AI Compliance-by-Design: Guía para CTO sobre Inventario de Modelos, Fuentes RAG y Registro de Decisiones bajo la Ley de IA de la UE
La Ley de IA de la UE ya está en vigor y se implementará en fases; varias obligaciones llegarán antes de su aplicación completa en 2026-2027. La Comisión Europea supervisará a los proveedores, enfocándose especialmente en la IA de propósito general (GPAI), y puede solicitar información o evaluar modelos.
Para GPAI, la Comisión ha publicado páginas de obligaciones y un Código de Práctica voluntario para reducir la ambigüedad mientras se implementan los deberes de los Artículos 53/55.
Inicio con el alcance: ¿eres proveedor o desplegador, y es GPAI?
La Ley distingue entre proveedores (quienes ponen en el mercado o ponen en servicio) y desplegadores (quienes utilizan sistemas de IA). Si proporcionas o ajustas modelos GPAI, enfrentas deberes específicos como documentación técnica, una política de derechos de autor, y un resumen del contenido de entrenamiento.
Para GPAI de riesgo sistémico, agrega evaluación/mitigación de riesgos, informes de incidentes y ciberseguridad robusta.
Inventario primero: modelos, conjuntos de datos, indicaciones y fuentes RAG
El camino más rápido hacia la no conformidad es no saber lo que estás ejecutando. Tratamos el inventario como un producto:
- Catálogo de modelos: versión, proveedor, estado de ajuste, puntuaciones de evaluación, uso previsto y propietario de contacto.
- Contratos de datos para cada fuente RAG: linaje, frescura, reglas de completitud, retención y usos permitidos.
- Registro de indicaciones y herramientas: indicaciones aprobadas, ámbitos de llamadas a herramientas y acciones de alto riesgo que requieren verificaciones manuales.
- Registros de decisiones: «quién-qué-cuándo-por qué» para cambios, rechazos y excepciones.
Esto se alinea con el Marco de Gestión de Riesgos de IA de NIST.
Construir la documentación técnica una vez — y mantenerla viva
El Artículo 53 espera que los proveedores de GPAI «elaboren documentación técnica» y compartan lo que los usuarios posteriores necesitan sin divulgar propiedad intelectual.
Mantenemos un solo paquete de documentación por integración de modelo:
- Tarjeta del modelo: capacidades, límites, evaluaciones, alcance de seguridad.
- Hoja de datos / tarjeta RAG: fuentes, contratos, política de derechos de autor, resumen de contenido de entrenamiento cuando sea aplicable.
- Caso de seguridad: política de rechazo, caminos de escalamiento, canales de abuso.
- Manual operativo: SLA, retrocesos, aprobaciones de cambios, manuales de incidentes.
Tratar la transparencia de derechos de autor y datos de entrenamiento como requisitos de producción
La Ley espera una política de derechos de autor y, para GPAI, un resumen de datos de entrenamiento.
Para asistentes generadores de contenido, incrustamos pistas de citación y deshabilitamos salidas que no pueden ser rastreadas a fuentes permitidas.
Registrar decisiones, no solo predicciones: auditabilidad por diseño
Las obligaciones de transparencia se extienden más allá de la divulgación al usuario: debes mostrar que los humanos pueden supervisar y rastrear decisiones del sistema.
Registramos el contexto de decisiones y las aprobaciones humanas.
Controlar el acceso y el riesgo como si se tratara de movimientos de dinero
La supervisión de GPAI se está endureciendo; la Oficina de IA puede evaluar modelos y solicitar información. Trata las llamadas a herramientas y el acceso a datos como «transacciones financieras»:
- Identidades de corta duración para agentes; ámbitos de mínimo privilegio.
- Grabación de sesiones para acciones destructivas o sensibles.
Usar un ritmo de puerta de etapa que el CFO y CISO puedan respaldar
Ejecutamos iniciativas de GenAI en un ritmo de 15/45/90 días con límites de costo y calidad explícitos:
- 15 días: un flujo de trabajo, una métrica, límite de costo.
- 45 días: comparación de línea base, captura de costos de error.
- 90 días: integrar o cerrar.
Cuándo usar el Código de Práctica de GPAI
Si eres un proveedor de GPAI y deseas un camino de menor fricción para demostrar cumplimiento, el Código de Práctica de GPAI de la Comisión ofrece una vía voluntaria ahora.
Qué informar a la junta (en una diapositiva)
- Alcance y rol: ¿Qué usos nos hacen proveedores?
- Obligaciones y cronograma: ¿Qué deberes aplican este trimestre?
- Controles en su lugar: Inventario, contratos de datos, registro de decisiones.
- Puertas de etapas: Cadencia de 15/45/90 días con umbrales de costo y calidad.
