Regulación de IA, lo que un directivo necesita saber
Qué exige el reglamento europeo de inteligencia artificial, a quién alcanza fuera de Europa y qué conviene tener documentado aunque la empresa no esté obligada todavía.
La regulación de inteligencia artificial pasó de ser un tema de comité a tener consecuencias operativas concretas. Para un directivo, no hace falta conocer el detalle normativo, pero sí entender tres cosas: a quién alcanza, qué clasifica como riesgoso y qué hay que poder mostrar.
El enfoque por niveles de riesgo
El reglamento europeo de inteligencia artificial, conocido como AI Act, organiza las obligaciones según el riesgo del uso, no según la tecnología empleada. El mismo modelo puede estar sujeto a requisitos distintos según para qué se aplique.
Riesgo inaceptable: usos prohibidos, como la puntuación social por parte de autoridades públicas o ciertas formas de manipulación.
Alto riesgo: sistemas usados en selección y gestión de personal, evaluación crediticia, educación, acceso a servicios esenciales, infraestructura crítica. Son los que concentran las obligaciones más exigentes.
Riesgo limitado: principalmente obligaciones de transparencia, como informar que se está interactuando con un sistema automatizado.
Riesgo mínimo: la mayoría de las aplicaciones empresariales habituales, sin obligaciones específicas más allá de las normas generales.
La consecuencia práctica es que la mayoría de los casos de uso internos y de productividad caen en las categorías inferiores. Las obligaciones serias aparecen cuando el sistema afecta derechos u oportunidades de personas.
A quién alcanza
El criterio no es dónde está la empresa, sino dónde se usa el sistema o sus resultados. Una compañía latinoamericana que ofrece un servicio con IA a clientes europeos, o que evalúa candidatos en Europa, puede quedar alcanzada.
También importa el rol: las obligaciones son distintas para quien desarrolla el sistema y para quien lo implementa en su operación. La mayoría de las empresas están en el segundo grupo, con requisitos más acotados pero no inexistentes: supervisión humana, uso conforme a las instrucciones del proveedor, monitoreo y conservación de registros.
Qué pide, en términos prácticos
Para un sistema de alto riesgo, lo que se exige se parece bastante a lo que cualquier área de control interno pediría:
- Documentación de qué hace el sistema, con qué datos y con qué limitaciones.
- Supervisión humana efectiva, no nominal: alguien con capacidad real de revisar y revertir.
- Gestión de riesgos documentada, con revisión periódica.
- Registro de operaciones que permita reconstruir decisiones.
- Información a las personas afectadas sobre el uso del sistema.
Ninguno de esos requisitos es exótico. Lo que suele faltar no es capacidad, es que nadie lo haya escrito.
El inventario que conviene tener ya
Independientemente de la obligación legal, hay un documento que toda organización debería tener y que casi ninguna tiene: el inventario de sistemas de IA en uso.
Una planilla con seis columnas alcanza:
- Qué sistema o herramienta.
- Para qué proceso.
- Qué datos consume.
- Qué decisiones influye o toma.
- Quién lo supervisa.
- Qué proveedor y bajo qué condiciones contractuales.
Armarlo lleva unas pocas horas y resuelve tres problemas a la vez: cumplimiento, seguridad y gestión del gasto. Además, suele revelar herramientas en uso que nadie había registrado.
Qué preguntar a un proveedor
Cuatro preguntas que conviene hacer antes de contratar y que el proveedor debería poder responder por escrito:
- ¿Dónde se procesan y almacenan los datos?
- ¿Se usan nuestros datos para entrenar modelos?
- ¿Qué documentación técnica y de limitaciones entregan?
- ¿Qué soporte dan en caso de un requerimiento regulatorio o una auditoría?
Si un proveedor no puede responder esas cuatro, es un dato relevante por sí mismo.
El criterio que no cambia con la norma
Más allá de la jurisdicción, hay un estándar que conviene adoptar porque además es buena práctica: si una persona se ve afectada por una decisión en la que participó un sistema automatizado, tiene que existir alguien capaz de explicar cómo se tomó y de revisarla.
Una organización que cumple ese estándar va a estar cerca de cumplir casi cualquier regulación futura.
Preguntas frecuentes
¿El reglamento europeo de IA aplica a empresas fuera de Europa?
Puede aplicar. Alcanza a quienes ofrecen sistemas de IA en el mercado europeo o cuyos resultados se usan dentro de la Unión Europea, independientemente de dónde esté la empresa.
¿Qué sistemas se consideran de alto riesgo?
Entre otros, los usados en selección y gestión de personal, evaluación crediticia, educación, infraestructura crítica y acceso a servicios esenciales. Esos casos requieren documentación, supervisión humana y gestión de riesgos.
¿Qué conviene documentar aunque no haya obligación legal?
Qué sistemas de IA se usan, para qué, con qué datos, quién los supervisa y qué decisiones afectan. Ese inventario es la base de cualquier cumplimiento futuro y toma pocas horas armarlo.