IA en la sombra: crear un inventario de sistemas de IA
Cómo encontrar los sistemas de IA de su organización y registrarlos en un único registro: cinco pasos, una plantilla de registro y las obligaciones de los artículos 4, 26 y 49.
El Reglamento de IA no tiene ningún artículo que exija un inventario de sistemas de IA, pero varias obligaciones son difíciles de cumplir sin uno.
Proveedores y responsables del despliegue deben adoptar medidas para fomentar la alfabetización en IA de su personal (artículo 4). Se aplica desde el 2 de febrero de 2025. Los responsables del despliegue de sistemas de alto riesgo deben adoptar medidas adecuadas para usarlos conforme a las instrucciones de uso. Se aplica desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I). Las infracciones del artículo 26 llegan a 15 millones de EUR o al 3 % del volumen de negocios anual mundial. Se aplica la cuantía mayor (artículo 99(4)). Primer paso: haga una lista de todos los sistemas de IA en uso.
Tres de las obligaciones presuponen que usted conoce sus sistemas de IA
Alfabetización en IA (artículo 4)
Los proveedores y los responsables del despliegue de sistemas de IA toman medidas para promover la alfabetización en IA de su personal y de otras personas que operan y utilizan sistemas de IA en su nombre, teniendo en cuenta el contexto. La obligación no exige garantizar un nivel concreto a ninguna persona.
Obligaciones del responsable del despliegue (artículo 26)
Los responsables del despliegue de sistemas de IA de alto riesgo adoptan medidas técnicas y organizativas adecuadas para usarlos conforme a las instrucciones de uso, encomiendan la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, y supervisan el funcionamiento del sistema (artículo 26, apartados 1, 2 y 5).
Registro (artículo 49)
Los proveedores registran en la base de datos de la UE los sistemas de alto riesgo del anexo III, y los que consideran que no son de alto riesgo según el artículo 6, apartado 3, antes de introducirlos en el mercado o ponerlos en servicio. Los sistemas de aplicación de la ley y migración (anexo III, puntos 1, 6 y 7) van a una sección no pública, y los de infraestructuras críticas (punto 2) se registran a escala nacional. Los responsables del despliegue que son autoridades públicas, instituciones, órganos u organismos de la Unión, o personas que actúan en su nombre, registran su uso (artículo 49, apartado 3).
El artículo 2 limita el ámbito de aplicación. A los sistemas de IA clasificados de alto riesgo con arreglo al artículo 6, apartado 1, que se refieren a productos del anexo I, sección B, solo se aplican el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112, por lo que no se aplica el artículo 4. El Reglamento también excluye los sistemas utilizados exclusivamente con fines militares, de defensa o de seguridad nacional, los sistemas de investigación y el uso privado no profesional (artículo 2, apartados 2, 3, 6, 8 y 10).
Qué es un sistema de IA y qué no lo es
El Reglamento define un sistema de IA como un sistema basado en una máquina diseñado para funcionar con distintos niveles de autonomía que infiere de la información de entrada cómo generar resultados como predicciones, contenidos, recomendaciones o decisiones (artículo 3, punto 1). Los sistemas basados solo en reglas definidas por personas físicas no están cubiertos (considerando 12).
Servicios de IA llamados por API
Su código llama a un modelo de IA mediante una API. Se usa un sistema de IA aunque un proveedor ejecute el modelo. Regístrelo y anote quién es el proveedor y quién el responsable del despliegue.
Modelos preentrenados integrados
Un archivo de modelo de un repositorio público de modelos se ejecuta dentro de su aplicación, por ejemplo para clasificar o moderar contenidos. Registre el modelo y de dónde procede.
Herramientas SaaS con funciones de IA
Los asistentes de redacción, la puntuación en CRM y los asistentes de código son ejemplos. Usar una herramienta así para una finalidad del anexo III, como preseleccionar candidatos, puede convertirle en responsable del despliegue de un sistema de alto riesgo, salvo que se aplique la excepción del artículo 6, apartado 3.
Funciones de puntuación, recomendación y filtrado
Son sistemas de IA solo si infieren resultados a partir de los datos de entrada. Un conjunto fijo de reglas escrito por personas no es un sistema de IA. Compruebe cuál tiene.
Cinco pasos para crear el inventario
Escanee su código
Empiece por descubrir en el código: busque en todos los repositorios importaciones relacionadas con IA, llamadas a API, archivos de modelos y configuración.
- Buscar importaciones de marcos de ML (por ejemplo tensorflow, torch, sklearn, transformers)
- Identificar llamadas a API de IA (por ejemplo openai, anthropic, google.ai, azure.cognitiveservices)
- Encontrar archivos de modelos (por ejemplo .pb, .pt, .onnx, .h5, .pkl, .safetensors)
- Encontrar archivos de configuración de IA, como configuraciones de modelos y plantillas de prompts
- Buscar el uso de embeddings y bases de datos vectoriales (por ejemplo pinecone, weaviate, chromadb)
Pregunte a sus equipos
El escaneo de código encuentra la IA que aparece en el código y pasa por alto la IA planificada, experimental o basada en SaaS. Pregunte a cada equipo por el resto.
