AI compliance from idea to exit

Sigue un elemento desde la entrada hasta el resultado. ¿A quién puede afectar, qué podría perder esa persona y quién tiene capacidad para cambiar el resultado?

Según el Reglamento de IA de la UE, ¿desarrollamos o comercializamos el sistema con nuestro nombre, lo utilizamos en el trabajo o cambiamos su finalidad? Comprueba el ámbito territorial, incluido el lugar donde se usa un resultado. Anota el motivo de cada función atribuida.

Comprueba si hay prácticas prohibidas antes de probar el sistema con personas. Por ejemplo, la inferencia de emociones en el trabajo tiene una excepción limitada por motivos médicos o de seguridad. Si pudiera aplicarse una prohibición, eleva la cuestión antes de seguir.

Si trabajas por tu cuenta, puedes asumir varias funciones y dejar constancia de cuál desempeñabas al decidir. Pide una segunda opinión cualificada para decisiones poco habituales o de consecuencias graves. Con 2–10 personas, separa la preparación de la comprobación. Con 11–50, nombra responsables y suplentes. Son propuestas de organización.

Compara mantener la situación actual, un procedimiento manual y otro asistido por IA. Estima el tiempo ahorrado tras las comprobaciones, el coste de los errores, las tarifas del proveedor y los costes de salida.

Sigue un dato por la recogida, las instrucciones al modelo, la recuperación de información, el modelo, el resultado, los registros, el soporte y la supresión. Identifica origen, personas, país, destinatarios, conservación, copias de seguridad y quién puede comprobar la supresión.

Al comprobar el proveedor, identifica los encargados y subencargados del tratamiento, condiciones de entrenamiento o reutilización, acceso del personal de soporte, contrato, incidentes, devolución o supresión, avisos de cambios y salida. Conserva las condiciones fechadas y las cuestiones pendientes.

Localiza cada transferencia sujeta a restricciones. Registra la decisión de adecuación o garantía aplicable, la evaluación y la protección adicional. Revisa por separado las cláusulas contractuales tipo de la UE (SCC) y el acuerdo británico de transferencia internacional de datos (IDTA) o la adenda británica a las SCC. Revisa el soporte desde el extranjero y las transferencias ulteriores.

Ingeniería y datos: fija las versiones del modelo, las instrucciones, el conjunto de datos y los ajustes. Contrasta las entradas típicas, poco habituales y engañosas con la referencia acordada. Conserva resultados reproducibles y limitaciones conocidas.

Define la prueba de antemano: finalidad, origen del conjunto de datos, respuestas previstas, referencia, tamaño de la muestra, umbrales, fallos críticos, revisor y fecha de repetición. Incluye idioma, discapacidad y condiciones reales de funcionamiento cuando sean pertinentes.

Simulación de seguridad: envía en un adjunto ficticio una instrucción hostil que sea inocua. Prueba una exportación bloqueada, un permiso denegado, un destinatario incorrecto y una caída del proveedor. Registra qué ocurrió en cada punto de control.

Una EIPD examina cómo podría perjudicar a las personas el tratamiento de datos personales y cómo reducir el daño. El responsable del tratamiento debe realizarla antes de iniciar un tratamiento que probablemente entrañe un alto riesgo, incluido un piloto con datos personales reales.

Solicita el parecer del delegado de protección de datos (DPD o DPO) si se ha designado. Cuando proceda, pide la opinión de las personas afectadas. Registra objeciones, necesidades de accesibilidad, decisiones y motivos de cualquier apartamiento justificado de los pareceres.

Decide si sigue existiendo un alto riesgo pese a las medidas viables. De ser así, consulta a la autoridad competente antes de iniciar el tratamiento conforme al artículo 36. Registra la correspondencia y la respuesta. La firma del fundador no sustituye esa consulta.

Comprueba la supervisión humana. ¿Puede la persona revisora ver las pruebas, discrepar, corregir el resultado y detener a tiempo la acción siguiente? Conserva el rastro de una decisión revertida. Un segundo clic por sí solo demuestra poco.

Examina el artículo 50 por tipo de operador y de resultado. Informar a una persona de que interactúa con IA, aplicar un marcado legible por máquina y revelar que un contenido es una ultrasuplantación son obligaciones distintas con excepciones. Registra cuál se aplica y la prueba relativa a la fecha de lanzamiento.

