El software de gobernanza de IA ayuda a las organizaciones a gestionar las políticas, los controles, la documentación, la clasificación de riesgos, los flujos de trabajo de revisión y la evidencia de auditoría necesarios para los sistemas de inteligencia artificial. La Plataforma Smart Integrity admite el inventario de sistemas de IA, la clasificación de riesgos, la gobernanza de modelos, los flujos de trabajo de auditoría, la revisión de documentación y el cumplimiento normativo de IA.

Una plataforma de cumplimiento de IA ayuda.

El software de auditoría de IA ayuda a las organizaciones a recopilar, organizar y revisar evidencias relacionadas con sistemas de IA. SIP apoya los flujos de trabajo de auditoría al vincular documentación fuente, información de modelos, cuestionarios de riesgos, pasos de revisión humana y registros de cumplimiento en una sola plataforma.

El software de inventario de IA ayuda a las organizaciones a crear y mantener una lista de sistemas de IA utilizados en toda la empresa. SIP apoya los flujos de trabajo de inventario de IA conectando la documentación existente, identificando los detalles del sistema y ayudando a los equipos a rastrear el propósito, la propiedad, el nivel de riesgo y el estado de la revisión.

Los sistemas de IA de alto riesgo deberán llevar la marca CE para indicar su conformidad con el presente Reglamento, de modo que puedan circular libremente en el mercado interior. Para los sistemas de IA de alto riesgo integrados en un producto, se deberá colocar una marca CE física, que podrá complementarse con una marca CE digital. Para los sistemas de IA de alto riesgo que solo se proporcionen digitalmente, se utilizará una marca CE digital. Los Estados miembros no deberán crear obstáculos injustificados a la comercialización o puesta en servicio de sistemas de IA de alto riesgo que cumplan los requisitos establecidos en el presente Reglamento y lleven la marca CE. Antes de empezar, deberá determinar si su IA es “de alto riesgo”. Categorías del Anexo III: Incluye IA para contratación (selección de currículos), evaluación crediticia, educación (calificación) o infraestructuras críticas. Productos del Anexo I: Si su IA es un componente de seguridad de un producto que ya requiere una marca CE (por ejemplo, dispositivos médicos o maquinaria), se considera automáticamente de alto riesgo.

Para superar la evaluación, su AI governance debe demostrar el cumplimiento en estas áreas:

1. Sistema de gestión de riesgos (Art. 9): Un proceso continuo para identificar y mitigar los riesgos.

2. Gobernanza de datos (Art. 10): Demostrar que sus datos de formación/pruebas son “pertinentes, representativos y libres de errores.”

3. Documentación técnica (Art. 11 y Anexo IV): Un archivo enorme (a menudo más de 200 páginas) que detalla la arquitectura, los algoritmos y el consumo de energía.

4. Supervisión humana (Art. 14): Diseñar la interfaz de usuario para que un humano pueda “parar” o anular la IA en cualquier momento.

La obtención de la nota depende del caso de uso específico de su IA: Control interno (autoevaluación): Para la mayoría de los sistemas del Anexo III (como las herramientas de RRHH o de crédito), puede realizar la evaluación usted mismo, siempre que siga las “Normas Armonizadas” (como la ISO 42001).

Evaluación por terceros (organismo notificado): Obligatorio para la identificación biométrica o si no sigue normas armonizadas. Debe contratar a un “organismo notificado” autorizado por la UE para que audite su tecnología.

Elaboración de la “Declaración de conformidad de la UE ”Una vez demostrado el cumplimiento, se firma un documento jurídico formal (la declaración de conformidad) en el que se afirma que el sistema cumple toda la Ley de IA y otras leyes pertinentes de la UE (como la Ley de Ciberresiliencia). Con esta firma asume toda la responsabilidad legal.

Colocación del marcado CE (art. 48) Productos digitales: Para SaaS, el marcado CE debe ser visible en la interfaz digital (por ejemplo, en la pantalla de inicio de sesión o en la sección “Acerca de”).

Productos físicos: Si está incrustado en el hardware, debe estar en el producto o en el embalaje.

Número de identificación: Si ha intervenido un organismo notificado, su número de identificación de 4 dígitos debe aparecer junto al logotipo CE.

Registro en la base de datos de la UE Antes de que la IA entre en funcionamiento, debe registrar al proveedor y el sistema en la base de datos oficial de la UE para sistemas de IA de alto riesgo.

1. 2 de agosto de 2026: Esta es la “fecha límite dura”. Después de esta fecha, cualquier nuevo sistema de IA de alto riesgo que se comercialice deberá llevar el marcado CE.

2. El cuello de botella del “organismo notificado”: Si necesita una auditoría de terceros, empiece ya. A principios de 2026, los tiempos de espera superarán los 12 meses debido a la escasez de auditores autorizados.

