Ejemplo de expediente de un sistema de IA
El escenario muestra el flujo y los controles sin presentarse como caso de cliente ni inventar métricas de ahorro.
Escenario
una empresa usa un asistente documental, un sistema de selección y una función predictiva incorporada a su producto. Intervienen proveedor, deployer, importador, distribuidor, proveedor GPAI, propietario de negocio, DPO, seguridad, riesgo, usuario y persona afectada. El equipo fija identificadores, alcance, fecha límite y responsable antes de pedir información.
Información reunida
El expediente solicita y relaciona sistema, modelo, versión, finalidad, rol, categoría de riesgo, datos, métricas, limitaciones, supervisión, logs, transparencia, incidente, proveedor y cambio. Cada respuesta conserva emisor, fecha, versión y objeto cubierto.
Control aplicado
Se revisan identidad y finalidad; rol; práctica prohibida; alto riesgo; transparencia; documentación; datos; supervisión humana; robustez; seguridad; registro; incidente y calendario. Los datos técnicamente válidos no se aceptan si pertenecen a otra versión, periodo, instalación, lote o servicio.
Excepción
Durante la revisión ocurre lo siguiente: una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar. El proceso bloquea solo la parte afectada y solicita la aclaración al actor capaz de resolverla.
Resolución
Se conserva la respuesta y el documento o dato corregido, se repiten los controles afectados y una persona competente aprueba o rechaza con motivo.
Resultado
El resultado es inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones. La auditoría puede reconstruir qué cambió, quién lo aportó, qué regla se aplicó y quién tomó la decisión.
Mapa operativo específico de AI Act
Para esta decisión sobre caso práctico, el modelo debe relacionar sistema · proveedor · modelo · versión · finalidad · usuario · afectado · rol · riesgo · datos · métrica · humano · log · aviso · incidente · cambio · responsable · revisión. Los participantes reales son proveedor, deployer, importador, distribuidor, proveedor GPAI, propietario de negocio, DPO, seguridad, riesgo, usuario y persona afectada. La salida verificable es inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones.
Prueba de estrés antes de aprobar
Reproduce este escenario: una empresa usa un asistente documental, un sistema de selección y una función predictiva incorporada a su producto. Introduce deliberadamente la excepción “una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.