Marketing, diseño y ventas: fundamenta las afirmaciones, verifica los derechos de los materiales y comprueba las divulgaciones exigidas. Guarda los textos y versiones aprobados. Eleva a revisión las promesas de exclusividad, titularidad o exactitud garantizada.

Opciones de lanzamiento: aprobar dentro de límites expresos, aprobar con controles ya en vigor, dejar en suspenso hasta disponer de pruebas o detener. Indica cuestiones sin resolver, ámbito legal, quién aprueba, fecha de inicio, vencimiento y responsable de revertir el cambio.

Tras la puesta en marcha, designa responsables de errores, reclamaciones, decisiones humanas que corrigen resultados, desviaciones de rendimiento, seguridad y costes. Especifica muestra, frecuencia, umbral de parada y quién puede desactivar el flujo. Registra cambios y vuelve a aprobar los sustanciales.

Ante un incidente, detén las acciones inseguras, conserva las pruebas con acceso restringido, evalúa el impacto en las personas, activa la ruta manual y registra las decisiones de notificación. Prueba la restauración desde un estado íntegro y la corrección antes de reabrir.

Si una violación de la seguridad de los datos personales entra en el ámbito del régimen británico o del de la UE, el responsable notifica a la autoridad salvo que sea improbable que exista riesgo para los derechos de las personas. Debe hacerlo sin dilación indebida y, de ser posible, dentro de las 72 horas desde que tenga constancia. Si es probable que haya alto riesgo, informa sin dilación indebida a los afectados, con las excepciones del artículo 34. El encargado avisa sin dilación indebida al responsable.

Al recibir la solicitud, conserva una referencia segura al texto original. Registra la primera recepción, responsable del tratamiento, jurisdicción, cada derecho, persona encargada, canal seguro de respuesta y necesidades de accesibilidad o representación.

Contrasta la finalidad prevista con los anexos I y III. El cribado de candidaturas está entre los usos enumerados. Documenta las condiciones y los motivos de cualquier excepción invocada conforme al artículo 6, apartado 3. La elaboración de perfiles de personas físicas excluye esa excepción.

Las fechas revisadas de aplicación de las secciones 1–3 del capítulo III, salvo el artículo 6, apartado 5, son el 2 de diciembre de 2027 para los sistemas del anexo III y el 2 de agosto de 2028 para los del anexo I. Otras disposiciones tienen sus propias fechas.

En el Reino Unido, las decisiones significativas basadas exclusivamente en un tratamiento automatizado requieren examinar los artículos 22A–22D, incluidas las restricciones relativas a las categorías especiales de datos y a la base jurídica de los intereses legítimos reconocidos. En la UE, empieza por el artículo 22 y sus excepciones específicas. Comprueba que una persona puede reconsiderar efectivamente la decisión.

Indica qué organización responde de cada finalidad. ¿Quién decide por qué y cómo se utilizan los datos personales? ¿Quién actúa siguiendo instrucciones? Representa por separado los usos propios de cada proveedor.

Para cada riesgo, escribe «causa → suceso → daño a una persona». Registra la probabilidad, el impacto, el grupo afectado y las pruebas antes de aplicar controles. Indica el control, quién lo prueba, el plazo y el riesgo que queda después.

Registra el flujo y versión, usos permitidos y excluidos, identificadores de pruebas, decisión y motivos, desacuerdos, restricciones, responsable, revisor, fecha de revisión, firma y hora. Conserva la versión anterior.

Sigue un dato por la recogida, las instrucciones al modelo, la recuperación de información, el modelo, el resultado, los registros, el soporte y la supresión. Identifica origen, personas, país, destinatarios, conservación, copias de seguridad y quién puede comprobar la supresión.

Examina por separado los demás derechos: rectificación, supresión, limitación, portabilidad, oposición y revisión humana. Registra condiciones, excepciones, destinatarios a notificar y cualquier deber legítimo de conservar datos, incluso por litigio.

Archivo interno: guarda los formularios cumplimentados, las pruebas y las firmas con acceso restringido. Deja solo formularios en blanco en la carpeta pública. Haz una copia de seguridad con versión, conserva otra con protección independiente y prueba la restauración. Define el plazo de conservación de cada registro.