El Ómnibus Digital sobre IA de la Unión Europea ha ampliado los plazos para cumplir algunos de los requisitos más exigentes de la Ley de IA. Sin embargo, disponer de más tiempo no elimina los retos de gobernanza que las empresas deben abordar para adaptarse al marco regulatorio de la Unión Europea y garantizar un uso responsable de la inteligencia artificial.
Los requisitos para los sistemas de IA de alto riesgo utilizados en ámbitos como el empleo, la educación, las infraestructuras críticas y el acceso a servicios esenciales serán aplicables a partir del 2 de diciembre de 2027. Para los sistemas de alto riesgo integrados en productos regulados, como maquinaria y dispositivos médicos, la fecha se amplía hasta el 2 de agosto de 2028. Estos plazos forman parte del calendario regulatorio que las organizaciones deberán tener en cuenta para cumplir con las disposiciones de la Unión Europea.
«Valoro positivamente este tiempo adicional. Las empresas llevan tiempo preparándose para la Ley de IA, pero las normas técnicas, las directrices y los mecanismos de supervisión y aplicación han seguido evolucionando. Esta prórroga permite a las organizaciones avanzar en los preparativos necesarios para cumplir con la normativa, en lugar de apresurarse para llegar a una fecha límite para la que muchas aún no estaban preparadas», señala Francisco Molero, CEO de Confluent para España y Portugal.
Cuatro prioridades para reforzar la gobernanza de la IA
Uno de los principales retos para las empresas es poder explicar cómo se ha llegado a una decisión tomada con ayuda de la inteligencia artificial. Identificar el modelo que ha generado un resultado no basta para saber qué datos utilizó, si estaban actualizados o qué ocurrió después de emitir una recomendación. En el contexto normativo de la Unión Europea, disponer de esta información resulta fundamental para reforzar la transparencia y la rendición de cuentas.
Ante este desafío, Confluent identifica cuatro prioridades que las organizaciones pueden abordar para reforzar la gobernanza de sus sistemas de IA y avanzar en el cumplimiento de la normativa de la Unión Europea.
Prioridad 1. Identificar dónde se utiliza la IA
La inteligencia artificial no siempre se incorpora mediante herramientas específicas. También puede estar integrada en plataformas de selección de personal, sistemas de detección de fraude, servicios de atención al cliente o aplicaciones de terceros. Además, una actualización del proveedor puede introducir cambios relevantes sin que la empresa los identifique como un nuevo despliegue.
Por ello, el primer paso es elaborar un inventario que permita localizar estos sistemas y determinar en qué procesos influyen en las decisiones o generan recomendaciones. Esta identificación ayuda a las organizaciones a evaluar sus obligaciones y determinar qué requisitos establecidos por la Unión Europea pueden resultar aplicables a cada sistema.
Prioridad 2. Rastrear los datos que sustentan cada decisión
Saber qué resultado ha generado un sistema de IA no basta para explicar cómo ha llegado a él. Las empresas necesitan conocer qué información utilizó, si estaba actualizada en ese momento y qué factores influyeron en la decisión. Esta trazabilidad cobra especial importancia en ámbitos como la concesión de créditos, la evaluación de riesgos o la selección de personal, donde es fundamental poder reconstruir el proceso y justificar sus resultados.
La capacidad de documentar el origen y el recorrido de los datos permite, además, preparar evidencias que faciliten la evaluación del cumplimiento de las obligaciones regulatorias de la Unión Europea y la respuesta ante posibles auditorías o incidencias.
Prioridad 3. Supervisar los sistemas una vez que entran en producción
El control de la IA no termina con las pruebas previas a su puesta en marcha. Una vez desplegados, los sistemas pueden presentar desviaciones o comportamientos inesperados. Las empresas necesitan mecanismos de supervisión que permitan detectar estos cambios, registrar los eventos relevantes y analizar posibles incidentes.
En los sistemas de IA de alto riesgo, la Ley de IA de la Unión Europea contempla requisitos como el registro de actividad y la supervisión humana. Por ello, las organizaciones deben establecer procedimientos que permitan identificar problemas, reconstruir lo ocurrido y adoptar medidas correctivas cuando sea necesario.
Prioridad 4. Integrar la gobernanza de la IA en los controles existentes
Crear estructuras específicas para la gobernanza de la IA puede duplicar procesos y dificultar su coordinación con los controles que ya existen en materia de datos, seguridad, compras y riesgo operativo. Confluent apuesta por un enfoque integrado que conecte estas áreas y evite que la supervisión de la IA funcione de forma aislada.
Este planteamiento permite abordar las exigencias de la Unión Europea desde una perspectiva transversal, aprovechando los mecanismos de control existentes y facilitando la colaboración entre los equipos responsables de tecnología, seguridad, datos y cumplimiento normativo.
Estas medidas también ayudarán a las empresas a adaptarse a las futuras directrices y a los criterios de aplicación de la Unión Europea
Un ejemplo es Siemens, que utiliza una plataforma central de data streaming para conectar sus sistemas operativos y aplicaciones empresariales con sus almacenes de datos y plataformas de IA y aprendizaje automático. Así, sus equipos pueden acceder a los datos y gestionarlos de forma homogénea en una organización compleja.
Prepararse ahora para demostrar el cumplimiento
Con los estándares todavía en desarrollo y algunos aspectos de la aplicación de la Ley de IA pendientes de concretar, las empresas tienen margen para prepararse, pero deberán demostrar que sus sistemas funcionan conforme a los requisitos cuando lleguen las fechas límite. La evolución del marco regulatorio de la Unión Europea hace especialmente importante que las organizaciones no confundan la ampliación de los plazos con una reducción de las obligaciones.
Anticiparse implica identificar los sistemas utilizados, documentar los datos que intervienen en las decisiones, establecer mecanismos de supervisión y conservar evidencias que permitan acreditar el cumplimiento. Estas medidas también ayudarán a las empresas a adaptarse a las futuras directrices y a los criterios de aplicación que se concreten en el ámbito de la Unión Europea.
«Esas pruebas hay que empezar a construirlas ahora», concluye Francisco Molero, CEO de Confluent para España y Portugal.
