Software para inventario y evidencia del AI Act
El software adecuado conecta sistema, modelo, versión, finalidad, rol, categoría de riesgo, datos, métricas, limitaciones, supervisión, logs, transparencia, incidente, proveedor y cambio; no convierte un repositorio o formulario en cumplimiento automático.
Trabajo que debe coordinar
Participan proveedor, deployer, importador, distribuidor, proveedor GPAI, propietario de negocio, DPO, seguridad, riesgo, usuario y persona afectada. La herramienta debe asignar qué aporta cada uno, conservar contexto y evitar que una corrección quede separada del expediente.
Capacidades mínimas
Debe cubrir identidad y finalidad; rol; práctica prohibida; alto riesgo; transparencia; documentación; datos; supervisión humana; robustez; seguridad; registro; incidente y calendario. También necesita permisos, historial, versiones, alertas, búsquedas y exportación sin encerrar los datos.
Entradas y salidas
Entradas principales: sistema, modelo, versión, finalidad, rol, categoría de riesgo, datos, métricas, limitaciones, supervisión, logs, transparencia, incidente, proveedor y cambio. El resultado esperado no es “documentos subidos”, sino inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones.
Integraciones honestas
ERP, PLM, QMS, GIS, LIMS o portales oficiales pueden ser origen o destino. Exige distinguir conector desplegado, API configurable, exportación manual y función todavía no disponible.
Prueba de compra
Usa un caso anonimizado y fuerza esta excepción: una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar. Comprueba detección, asignación, corrección, aprobación, trazabilidad y salida.
Mapa operativo específico de AI Act
Para esta decisión sobre software y herramientas, el modelo debe relacionar sistema · proveedor · modelo · versión · finalidad · usuario · afectado · rol · riesgo · datos · métrica · humano · log · aviso · incidente · cambio · responsable · revisión. Los participantes reales son proveedor, deployer, importador, distribuidor, proveedor GPAI, propietario de negocio, DPO, seguridad, riesgo, usuario y persona afectada. La salida verificable es inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones.
Prueba de estrés antes de aprobar
Reproduce este escenario: una empresa usa un asistente documental, un sistema de selección y una función predictiva incorporada a su producto. Introduce deliberadamente la excepción “una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.