Documentación técnica del anexo IV: los nueve puntos
Los nueve puntos del anexo IV del Reglamento de IA para la documentación técnica de los sistemas de IA de alto riesgo, con las reglas que los rodean: plazos, conservación, formulario para pymes y ámbito de aplicación.
El anexo IV enumera nueve puntos que la documentación técnica de un sistema de IA de alto riesgo debe contener como mínimo, según el caso.
Los proveedores deben elaborarla antes de introducir el sistema en el mercado de la UE o ponerlo en servicio (artículo 11, apartado 1). La obligación se aplica desde el 2 de diciembre de 2027 (sistemas del anexo III) o el 2 de agosto de 2028 (anexo I). La falta de documentación infringe el artículo 16. Las multas llegan a 15 millones de EUR o al 3 % del volumen de negocios anual mundial, lo que sea mayor (artículo 99(4)). Primer paso: compare su sistema con los nueve puntos siguientes.
Agrupamos seis reglas en torno a la documentación
Antes de la introducción en el mercado o la puesta en servicio
Elabore la documentación antes de que el sistema se introduzca en el mercado o se ponga en servicio, y manténgala actualizada (artículo 11(1)).
Conservarla diez años
Mantenga la documentación a disposición de las autoridades nacionales durante diez años desde que el sistema se introduce en el mercado o se pone en servicio (artículo 18(1)).
Formulario simplificado para empresas pequeñas
Las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización pueden facilitar los elementos del anexo IV de forma simplificada. La Comisión debe establecer el formulario y los organismos notificados deben aceptarlo (artículo 11(1)). Para las pymes y las pequeñas empresas de mediana capitalización, el límite de la multa es la cuantía menor (artículo 99, apartados 6 y 6 bis).
Un solo conjunto para la legislación de productos
Si el sistema se relaciona con un producto regulado por la legislación del anexo I, sección A, elabore un único conjunto de documentación que cubra también esa legislación (artículo 11(2)).
Algunos límites del ámbito de aplicación
El anexo IV se aplica a los sistemas de IA de alto riesgo incluidos en el ámbito del Reglamento. El Reglamento no afecta a los ámbitos ajenos al Derecho de la Unión y no se aplica a los sistemas de IA cuando y en la medida en que se utilicen exclusivamente con fines militares, de defensa o de seguridad nacional (artículo 2, apartado 3), ni a los sistemas de investigación científica y a la investigación o las pruebas previas a la introducción en el mercado (artículo 2, apartados 6 y 8). Para los sistemas de IA clasificados de alto riesgo con arreglo al artículo 6, apartado 1, que se refieren a productos del anexo I, sección B, solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112. Los artículos 57 a 59 solo se aplican en la medida en que los requisitos para los sistemas de IA de alto riesgo se hayan integrado en esa legislación de productos (artículo 2, apartado 2).
Sistemas ya comercializados
Un sistema de alto riesgo introducido en el mercado o puesto en servicio antes de la fecha de aplicación solo queda cubierto si después sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2). Los sistemas de IA que son componentes de los sistemas informáticos de gran magnitud del anexo X, introducidos en el mercado antes del 2 de agosto de 2027, deben cumplir antes del 31 de diciembre de 2030 (artículo 111, apartado 1).
El anexo IV tiene nueve puntos
Descripción general
1
El punto 1 identifica el sistema: para qué sirve, qué versión es, dónde funciona y cómo se suministra.
Qué exige el anexo
- Finalidad prevista, nombre del proveedor y versión del sistema, incluida su relación con versiones anteriores
- Cómo interactúa el sistema con hardware o software que no forma parte de él, cuando proceda
- Versiones del software o firmware pertinentes y requisitos de actualización de versiones
- Todas las formas en que el sistema se introduce en el mercado o se pone en servicio, como paquetes de software integrados en hardware, descargas o API
- El hardware en el que se prevé que funcione el sistema
- Si es un componente de productos: fotografías o ilustraciones con las características externas, el marcado y la disposición interna
- Una descripción básica de la interfaz de usuario facilitada al responsable del despliegue
- Las instrucciones de uso para el responsable del despliegue
Consejo práctico (no exigido por el Reglamento)
Mantenga este punto en un archivo con versiones junto al código y actualícelo en cada versión publicada.
Elementos y proceso de desarrollo
2
El punto 2 es el más largo: abarca cómo se construyó, entrenó, probó y protegió el sistema.
Qué exige el anexo
- Métodos y pasos de desarrollo, incluidos sistemas o herramientas preentrenados de terceros y cómo se usaron, integraron o modificaron
- Especificaciones de diseño: lógica general y algoritmos, decisiones de diseño clave con su justificación y supuestos (también sobre las personas o grupos a los que se aplica el sistema), principales decisiones de clasificación, qué optimiza el sistema y la relevancia de los distintos parámetros, salida esperada y su calidad, y compensaciones adoptadas para cumplir el capítulo III, sección 2
- Arquitectura del sistema y recursos informáticos usados para desarrollar, entrenar, probar y validar el sistema
- Cuando proceda, requisitos de datos como fichas técnicas: métodos de entrenamiento, conjuntos de datos, procedencia, alcance, características principales, cómo se obtuvieron y seleccionaron los datos, etiquetado y depuración
- Evaluación de las medidas de supervisión humana necesarias (artículo 14), incluidas las medidas técnicas que ayudan a los responsables del despliegue a interpretar los resultados (artículo 13, apartado 3, letra d)
- Cuando proceda, cambios predeterminados del sistema y de su rendimiento, con las soluciones técnicas que mantienen el cumplimiento
- Validación y pruebas: procedimientos, datos usados, métricas de exactitud, solidez y otros requisitos, posibles efectos discriminatorios, y registros e informes de pruebas fechados y firmados
- Medidas de ciberseguridad adoptadas
Consejo práctico (no exigido por el Reglamento)
Obtenga la arquitectura y las listas de dependencias del repositorio y añada la justificación que solo su equipo conoce.