- Enviar un cuestionario breve a los equipos de ingeniería, producto y negocio
- Preguntar por las funciones de IA de las herramientas SaaS en uso
- Identificar proyectos de IA experimentales o de prueba de concepto
- Documentar las herramientas de IA usadas en procesos internos, como la selección de personal, la atención al cliente y el análisis
- Mapear las relaciones con proveedores que implican servicios de IA o ML
Clasifique cada sistema
Para cada sistema, compruebe en este orden qué reglas se aplican y anote el razonamiento.
- Comprobar las prácticas prohibidas del artículo 5
- Comprobar la vía del anexo I y las 8 áreas del anexo III (artículo 6)
- Comprobar la excepción del artículo 6, apartado 3, cuando proceda
- Comprobar si interviene un modelo de IA de uso general (artículo 3, punto 63)
- Comprobar las obligaciones de transparencia del artículo 50
- Documentar el razonamiento de cada sistema
Mantenga un único registro
Cree un registro único de todos los sistemas de IA. Es la base para las obligaciones de los artículos 4, 26 y 49 y para las solicitudes de las autoridades.
- Asignar un identificador único a cada sistema de IA
- Registrar el proveedor, el responsable del despliegue y la persona responsable
- Registrar la clasificación y el razonamiento
- Hacer seguimiento de las obligaciones pendientes de cada sistema
- Enlazar la documentación técnica (anexo IV) cuando proceda
- Conservar el historial de versiones y los registros de cambios
Manténgalo al día
Un inventario solo es útil si se mantiene al día. Registre los nuevos sistemas de IA y los cambios que puedan alterar la clasificación.
- Añadir una comprobación del inventario de IA a la revisión de código y a las solicitudes de incorporación
- Exigir el registro de un sistema de IA antes de pasar a producción
- Buscar nuevas dependencias de IA en CI/CD
- Revisar el inventario con las partes interesadas cada trimestre
- Definir quién decide cuando un sistema nuevo pueda ser de alto riesgo
- Formar a los equipos de desarrollo para identificar y notificar sistemas de IA
Un registro posible: diez campos (nuestra sugerencia)
| Campo | Descripción | Ejemplo |
|---|---|---|
| ID del sistema | Identificador único | AI-SYS-001 |
| Nombre del sistema | Nombre usado internamente | Asistente de preselección de currículos |
| Proveedor | Quién desarrolló el sistema | Nombre del proveedor o equipo interno |
| Su función | Proveedor, responsable del despliegue o ambos | Responsable del despliegue |
| Clasificación | Resultado de su clasificación, con razonamiento | Alto riesgo, anexo III, punto 4, letra a |
| Finalidad prevista | Para qué se usa el sistema | Ordena candidaturas |
| Estado de despliegue | Fase actual del ciclo de vida | En producción |
| Datos tratados | Tipos de datos que maneja | Currículos y formularios de solicitud |
| Persona responsable | Responsable interno de las obligaciones | Dirección de Personas |
| Obligaciones pendientes | Qué falta por hacer | Solicitar las instrucciones de uso |
Preguntas frecuentes sobre el inventario de IA
¿Exige el Reglamento de IA un inventario de sistemas de IA?
Ningún artículo exige un inventario como documento. Varias obligaciones presuponen que usted conoce sus sistemas de IA: la alfabetización en IA de proveedores y responsables del despliegue (artículo 4), las obligaciones de los responsables del despliegue de sistemas de alto riesgo (artículo 26) y el registro en la base de datos de la UE (artículo 49). El proveedor que considera que un sistema del anexo III no es de alto riesgo debe documentar esa valoración y registrar el sistema (artículo 6, apartado 4, y artículo 49, apartado 2).
¿Cómo trato los sistemas de IA que ya están en producción?
Empiece por los sistemas que puedan estar prohibidos (artículo 5) o ser de alto riesgo (artículo 6). Registre cada sistema, clasifíquelo y anote su proveedor. El Reglamento tiene límites: excluye el uso militar, la investigación y el uso exclusivamente privado (artículo 2, apartados 3, 6, 8 y 10), y algunas prohibiciones se aplican más tarde (artículo 113, letra a). Un sistema de alto riesgo introducido en el mercado o puesto en servicio antes de la fecha de aplicación solo queda cubierto si después sufre cambios significativos en su diseño. En cualquier caso, los proveedores y los responsables del despliegue de sistemas de IA de alto riesgo destinados a ser utilizados por autoridades públicas deben adoptar las medidas necesarias para cumplir en una fecha posterior (artículo 111, apartado 2)
¿Debo incluir en el inventario las herramientas de IA para empleados?
Sí. El artículo 4 abarca los sistemas de IA que su personal opera y utiliza, sean o no de alto riesgo. El anexo III, punto 4, enumera usos en el empleo, como la contratación y selección, las decisiones sobre las condiciones de trabajo, la asignación de tareas y el seguimiento del rendimiento y el comportamiento.
Siguiente lectura: clasificación y documentación
¿Es mi sistema de IA de alto riesgo? Árbol de decisión
Recorre las preguntas que deciden si un sistema de IA está prohibido, es de alto riesgo o ninguna de las dos cosas.
Anexo III en detalle: las 8 categorías de alto riesgo
Enumera las 8 áreas cuyos sistemas de IA son de alto riesgo, con ejemplos del texto del anexo.
Documentación técnica del anexo IV: los nueve puntos
Muestra los nueve puntos de documentación que necesita un sistema de alto riesgo.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.