PrácticaPractice · Inteligencia ArtificialArtificial Intelligence

Gobernar la Inteligencia Artificial exige entender cómo se usa.Governing Artificial Intelligence requires understanding how it is used.

El trabajo consiste en ordenar decisiones: qué sistemas se usan, qué papel ocupa la empresa respecto de cada uno, con qué datos funcionan, qué se pacta con quien los provee y qué controles y evidencia sostienen su uso. Con una particularidad: la formación en ingeniería del software permite examinar directamente aquello sobre lo que se opina.The work consists of ordering decisions: which systems are used, what role the company plays for each one, what data they run on, what is agreed with their vendors, and what controls and evidence sustain their use. With one particularity: software engineering training allows a direct examination of what is being opined on.

La decisión antes que la norma.The decision before the rule.

Una cuestión de Inteligencia Artificial rara vez llega citando un artículo del Reglamento. Llega como una decisión en marcha: se va a contratar una herramienta, un equipo quiere usar un modelo, un cliente pide garantías, un producto incorpora IA. Las preguntas útiles son anteriores a la norma: qué sistema se está usando y para qué; con qué datos funciona; quién lo provee; quién decide dentro de la empresa; quién recibe sus resultados y con qué consecuencias.An artificial-intelligence question rarely arrives citing an article of the Regulation. It arrives as a decision already in motion: a tool is about to be procured, a team wants to use a model, a client asks for assurances, a product incorporates AI. The useful questions come before the rule: which system is being used and for what; what data it runs on; who provides it; who decides within the company; who receives its outputs and with what consequences.

Respondidas esas preguntas, el encaje normativo deja de ser abstracto: se sabe qué papel ocupa la empresa, qué obligaciones alcanzan a cada sistema y qué hay que poder demostrar.Once those questions are answered, the regulatory fit stops being abstract: the company knows what role it plays, which obligations reach each system and what it must be able to demonstrate.

Cuándo interviene el trabajo jurídico.When the legal work comes in.

AdoptarAdopt

Compra o uso de herramientas de terceros: qué se está contratando de verdad, qué garantías se piden al proveedor y qué condiciones de uso interno acompañan a la herramienta.Buying or using third-party tools: what is actually being contracted, what assurances to require from the vendor and what internal conditions of use accompany the tool.

ConstruirBuild

Desarrollo propio, ajuste de modelos o integración en producto: contratos de desarrollo y de acceso a modelos, datos de entrenamiento, propiedad intelectual y reparto de responsabilidades.In-house development, model adaptation or product integration: development and model-access agreements, training data, intellectual property and allocation of liability.

GobernarGovern

Inventario, clasificación, políticas de uso, supervisión humana, formación y controles: el marco para usar IA con control y poder acreditarlo.Inventory, classification, use policies, human oversight, training and controls: the framework to use AI under control and be able to prove it.

DefenderDefend

Incidentes, requerimientos e inspecciones, reclamaciones: la respuesta jurídica y la evidencia que la sostiene.Incidents, regulatory demands and inspections, claims: the legal response and the evidence that sustains it.

Qué se decide.What gets decided.

Saber qué hayKnowing what there is

Inventario de los sistemas de IA de la empresa, incluidos los integrados en herramientas de terceros. Es el punto de partida: sin inventario no puede determinarse ninguna obligación.An inventory of the company's AI systems, including those embedded in third-party tools. It is the starting point: without it, no obligation can be determined.

Determinar el papelDetermining the role

Proveedor, implementador, importador o distribuidor: las obligaciones cambian por completo según el rol, y el rol se determina sistema a sistema.Provider, deployer, importer or distributor: obligations change completely depending on the role, and the role is determined system by system.

Clasificar el riesgoClassifying the risk

Prácticas prohibidas, alto riesgo, riesgo de transparencia o riesgo mínimo: la clasificación fija qué exige el Reglamento a cada sistema y ordena los riesgos por su relevancia para el negocio.Prohibited practices, high risk, transparency risk or minimal risk: classification sets what the Regulation demands of each system and orders risks by their relevance to the business.

Decidir con qué datosDeciding what data

Cuando hay datos personales, el RGPD se aplica en paralelo: base jurídica, información a los interesados y, cuando el tratamiento lo exige, evaluación de impacto. Los datos de entrenamiento se pactan en el contrato.Where personal data is involved, the GDPR applies in parallel: legal basis, information to data subjects and, where the processing requires it, an impact assessment. Training data is dealt with in the contract.

Pactar con los proveedoresAgreeing with vendors

Desarrollo, licencia y acceso a modelos; reparto de responsabilidades entre proveedor e implementador; garantías sobre datos y documentación. Cláusulas redactadas conociendo cómo se construyen los sistemas.Development, licensing and model access; allocation of responsibilities between provider and deployer; assurances on data and documentation. Clauses drafted knowing how the systems are built.

