Skip to main content

Artículo 10: gobernanza de datos para la IA de alto riesgo

Artículo 10 del Reglamento de IA: criterios de calidad y gobernanza de los datos de entrenamiento, validación y prueba de los sistemas de IA de alto riesgo, y la norma del artículo 4 bis para corregir sesgos.

Los proveedores de sistemas de IA de alto riesgo que entrenan modelos de IA deben cumplir criterios de calidad en los datos (artículo 10(1)). Estos conjuntos de datos están sujetos a prácticas de gobernanza de datos, por ejemplo el examen de sesgos (artículo 10(2)).

La norma se aplica desde el 2 de diciembre de 2027 a los sistemas del anexo III (lista de usos de alto riesgo). Para los productos del anexo I, se aplica desde el 2 de agosto de 2028 (artículo 113, letra c). Los productos de la sección B quedan excluidos (artículo 2(2)). Las multas por infringirla alcanzan 15 millones de EUR o el 3 % del volumen de negocios mundial, si esta cuantía es superior (artículo 99(4)). Siguiente paso: anote el origen de cada conjunto de datos y sus comprobaciones de sesgos.

El artículo 10(2) enumera ocho prácticas, agrupadas aquí en cinco áreas

Decisiones de diseño y origen de los datos

Las prácticas deben abarcar las decisiones de diseño pertinentes, cómo se recogieron los datos, de dónde proceden y, en el caso de datos personales, para qué se recogieron originalmente (artículo 10(2), letras a) y b)).

Preparación de los datos

Regule la anotación, el etiquetado, la limpieza, la actualización, el enriquecimiento y la agregación (artículo 10(2), letra c)).

Hipótesis e idoneidad

Indique qué se supone que miden y representan los datos, y evalúe si hay suficientes datos adecuados (artículo 10(2), letras d) y e)).

Examen de sesgos y medidas

Examine los datos para detectar sesgos que puedan afectar a la salud y la seguridad, repercutir en los derechos fundamentales o dar lugar a una discriminación prohibida. Adopte medidas para detectarlos, prevenirlos y mitigarlos (artículo 10(2), letras f) y g)).

Lagunas y deficiencias de los datos

Identifique las lagunas o deficiencias que le impiden cumplir el Reglamento, y cómo subsanarlas (artículo 10(2), letra h)).

Si un sistema de IA de alto riesgo no entrena modelos de IA, estas normas se aplican solo a sus conjuntos de datos de prueba (artículo 10(6)).

Los conjuntos de datos deben cumplir tres criterios de calidad

Pertinentes, representativos, sin errores y completos

Los conjuntos de datos deben ser pertinentes, suficientemente representativos y, en la mayor medida posible, carecer de errores y estar completos en vista de su finalidad prevista (artículo 10(3)).

Propiedades estadísticas adecuadas

Deben tener las propiedades estadísticas adecuadas, también en relación con las personas o los colectivos en los que se prevé utilizar el sistema (artículo 10(3)).

Adaptados al entorno de uso

Deben reflejar el entorno geográfico, contextual, conductual o funcional de uso, en la medida en que lo exija la finalidad prevista (artículo 10(4)).

Cuatro prácticas de ingeniería que generan pruebas para el artículo 10

El artículo 10 no prescribe herramientas. Estas cuatro prácticas son sugerencias para documentar su gobernanza de datos.

Documentación de los conjuntos de datos como código

Mantenga las especificaciones de los conjuntos de datos, los métodos de recogida y los pasos de preparación en archivos con control de versiones junto al código de su sistema de IA.

Pruebas de sesgo y de deriva en CI/CD

Ejecute en la canalización controles de sesgo sobre cada versión de un conjunto de datos y pruebas de deriva de los datos.

Seguimiento del linaje de los datos

Siga las fuentes, las transformaciones y las versiones, para poder demostrar de dónde procede cada conjunto de datos (artículo 10(2), letra b)).

