Política de IA (EU AI Act · ISO 42001)

1. Marco legal

Esta Política de IA se rige por el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (EU AI Act), que establece normas armonizadas sobre inteligencia artificial en toda la Unión Europea.

Asimismo, alineamos nuestras prácticas de gestión de IA con la norma ISO 42001:2023, el estándar internacional para sistemas de gestión de IA, garantizando un enfoque estructurado, basado en el riesgo y orientado a la ética en el desarrollo y despliegue de IA.

Esta política se aplica a todos los sistemas de IA que desarrollamos, proporcionamos o desplegamos como parte de nuestros servicios.

2. Clasificación de riesgos

El EU AI Act clasifica los sistemas de IA en cuatro categorías de riesgo:

Riesgo inaceptable — Usos de IA completamente prohibidos, como la puntuación social por parte de autoridades públicas, la vigilancia biométrica en tiempo real en espacios públicos o sistemas que explotan vulnerabilidades psicológicas. No desarrollamos ni desplegamos ningún sistema de este tipo.

Alto riesgo — Sistemas de IA utilizados en áreas críticas como decisiones de empleo, educación, acceso a servicios esenciales, seguridad pública o componentes de seguridad de productos regulados. Cuando nuestros servicios se encuadran en esta categoría, aplicamos el conjunto completo de obligaciones descritas en esta política.

Riesgo limitado — Los sistemas de IA que interactúan con usuarios (p. ej., chatbots) tienen obligaciones de transparencia. Garantizamos que los usuarios siempre estén informados cuando interactúan con un sistema de IA.

Riesgo mínimo — La mayoría de las aplicaciones de IA de uso general. Aplicamos estándares de buenas prácticas incluso donde la regulación no lo exige.

3. Principios de gobernanza

Nuestra gobernanza de IA se basa en cinco principios fundamentales:

Responsabilidad — Identificamos claramente a las personas responsables de cada sistema de IA que operamos. Las decisiones tomadas con o por IA siempre pueden rastrearse hasta un actor humano responsable dentro de nuestra organización.

Transparencia — Comunicamos abiertamente la naturaleza, las capacidades y las limitaciones de nuestros sistemas de IA. Los usuarios y las partes afectadas son informados cuando la IA desempeña un papel material en una decisión que les afecta.

Equidad — Trabajamos activamente para identificar y mitigar los sesgos en los sistemas de IA. No permitimos que la IA discrimine por razón de raza, género, edad, discapacidad, religión u otras características protegidas.

Supervisión humana — Todas las decisiones de IA de alto riesgo están sujetas a una revisión humana significativa. Los resultados automatizados se tratan como recomendaciones, no como determinaciones definitivas.

Mejora continua — Nos comprometemos con la supervisión, evaluación y mejora continuas de nuestros sistemas de IA a la luz de nuevas evidencias, actualizaciones regulatorias y comentarios de las partes interesadas.

4. Obligaciones como proveedor de servicios de IA

Como proveedor de servicios basados en IA, cumplimos las siguientes obligaciones conforme al EU AI Act:

— Mantenemos documentación técnica actualizada para los sistemas de IA de alto riesgo.
— Realizamos procedimientos de evaluación de conformidad antes de poner en servicio sistemas de IA de alto riesgo.
— Registramos los sistemas de IA de alto riesgo en la base de datos de la UE cuando es requerido.
— Aplicamos el marcado CE cuando corresponde y elaboramos declaraciones de conformidad de la UE.
— Establecemos y mantenemos un sistema de seguimiento post-comercialización para controlar el rendimiento en condiciones reales.
— Notificamos incidentes graves o fallos a las autoridades nacionales competentes sin demora injustificada.
— Cooperamos plenamente con las autoridades de vigilancia del mercado a su solicitud.

5. Proceso de gestión de riesgos

Operamos un proceso documentado de gestión de riesgos de IA alineado con el EU AI Act y con la norma ISO 42001:2023. Este proceso incluye:

Identificación — Catalogar todos los sistemas de IA en uso o en desarrollo y evaluar su finalidad prevista, posibles usos y usos indebidos previsibles.

Evaluación — Valorar la probabilidad y gravedad de los posibles daños para personas, grupos o la sociedad, incluidos los efectos indirectos y acumulativos.

Mitigación — Aplicar medidas técnicas y organizativas proporcionales a los riesgos identificados, incluyendo controles de calidad de datos, mecanismos de explicabilidad y restricciones de acceso.

Seguimiento — Monitorizar continuamente el comportamiento del sistema en producción con métricas definidas y umbrales de escalada.

Revisión — Reevaluar periódicamente los perfiles de riesgo en respuesta a cambios en el sistema, nuevas orientaciones regulatorias o evidencias emergentes de daño.

6. Derechos humanos en decisiones automatizadas (RGPD art. 22)

Cuando nuestros servicios implican toma de decisiones automatizada que produce efectos jurídicos o igualmente significativos sobre las personas, cumplimos plenamente con el artículo 22 del Reglamento General de Protección de Datos (RGPD).

Las personas tienen derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado. Cuando dicho tratamiento tiene lugar, garantizamos que las personas:

— Sean informadas de que se está produciendo una toma de decisiones automatizada.
— Tengan derecho a solicitar una revisión humana de cualquier decisión automatizada.
— Puedan expresar su punto de vista e impugnar la decisión.
— Reciban una explicación significativa de la lógica implicada.

Implementamos estos derechos a través de interfaces de usuario claras, canales de contacto accesibles y procedimientos internos de revisión definidos.

7. Plan de formación

Mantenemos un programa continuo de formación en alfabetización y responsabilidad en IA para todo el personal involucrado en el desarrollo, despliegue o gestión de sistemas de IA. Este programa abarca:

— Conceptos fundamentales de IA y aprendizaje automático.
— Requisitos legales y regulatorios aplicables, incluidos el EU AI Act y el RGPD.
— Principios éticos y prácticas de IA responsable.
— Identificación de sesgos, resultados injustos y riesgos.
— Procedimientos de notificación de incidentes y vías de escalada.

La formación se revisa y actualiza al menos anualmente y siempre que se produzcan desarrollos regulatorios o técnicos significativos. Los registros de finalización se mantienen y están disponibles para auditoría.

8. Coordinación con el RGPD

Nuestra Política de IA opera junto y en plena coordinación con nuestra Política de Protección de Datos (RGPD). Ambos marcos son complementarios:

— Los datos personales utilizados para entrenar u operar sistemas de IA se procesan únicamente sobre una base jurídica y sujetos a controles adecuados de minimización de datos, limitación de finalidad y retención.
— Se realizan Evaluaciones de Impacto en la Protección de Datos (EIPD) para los sistemas de IA que probablemente conlleven un alto riesgo para los derechos y libertades de las personas.
— Nuestro Delegado de Protección de Datos (DPD) participa en la revisión y aprobación de todas las iniciativas de IA de alto riesgo.
— Las solicitudes de acceso, borrado y otros derechos de los interesados se atienden dentro de los plazos legalmente exigidos.

Para cualquier pregunta sobre la intersección entre IA y datos personales, no dude en contactar con nuestro equipo.

9. Contacto

Para cualquier pregunta, duda o solicitud relacionada con nuestra política de IA, prácticas de gestión de riesgos o el ejercicio de sus derechos, contáctenos en:

info@certitrue.com

Nos comprometemos a responder todas las consultas en un plazo de 15 días hábiles.