Cómo documentar la finalidad, los datos, las personas implicadas y los controles de un sistema de IA

01

La respuesta breve

Documentar un sistema de IA significa registrar quién es el proveedor, quién es el implementador, qué datos se usaron para entrenamiento, validación y pruebas, y qué información de transparencia se dio a las personas implicadas. El Reglamento (UE) 2024/1689 define estos roles y categorías de datos con precisión, e impone obligaciones de transparencia distintas para contenidos generados, deepfakes y sistemas de categorización biométrica o reconocimiento de emociones.

02

Quién hace qué: los roles a registrar

• El proveedor desarrolla el sistema de IA o hace que se desarrolle y lo pone en el mercado con su propio nombre o marca.
• El implementador utiliza el sistema de IA bajo su propia autoridad, salvo uso personal no profesional.
• El representante autorizado recibe un mandato escrito para ejecutar obligaciones en nombre del proveedor dentro de la Unión.
• El proveedor derivado integra un modelo de IA de propósito general en otro sistema.

03

Cómo rastrear datos y finalidad

Pasos

1. Distinguir y registrar por separado los datos de entrenamiento, validación y prueba utilizados para el sistema.
2. Anotar los datos de entrada efectivamente proporcionados al sistema o adquiridos directamente por él.
3. Señalar si los datos tratados incluyen categorías especiales de datos personales o datos biométricos.
4. Preparar la información de transparencia que se comunicará a las personas expuestas a más tardar en la primera interacción.
5. Verificar si se aplican excepciones, por ejemplo para actividades de edición estándar o finalidades de investigación penal autorizadas.

04

Ejemplo hipotético

Una empresa europea que ofrece un chatbot de atención al cliente registra: su rol de proveedor, el conjunto de datos de entrenamiento utilizado para el modelo de lenguaje, el conjunto de datos de prueba empleado antes del lanzamiento, y el aviso mostrado a los usuarios en el primer mensaje, como se requiere para el contenido generado artificialmente. Este es un ejemplo hipotético construido solo con elementos citados, no un caso real.

05

Controles a verificar periódicamente

• La información proporcionada a las personas expuestas es clara, distinguible y conforme a los requisitos de accesibilidad.
• El contenido generado o manipulado artificialmente se marca en un formato legible por máquina cuando se requiere.
• Los deepfakes se divulgan al público, salvo excepciones para obras artísticas o satíricas adecuadamente señaladas.
• El personal implicado en el funcionamiento del sistema recibe un nivel adecuado de alfabetización en materia de IA.

06

Cómo configurar la documentación con software

Una empresa puede pedir a su socio de software que configure campos separados para proveedor, implementador, conjuntos de datos de entrenamiento/validación/prueba y notas de transparencia, con trazabilidad de versiones y revisión periódica por parte de una persona designada. Esta es una elección operativa sugerida, no una función garantizada ni una obligación legal.

07

Checklist mínima para el expediente del sistema

• Identidad del proveedor y, si existe, del representante autorizado.
• Identidad del implementador y finalidad de uso declarada.
• Lista de los datos de entrenamiento, validación y prueba con sus fuentes.
• Texto de la información de transparencia dada a los usuarios, con fecha de primera exposición.
• Registro de las excepciones aplicadas, por ejemplo para finalidades de investigación penal.

08

Siguiente paso

Mapea los roles y tipos de datos de tu sistema de IA usando las definiciones del Reglamento (UE) 2024/1689, y luego verifica con tu socio de software qué campos de trazabilidad puedes activar para mantener el expediente actualizado.