Fichas de conjuntos de datos con versiones

Registre, para cada versión de un conjunto de datos, su composición, su método de recogida, sus límites conocidos y los resultados del examen de sesgos.

El artículo 4 bis permite datos de categorías especiales para corregir sesgos, con condiciones estrictas

Los proveedores de sistemas de IA de alto riesgo pueden tratar excepcionalmente categorías especiales de datos personales cuando sea estrictamente necesario para detectar y corregir sesgos con arreglo al artículo 10(2), letras f) y g) (artículo 4 bis(1)). Deben cumplirse todas las condiciones. Entre ellas: otros datos, incluidos los sintéticos o anonimizados, no bastan; los datos están sujetos a limitaciones técnicas de reutilización y a controles de acceso estrictos y no se transmiten a terceros; se suprimen cuando el sesgo se ha corregido o termina el plazo de conservación. Estas condiciones se suman al RGPD. El artículo 4 bis(2) lo extiende a los responsables del despliegue de sistemas de IA de alto riesgo y a los proveedores y responsables del despliegue de otros sistemas y modelos de IA, cuando el tratamiento es estrictamente necesario y se aplican todas las condiciones y salvaguardias del artículo 4 bis(1). No crea ninguna obligación de detectar o corregir sesgos.

El artículo 4 bis se añadió mediante el Reglamento (UE) 2026/1744. Sustituye al antiguo artículo 10(5).

Preguntas frecuentes sobre el artículo 10

¿Se aplica el artículo 10 si ajusto un modelo de IA de uso general?

Sí, para los conjuntos de datos que usa para entrenar, validar y probar su sistema de IA de alto riesgo (artículo 10(1)). El Reglamento no dice si el artículo 10 abarca también los datos de entrenamiento originales del modelo base. Consulte a un asesor jurídico y solicite la información sobre el modelo que el proveedor del modelo de IA de uso general debe poner a disposición de los proveedores posteriores (artículo 53(1), letra b)).

¿Qué significa «suficientemente representativos»?

El artículo 10(3) exige que los conjuntos de datos sean suficientemente representativos en vista de la finalidad prevista y tengan las propiedades estadísticas adecuadas, también en relación con las personas o los colectivos en los que se utiliza el sistema. El artículo 10(4) añade el entorno geográfico, contextual, conductual o funcional de uso. El Reglamento no fija ningún umbral numérico.

¿Tengo que usar datos sintéticos?

No. Los datos sintéticos no son obligatorios. El artículo 4 bis(1) sí exige que la detección y corrección de sesgos no pueda hacerse de forma eficaz con otros datos, incluidos los sintéticos o anonimizados, antes de tratar categorías especiales de datos personales.

¿Qué pasa con los conjuntos de datos de terceros?

El artículo 10 se aplica a los conjuntos de datos utilizados para su sistema, con independencia de quién los creó. Documente su origen (artículo 10(2), letra b)) y examine usted mismo sus sesgos (artículo 10(2), letra f)).

¿Cómo se relaciona el artículo 10 con el RGPD?

El artículo 10 se aplica junto con el RGPD. El artículo 4 bis fija condiciones para tratar categorías especiales de datos personales con el fin de corregir sesgos, además del RGPD (artículo 4 bis(1)). El artículo 4 bis(2) extiende la excepción a los responsables del despliegue y a otros sistemas y modelos de IA.

¿Qué multa se aplica si un proveedor incumple el artículo 10?

Las multas por incumplir las obligaciones de los proveedores del artículo 16 alcanzan los 15 millones de EUR o el 3 % del volumen de negocios mundial anual, si esta cuantía es superior (artículo 99(4)). Para las pymes y las pequeñas empresas de mediana capitalización, el límite es la más baja de las dos cuantías (artículo 99(6) y (6 bis)).

Siguiente lectura: gestión de riesgos, documentación y exactitud

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.