Cómo automatizar controles del AI Act
Automatizar significa que los datos correctos avanzan y las excepciones llegan al responsable con contexto suficiente.
1. Definir alcance y objeto
Identifica entidad, producto, operación o periodo y aplica estos controles: identidad y finalidad; rol; práctica prohibida; alto riesgo; transparencia; documentación; datos; supervisión humana; robustez; seguridad; registro; incidente y calendario. Registra fuente, fecha y propietario de la decisión.
2. Crear el expediente
Inicia desde un evento fiable —alta, pedido, lote, cambio, periodo o incidente— e importa identificadores existentes para evitar dobles maestros.
3. Solicitar y recibir
Divide sistema, modelo, versión, finalidad, rol, categoría de riesgo, datos, métricas, limitaciones, supervisión, logs, transparencia, incidente, proveedor y cambio por emisor. Permite respuestas simples, recuerda plazos y devuelve errores concretos sin obligar a cada tercero a aprender otro sistema.
4. Normalizar y comprobar
Estandariza unidades, fechas, referencias y versiones. Aplica reglas deterministas y umbrales de confianza; no completes datos regulatorios por semejanza.
5. Gestionar excepciones
Ante una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar, conserva original, regla incumplida, asignación, respuesta, nueva versión y aprobación. El silencio no equivale a conformidad.
6. Entregar y mantener
Genera inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones. Sincroniza el destino, controla cambios y reabre el expediente cuando cambia el objeto, la fuente o la norma.
Mapa operativo específico de AI Act
Para esta decisión sobre automatización paso a paso, el modelo debe relacionar sistema · proveedor · modelo · versión · finalidad · usuario · afectado · rol · riesgo · datos · métrica · humano · log · aviso · incidente · cambio · responsable · revisión. Los participantes reales son proveedor, deployer, importador, distribuidor, proveedor GPAI, propietario de negocio, DPO, seguridad, riesgo, usuario y persona afectada. La salida verificable es inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones.
Prueba de estrés antes de aprobar
Reproduce este escenario: una empresa usa un asistente documental, un sistema de selección y una función predictiva incorporada a su producto. Introduce deliberadamente la excepción “una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.