Las guías de la AESIA

El Reglamento Europeo de Inteligencia Artificial (RIA) nace para regular una tecnología en continua evolución, la IA, y, al hacerlo, les plantea a las organizaciones una pregunta compleja: cómo aplicar sus exigencias en la práctica diaria.

Aunque es cierto que el RIA establece un sistema ambicioso de obligaciones, prohibiciones y garantías que afecta a todo el ciclo de vida de los sistemas de inteligencia artificial, también lo es que, en ocasiones, resulta farragoso o excesivamente complejo. El resultado es una brecha entre el texto y su aplicación.

Para salvarla, las guías publicadas por la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, proporcionan un enfoque técnico y operativo que baja la norma del plano teórico al terreno de la implantación real. Cumplen una función didáctica y de traducción: ordenar el contenido del Reglamento y situarlo en un contexto comprensible para quienes diseñan, adquieren o utilizan sistemas de inteligencia artificial en las organizaciones.

Las guías de la AESIA bajan la norma del plano teórico al terreno de la implantación real

Por ejemplo, el RIA establece conceptos como el de alfabetización en IA del personal, un término que, si el lector me lo permite, me parece de lo más desafortunado, pues se trata de una traducción literal que encaja mal en nuestra lengua. Seguramente sería más acertado sustituirlo por otros como formación o concienciación. Podría resultar incómodo diseñar formaciones, destinadas a empleados, compañeros o directivos, con la finalidad de “alfabetizarlos” en vez de formarlos o concienciarlos.

Matices aparte, en las guías, las obligaciones de transparencia frente a las personas usuarias o la identificación de prácticas prohibidas dejan de presentarse como conceptos abstractos y se traducen en exigencias concretas.

Entender el rol

Uno de los puntos donde más errores se producen es en la identificación del papel que cada organización desempeña respecto de un sistema de inteligencia artificial. Las guías prácticas de la AESIA insisten en esta cuestión porque de ella depende el alcance real de las obligaciones aplicables. Hay que tener en cuenta que no es lo mismo introducir un sistema en el mercado que utilizarlo en un contexto determinado, y esa diferencia tiene consecuencias jurídicas relevantes.

La situación se vuelve aún más compleja cuando se introducen modificaciones sustanciales en un sistema ya existente. Existe la errónea idea de que el rol de “proveedor de IA” recae exclusivamente en un tercero o fabricante externo.

Para los sistemas de alto riesgo, la evaluación de la conformidad constituye un requisito previo ineludible

Sin embargo, si una organización contrata un sistema y solicita un desarrollo específico para personalizar su uso o finalidad, podría pasar a ser considerada legalmente como el “proveedor”. Esto ocurre independientemente de que la solución no se comercialice en el mercado o de que no exista ánimo de lucro en su uso interno.

Evaluar antes de poner en marcha

Otro de los aspectos que hay que tener en cuenta es que, para los sistemas clasificados como de alto riesgo, la evaluación de la conformidad constituye un requisito previo ineludible. Las guías dedicadas a esta materia detallan cómo debe abordarse el procedimiento, en qué casos es suficiente un control interno y cuándo resulta obligatoria la intervención de un organismo notificado (Figura 1).

Figura 1
Otro eje de las guías es la relación entre la tecnología y las personas. La vigilancia humana deja de ser una opción y se convierte en un requisito de diseño, que se ha de materializar en interfaces comprensibles y en capacidad real de intervención.

De hecho, en determinados usos —como la identificación biométrica remota— se establecen incluso salvaguardas adicionales que refuerzan el control humano sobre las decisiones automatizadas.

Rendimiento, resiliencia y seguridad

Las guías dedicadas a aspectos como precisión, solidez y ciberseguridad muestran hasta qué punto el Reglamento trata la inteligencia artificial como un componente crítico de los sistemas de información. Mantener niveles adecuados de rendimiento, evitar degradaciones con el tiempo y garantizar la resistencia frente a fallos o ataques ya no son buenas prácticas recomendables, sino obligaciones verificables.

Por otra parte, la atención hacia las amenazas específicas de la IA, tales como el envenenamiento de datos o la extracción de modelos, evidencia que el legislador es consciente de los riesgos técnicos asociados a estas tecnologías. Las organizaciones deben incorporar estas consideraciones a sus esquemas de seguridad desde el diseño, integrándolas en las políticas y controles ya existentes.

Evidencias, registros e incidentes

Otro aspecto importante es el énfasis puesto en la trazabilidad, que atraviesa varias de las guías publicadas. El registro automático de eventos, la conservación de logs y la documentación técnica se configuran como elementos indispensables para demostrar el cumplimiento.

Sin evidencias documentadas, el cumplimiento resulta difícil de sostener ante una autoridad de supervisión

Además, en caso de que ocurra un incidente grave, el Reglamento establece una serie de plazos de notificación muy concretos y exige el desarrollo de investigaciones internas y la puesta en marcha de medidas correctoras.

Este enfoque refuerza una idea que se repite a lo largo de todas las guías: sin evidencias documentadas, el cumplimiento resulta difícil de sostener ante una autoridad de supervisión. La documentación técnica y los registros no son un añadido final, sino una parte estructural del sistema.

Conclusión

En resumen, se podría decir que las guías de la AESIA traducen el Reglamento de IA en criterios operativos que permiten a las organizaciones implantar, gobernar y supervisar sistemas de inteligencia artificial con rigor y seguridad.

Sientan la primera piedra interpretativa y de desarrollo de una normativa que es especialmente compleja, teniendo en cuenta que la tecnología que trata de regular es cambiante y dinámica, evoluciona a pasos agigantados.