¿Qué pide el Reglamento Europeo de IA a quien la usa?

Para los sistemas de alto riesgo, el artículo 26 establece obligaciones para los responsables del despliegue, entre otras:

• Utilizar el sistema según las instrucciones del proveedor.
• Encomendar la supervisión humana a personas con competencia, formación, autoridad y apoyo suficientes.
• Asegurar que los datos de entrada sean pertinentes y suficientemente representativos para la finalidad prevista, cuando la empresa los controle.
• Vigilar el funcionamiento y comunicar los riesgos o incidentes graves en los términos previstos. Cuando proceda, también debe suspenderse el uso.
• Conservar los registros generados automáticamente que estén bajo su control durante un periodo adecuado de al menos seis meses, salvo que otra norma aplicable establezca algo distinto.
• Informar a los trabajadores afectados y a sus representantes antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo.

Además, el artículo 27 exige una evaluación de impacto en los derechos fundamentales a determinados responsables: organismos de Derecho público, entidades privadas que prestan servicios públicos y responsables de ciertos sistemas de evaluación de solvencia y de riesgo o precios en seguros de vida y salud.

Debe comprobarse si el sistema y la organización encajan en los supuestos y excepciones de ese artículo.

¿Qué es la ISO/IEC 42001?

La ISO/IEC 42001:2023 es una norma internacional para establecer, mantener y mejorar un sistema de gestión de la inteligencia artificial.

Su adopción es voluntaria. Ofrece un marco para organizar el contexto, las responsabilidades, los riesgos, las medidas, el seguimiento y la mejora continua.

Puede servir de referencia a organizaciones que desarrollan, proporcionan o utilizan sistemas de IA.

Los pilares de una buena gobernanza

Puedes empezar por estos ocho ámbitos y ajustar el nivel de detalle a las necesidades de tu empresa:

1. Inventario Identifica las herramientas y sus usos concretos: proveedor, finalidad, tipos de datos y personas que las utilizan.
2. Responsables Define quién autoriza cada uso, quién lo supervisa y quién debe actuar cuando aparece un problema.
3. Evaluación de riesgos Revisa cada caso de uso y sus obligaciones. La valoración debe contar con revisión humana.
4. Medidas Convierte los puntos pendientes en tareas concretas con una persona responsable y una fecha.
5. Evidencias Conserva las decisiones, las revisiones y las pruebas de las medidas aplicadas.
6. Formación Adapta la alfabetización a las herramientas, las tareas y los conocimientos de las personas que utilizan IA.
7. Incidencias y cambios Establece cómo comunicar problemas y cómo revisar nuevas herramientas o cambios en los usos existentes.
8. Revisión periódica Como pauta de gestión, programa una revisión al menos anual. Adelántala cuando cambien los usos o aparezcan nuevos riesgos.

La frecuencia de revisión debe ajustarse al riesgo. La revisión anual es una recomendación de organización, no un plazo legal general para todos los usos de IA.

Errores habituales

• Tener una política escrita que nadie aplica.
• No asignar responsables.
• Evaluar una vez y no volver a revisar cuando cambia la herramienta o su finalidad.
• No guardar pruebas de las medidas adoptadas.