Ordenar el uso internoOrdering internal use

Política de uso, criterios de aprobación de herramientas, supervisión humana y formación del personal en el uso de IA.A use policy, tool-approval criteria, human oversight and staff training in the use of AI.

Poder demostrarloBeing able to prove it

La documentación que el Reglamento exige a cada categoría de sistema, las obligaciones de transparencia frente a usuarios y afectados, y los registros que acreditan que los controles funcionan.The documentation the Regulation requires for each category of system, the transparency obligations towards users and affected persons, and the records evidencing that the controls work.

El método, aplicado a IA.The method, applied to AI.

Entender. Qué sistema es, cómo se integra y quién lo opera: se examina la arquitectura y se habla con quien lo construye o lo usa.Understand. What the system is, how it integrates and who operates it: the architecture is examined and the people who build or use it are heard.

Encajar. Rol regulatorio, clasificación de riesgo, normas concurrentes —Reglamento de IA, protección de datos— y prioridades ordenadas por su impacto en el negocio.Frame. Regulatory role, risk classification, concurrent rules — AI Act, data protection — and priorities ordered by business impact.

Diseñar. Política de uso, cláusulas con proveedores, controles de supervisión y la documentación que cada categoría de sistema exige.Design. The use policy, vendor clauses, oversight controls and the documentation each category of system requires.

Implantar y probar. Formación de los equipos, puesta en operación de los controles, evidencia de que funcionan y revisión cuando el sistema o la norma cambian.Implement and test. Team training, controls put into operation, evidence that they work and review when the system or the rule changes.

El método completoThe full method →

El resultado.The result.

El trabajo no termina en un informe: termina en piezas que la empresa puede operar y, llegado el caso, exhibir.The work does not end in a report: it ends in pieces the company can operate and, if it comes to it, produce as evidence.

Inventario de sistemas de IAAI-system inventory Informe de clasificación, con los riesgos ordenados por relevanciaClassification report, risks ordered by relevance Política de uso y criterios de aprobaciónUse policy and approval criteria Contratos con proveedores y de desarrolloVendor and development agreements Documentación técnica y de transparenciaTechnical and transparency documentation Formación en el uso de IAAI-use training Evidencia del cumplimientoEvidence of compliance

Cuestiones habituales.Common questions.

¿El Reglamento de IA nos afecta si solo usamos herramientas de terceros?Does the AI Act affect us if we only use third-party tools?

Sí. Usar sistemas de terceros genera obligaciones propias —formación del personal, transparencia y, según el caso, obligaciones de implementador—, además de las de protección de datos cuando los hay. La evaluación inicial delimita cuáles alcanzan a cada sistema.Yes. Using third-party systems creates obligations of your own — staff training, transparency and, depending on the case, deployer obligations — plus data-protection duties where personal data is involved. The initial assessment determines which ones reach each system.

¿Es obligatorio tener un inventario de sistemas de IA?Is an AI-system inventory mandatory?

Es el punto de partida del trabajo: las obligaciones se determinan sistema a sistema, y sin inventario no puede saberse qué papel se ocupa ni qué categoría de riesgo se aplica. Es, además, la primera evidencia de diligencia que se examina.It is the starting point of the work: obligations are determined system by system, and without an inventory there is no way of knowing what role the company plays or which risk category applies. It is also the first piece of diligence evidence anyone examines.

¿Qué cambia cuando el sistema trata datos personales?What changes when the system processes personal data?

Que el Reglamento de IA y el RGPD se aplican en paralelo: base jurídica del tratamiento, información a los interesados y, cuando el tratamiento lo exige, evaluación de impacto. El diseño de datos del proyecto —qué datos, en qué momento, con qué agregación— suele decidir su viabilidad.The AI Act and the GDPR apply in parallel: a legal basis for the processing, information to data subjects and, where the processing requires it, an impact assessment. The project's data design — which data, at what stage, at what level of aggregation — usually decides its viability.

¿Qué conviene pedir a un proveedor de IA?What should we require from an AI vendor?

Documentación e instrucciones del sistema, garantías sobre los datos —incluidos los de entrenamiento—, un reparto claro de responsabilidades entre proveedor e implementador y el soporte necesario para cumplir las obligaciones propias. Frente a terceros, el contrato es la principal herramienta de cumplimiento.The system's documentation and instructions, assurances on data — training data included — a clear allocation of responsibilities between provider and deployer, and the support needed to meet the company's own obligations. Vis-à-vis third parties, the contract is the main compliance tool.