Seguimiento, funcionamiento y control
3
El punto 3 recoge qué puede y qué no puede hacer el sistema, y qué riesgos y medidas de supervisión se derivan.
Qué exige el anexo
- Capacidades y limitaciones de rendimiento, incluida la exactitud para personas o grupos concretos y la exactitud general esperada para la finalidad prevista
- Resultados no deseados previsibles y fuentes de riesgo para la salud y la seguridad, los derechos fundamentales y la discriminación
- Medidas de supervisión humana (artículo 14), incluidas las medidas técnicas que ayudan a los responsables del despliegue a interpretar los resultados
- Especificaciones de los datos de entrada, según proceda
Consejo práctico (no exigido por el Reglamento)
Registre la exactitud medida por grupo junto con la prueba que la produjo.
Métricas de rendimiento
4
El punto 4 pide una descripción de por qué las métricas de rendimiento son adecuadas. Las métricas en sí figuran en el punto 2.
Qué exige el anexo
- Una descripción de por qué las métricas de rendimiento son adecuadas para este sistema de IA concreto
Sistema de gestión de riesgos
5
El punto 5 remite al sistema de gestión de riesgos del artículo 9.
Qué exige el anexo
- Una descripción detallada del sistema de gestión de riesgos conforme al artículo 9
Cambios a lo largo del ciclo de vida
6
El punto 6 mantiene la documentación al día: registra qué cambió tras la primera versión.
Qué exige el anexo
- Una descripción de los cambios pertinentes que el proveedor ha introducido en el sistema a lo largo de su ciclo de vida
Consejo práctico (no exigido por el Reglamento)
Use las notas de versión y el historial de git, y marque qué cambios estaban predeterminados (punto 2, letra f).
Normas y otras soluciones
7
El punto 7 nombra las normas en las que se basó o explica sus propias soluciones.
Qué exige el anexo
- Una lista de las normas armonizadas aplicadas total o parcialmente cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea
- Si no se aplicó ninguna: una descripción detallada de las soluciones adoptadas para cumplir el capítulo III, sección 2, con una lista de otras normas y especificaciones técnicas aplicadas
Declaración UE de conformidad
8
El punto 8 adjunta la declaración de conformidad.
Qué exige el anexo
- Una copia de la declaración UE de conformidad (artículo 47)
Evaluación poscomercialización
9
El punto 9 vincula la documentación con el seguimiento poscomercialización.
Qué exige el anexo
- Una descripción detallada del sistema para evaluar el rendimiento en la fase poscomercialización (artículo 72)
- El plan de seguimiento poscomercialización (artículo 72, apartado 3)
Qué hace Scanara por la documentación del anexo IV
Scanara comprueba que sus documentos de cumplimiento contienen el contenido requerido. No comprueba que ese contenido sea veraz.
Borradores de documentación del anexo IV
Scanara genera documentos del anexo IV a partir de sus datos y de las respuestas a las evaluaciones. Usted los revisa y completa. Un borrador no es exacto ni completo de forma automática.
Pruebas con versiones
Scanara guarda las versiones y las marcas de tiempo de los documentos y de las respuestas a las evaluaciones en que se basan.
Preguntas frecuentes sobre el anexo IV
¿Cuánto tiempo debo conservar la documentación técnica?
Diez años desde que el sistema de IA se introduce en el mercado o se pone en servicio, a disposición de las autoridades nacionales competentes (artículo 18(1)).
¿Pueden las pymes usar documentación simplificada?
Sí. Las pymes, incluidas las empresas emergentes, y las pequeñas empresas de mediana capitalización pueden facilitar los elementos del anexo IV de forma simplificada. La Comisión debe establecer el formulario y los organismos notificados deben aceptarlo para la evaluación de la conformidad (artículo 11(1)).
¿Qué obliga a actualizar la documentación?
La documentación debe mantenerse actualizada (artículo 11, apartado 1). Una modificación sustancial, es decir, un cambio no previsto ni planificado en la evaluación de la conformidad inicial que afecta al cumplimiento o a la finalidad prevista (artículo 3, punto 23), exige una nueva evaluación de la conformidad (artículo 43, apartado 4). Los cambios de un sistema que sigue aprendiendo, predeterminados y documentados conforme al punto 2, letra f, del anexo IV, no son modificaciones sustanciales.
Siguiente lectura: artículo 11, anexo III y el inventario de IA
Artículo 11: documentación técnica y anexo IV
Explica cuándo debe estar lista la documentación, el formulario simplificado para empresas pequeñas y las multas.
Anexo III en detalle: las 8 categorías de alto riesgo
Enumera las 8 áreas cuyos sistemas de IA son de alto riesgo y necesitan, por tanto, esta documentación.
IA en la sombra: crear un inventario de sistemas de IA
Muestra cómo encontrar los sistemas de IA de su organización antes de documentarlos.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.