la privacidad que se haya aplicado.” Antes de que los conjuntos de datos puedan liberarse a los competidores, el DOJ, en consulta con el comité técnico, debe determinar que las salvaguardias de privacidad están “completamente funcionales.”
En la cara de los servicios de IA personalizados emergentes, estas dos protecciones de privacidad están muy por debajo de lo necesario. Eliminar la información personal no es por sí mismo un método efectivo para desidentificar un conjunto de datos. Podría ser necesario, pero no es suficiente. Además, nada en los remedios propuestos impide que los destinatarios de los datos de búsqueda de usuarios de Google busquen reidentificar los datos desidentificados que reciben. Un requisito para auditorías de privacidad regulares suena reconfortante, pero es un gesto vacío a menos que las obligaciones subyacentes de privacidad sean robustas, algo que les falta en su forma actual.
Los servicios de IA personalizados emergentes, como los chatbots y los agentes de IA, plantean riesgos de privacidad significativos. Los chatbots pueden almacenar información personal y contexto para proporcionar respuestas personalizadas, mientras que los agentes de IA pueden manejar tareas sensibles que involucran datos altamente confidenciales. Por ejemplo, un agente de IA podría ayudar con la gestión de correos electrónicos, calendarios, carteras financieras o decisiones de atención médica. Este nivel de personalización implica un acceso profundo a la información del usuario, lo que aumenta los riesgos de privacidad.
Los competidores de Google en el espacio de IA tendrían un gran interés en acceder a los datos de búsqueda de Google en forma personalizada para mejorar sus servicios de IA. Google ya permite que sus usuarios opten por usar su historial de búsqueda para proporcionarles servicios de chatbot de IA más personalizados. Es probable que extienda esta opción a los usuarios de su próximo servicio de agente de IA. Esto plantea serias preocupaciones de privacidad, ya que permitir que los datos personalizados de los usuarios de Google fluyan libremente a todos los rivales de Google podría agravar aún más los problemas de privacidad.
Para abordar estos problemas, se deben implementar medidas adicionales de privacidad. Primero, se debe requerir una desidentificación razonable de los datos. Esto implica más que simplemente eliminar nombres; debe incluir la introducción de “ruido” (datos sin sentido) en los historiales de búsqueda para reducir el riesgo de reidentificación. Los datos deben pasar una prueba de privacidad diferencial para asegurar que el riesgo de identificar a un individuo en un conjunto de datos de búsqueda de Google sea insignificante. Sin embargo, la anonimización completa, como la exigida por el DMA de la UE, podría destruir cualquier patrón utilizable en el conjunto de datos, lo que dificultaría el desarrollo de un motor de búsqueda alternativo.
En segundo lugar, se debe prohibir cualquier intento de reidentificación de los datos desidentificados. Los competidores de Google solo deben recibir datos de búsqueda de usuarios de Google con la condición de que no intenten reidentificar los datos. Las auditorías de privacidad regulares deben examinar los registros de los competidores de Google para detectar cualquier esfuerzo de reidentificación y, si se encuentra alguno, las sanciones deben incluir la suspensión de los flujos de datos de Google y la destrucción de los registros ya recibidos.
Tercero, el comité técnico que supervisa la implementación de los remedios debe incluir a un experto en privacidad. Este experto debe tener un conocimiento profundo de las prácticas de privacidad y las tecnologías disponibles para desidentificar datos de manera efectiva. La inclusión de un experto en privacidad en el comité técnico ayudará a garantizar que las salvaguardias de privacidad sean robustas y efectivas, mitigando los riesgos de privacidad asociados con la compartición de datos.
Además, es crucial considerar si Google debe tener acceso continuo a los datos personales de sus usuarios. En una fase inicial, el DOJ propuso que Google no debía usar ni retener datos a los que no se puede acceder a los competidores calificados basados en preocupaciones de privacidad o seguridad. Sin embargo, esta propuesta inicial no se incluyó en el remedio final. En cambio, el DOJ permite que Google continúe accediendo y explotando los datos de búsqueda personales de sus propios usuarios, mientras que sus rivales solo pueden acceder a datos desidentificados de los usuarios de Google. Esto crea una asimetría que podría perpetuar el monopolio de búsqueda de Google. Sin embargo, requerir que Google desidentifique sus propios datos de búsqueda y se abstenga de intentos de reidentificación podría degradar los servicios de búsqueda personalizados que muchos usuarios valoran. La solución adecuada es permitir que los competidores accedan a los datos de búsqueda de Google en una forma que sea utilizable para desarrollar sus propios algoritmos de búsqueda, sin revelar la identidad de los usuarios de Google. Esto equilibra la necesidad de restaurar la competencia con la protección de la privacidad de los usuarios.
En resumen, los remedios propuestos por el DOJ deben ampliarse para incluir requisitos de desidentificación razonable, prohibiciones de intentos de reidentificación y la inclusión de un experto en privacidad en el comité técnico. Estas medidas ayudarán a garantizar que los datos de búsqueda de los usuarios de Google se compartan de manera segura y responsable, protegiendo la privacidad de los usuarios mientras se fomenta la competencia en el mercado de motores de búsqueda.