En un sentido jurídico, la AI governance en virtud de la Ley de IA es un sistema obligatorio de controles internos y responsabilidades diseñado para garantizar que la inteligencia artificial sea segura, transparente y conforme a las normas a lo largo de todo su ciclo de vida. La supervisión de la IA pasa de unas directrices éticas voluntarias a un marco vinculante de “seguridad del producto”, que exige a las organizaciones una gestión rigurosa de los riesgos, normas de calidad de los datos y supervisión humana. Para los sistemas de “alto riesgo”, esta gobernanza es el prerrequisito legal para obtener el marcado CE, lo que implica pistas de auditoría permanentes y documentación técnica para demostrar el cumplimiento de la normativa. En última instancia, sirve como “sistema operativo” operativo que conecta la responsabilidad corporativa con la transparencia técnica para evitar daños algorítmicos y sanciones financieras masivas.

La Ley de IA de la UE y el RGPD son marcos normativos complementarios: mientras que el RGPD protege la privacidad de los datos personales, la Ley de IA actúa como una normativa de seguridad de los productos para los propios sistemas. Ambos se solapan de manera significativa en ámbitos de alto riesgo, como la toma de decisiones automatizada, donde las empresas a menudo deben realizar tanto una evaluación de impacto sobre la protección de datos (DPIA) como una evaluación de impacto sobre los derechos fundamentales (FRIA). Es fundamental destacar que la Ley de IA incluye una “excepción” específica que permite el tratamiento de datos sensibles para detectar y corregir sesgos algorítmicos, lo cual, de otro modo, estaría restringido por el RGPD. El cumplimiento no es una cuestión de “o una cosa o la otra”: para evitar multas de hasta el 71 % del volumen de negocio en 2026, las organizaciones deben garantizar que su gobernanza de la IA cumpla simultáneamente con ambos marcos normativos.

Según la Ley de IA, los chatbots deben estar diseñados para informar inmediatamente a los usuarios de que están interactuando con una IA, garantizando la transparencia desde la primera interacción. Si el sistema genera texto sintético, imágenes o audio, este contenido debe estar marcado en un formato legible por máquina para que siga siendo detectable como producido por IA. Además, si su chatbot utiliza el reconocimiento de emociones para ajustar sus respuestas en función del estado de ánimo del usuario, esta capacidad específica debe revelarse claramente. El incumplimiento de estas normas de transparencia antes de la fecha límite de agosto de 2026 puede dar lugar a multas significativas de hasta 15 millones de euros o 3% de la facturación global.

La Ley de IA de la UE establece una estructura de multas escalonadas, en la que las infracciones más graves relacionadas con prácticas de IA prohibidas pueden alcanzar los 35 millones de euros o 7% de la facturación anual global. Por incumplimiento de las obligaciones de “alto riesgo” o de las normas de transparencia, las empresas se enfrentan a sanciones de hasta 15 millones de euros o 3% del volumen de negocios, mientras que facilitar información engañosa a los reguladores puede costar hasta 7,5 millones de euros. Para proteger la innovación, la ley aplica a las PYME y a las nuevas empresas el principio de “lo que sea menor”, garantizando que las multas sean proporcionales al tamaño de la empresa.

Las empresas de fuera de la UE se preguntan si se ven afectadas simplemente porque su producción es utilizada por alguien de dentro de la UE (la respuesta es casi siempre afirmativa).

Un inventario de sistemas de IA es un registro estructurado de sistemas de IA, modelos, casos de uso, propietarios, documentación, niveles de riesgo y estado de cumplimiento. Ayuda a las organizaciones a comprender dónde se utiliza la IA y qué sistemas pueden requerir una revisión, controles o documentación adicionales.

La clasificación de riesgos de IA es el proceso de categorizar los sistemas de IA por nivel de riesgo basándose en su propósito, caso de uso, impacto y requisitos reglamentarios. SIP admite flujos de trabajo de clasificación de riesgos de IA para sistemas de IA prohibidos, de alto riesgo, de riesgo limitado y de riesgo mínimo.

El software de cumplimiento de IA admite los flujos de trabajo de la Ley de IA de la UE al ayudar a los equipos a clasificar los sistemas de IA, documentar los controles de riesgo, gestionar la evidencia de supervisión humana, preparar la documentación técnica, organizar los registros de auditoría y revisar los requisitos de los sistemas de IA de alto riesgo.

Las herramientas de gobernanza de IA apoyan la gobernanza de modelos ayudando a los equipos a documentar el propósito del modelo, las fuentes de datos, los controles técnicos, las evaluaciones de riesgos, la propiedad, las aprobaciones, las necesidades de monitoreo y las decisiones de revisión. SIP conecta estos registros con flujos de trabajo de cumplimiento más amplios.

La gestión de riesgos de modelos para sistemas de IA significa identificar, evaluar, controlar y monitorear los riesgos que pueden surgir del diseño del modelo de IA, la calidad de los datos, la implementación, el sesgo, el rendimiento o el uso indebido. SIP apoya la gestión de riesgos de modelos a través de cuestionarios de riesgos, revisión de la documentación y flujos de trabajo de tareas.