Documentación de inteligencia artificial en empresas

Una empresa que utiliza inteligencia artificial debe conservar documentación suficiente para demostrar qué sistemas emplea, con qué finalidad, qué datos trata, qué riesgos ha identificado y qué controles aplica. El expediente debe incluir el inventario de herramientas, la clasificación de riesgos, los contratos con proveedores, las evaluaciones de impacto, las instrucciones de uso, las pruebas realizadas, los registros de supervisión humana y las incidencias detectadas. La documentación concreta dependerá del sistema, del uso previsto, del sector, del papel de la empresa y del nivel de riesgo.

La implantación de inteligencia artificial no termina cuando la herramienta comienza a funcionar. Desde ese momento, la empresa debe poder acreditar que conoce el sistema, ha evaluado sus riesgos y mantiene controles adecuados durante todo su ciclo de vida.

No todas las organizaciones están obligadas a conservar los mismos documentos. Un asistente utilizado para preparar borradores internos no requiere necesariamente el mismo expediente que un sistema empleado para seleccionar candidatos, evaluar clientes, prestar servicios sanitarios o automatizar decisiones con efectos relevantes.

Sin embargo, cualquier empresa que utilice IA necesita un nivel mínimo de trazabilidad. Si no puede demostrar qué herramienta utilizó, con qué datos, bajo qué condiciones y quién supervisó el resultado, su posición será mucho más débil ante una auditoría, una reclamación o un requerimiento administrativo.

La documentación permite demostrar que la IA está bajo control

La documentación no debe entenderse como una acumulación de archivos desconectados. Su función es permitir que la empresa responda de forma ordenada a preguntas esenciales:

• ¿Qué sistemas de inteligencia artificial utiliza?
• ¿Para qué los utiliza?
• ¿Quién es responsable de cada herramienta?
• ¿Qué datos acceden al sistema?
• ¿Qué riesgos legales y operativos existen?
• ¿Qué proveedor interviene?
• ¿Qué controles se han implantado?
• ¿Cómo se supervisan los resultados?
• ¿Qué ocurrió cuando el sistema falló?

El Reglamento Europeo de Inteligencia Artificial adopta un enfoque basado en el riesgo y establece obligaciones diferentes para proveedores, responsables del despliegue y otros operadores. Por su parte, el RGPD exige responsabilidad proactiva cuando se tratan datos personales. En ambos casos, no basta con afirmar que existen controles: es necesario poder acreditarlos.

El inventario de sistemas de IA debe ser el documento de partida

El primer documento que debería conservar cualquier empresa es un inventario actualizado de las herramientas de IA que utiliza.

Este inventario debe incluir tanto las soluciones oficialmente contratadas como las integraciones incorporadas en programas que la empresa ya utiliza. También debería detectar herramientas empleadas por trabajadores sin autorización formal, fenómeno conocido como Shadow AI.

Para cada sistema conviene registrar:

• nombre de la herramienta;
• proveedor;
• versión o modalidad contratada;
• departamento que la utiliza;
• finalidad empresarial;
• responsable interno;
• usuarios autorizados;
• datos tratados;
• sistemas con los que se integra;
• nivel de riesgo estimado;
• fecha de aprobación;
• última revisión efectuada.

El inventario debe mantenerse vivo. No sirve elaborarlo una vez y conservarlo sin actualizar mientras aparecen nuevas herramientas, funcionalidades o integraciones.

Cada sistema necesita una ficha jurídica y operativa propia

Además del inventario general, conviene crear una ficha individual para cada sistema de IA relevante.

Esta ficha permite comprender cómo funciona la herramienta dentro de la organización y no únicamente qué promete el proveedor.

Debería recoger:

• descripción del caso de uso;
• objetivo empresarial;
• entradas y resultados esperados;
• personas afectadas;
• grado de autonomía;
• decisiones en las que interviene;
• limitaciones conocidas;
• usos prohibidos;
• necesidad de revisión humana;
• medidas de seguridad;
• responsable de aprobar cambios;
• procedimiento de retirada o suspensión.

La misma herramienta puede presentar riesgos distintos según el uso. Una aplicación generativa utilizada para crear ideas de marketing no debe documentarse igual que esa misma herramienta conectada al CRM y autorizada para redactar comunicaciones personalizadas con datos de clientes.

La clasificación jurídica debe quedar razonada por escrito

La empresa debería conservar un documento que explique cómo ha clasificado cada sistema conforme al AI Act.

No basta con incluir una etiqueta como “bajo riesgo” o “alto riesgo”. Debe constar por qué se ha alcanzado esa conclusión.

El análisis debería considerar:

• finalidad prevista;
• sector;
• personas afectadas;
• impacto sobre derechos;
• grado de autonomía;
• tipo de decisiones;
• papel de la empresa;
• posibles obligaciones de transparencia;
• existencia de un supuesto de alto riesgo;
• posibilidad de que el sistema quede sujeto a una prohibición.

Esta justificación es especialmente importante porque el AI Act no impone las mismas obligaciones a todas las empresas. El régimen aplicable dependerá del tipo de sistema, del uso previsto y de si la organización actúa como proveedora, responsable del despliegue, importadora o distribuidora.

El expediente debe reflejar los riesgos identificados y las medidas adoptadas

La documentación de IA debe incorporar una evaluación de riesgos jurídicos, técnicos y organizativos.

No siempre será necesario elaborar un informe extenso, pero sí dejar constancia de los principales riesgos del caso de uso.

Entre ellos pueden encontrarse:

• tratamiento indebido de datos personales;
• exposición de información confidencial;
• decisiones discriminatorias;
• respuestas incorrectas o inventadas;
• falta de supervisión humana;
• vulneración de propiedad intelectual;
• publicidad engañosa;
• errores en procesos automatizados;
• dependencia del proveedor;
• accesos no autorizados;
• falta de trazabilidad.

Cada riesgo debería estar vinculado a una medida concreta. Por ejemplo, si existe riesgo de introducir información confidencial en una herramienta externa, la medida puede consistir en prohibir determinados datos, utilizar una versión empresarial, aplicar seudonimización y formar a los empleados.

Un mapa de riesgos sin controles, responsables y fechas de revisión tiene una utilidad muy limitada.

La documentación de protección de datos debe estar conectada con el sistema de IA

Cuando la herramienta trata datos personales, el expediente de IA debe coordinarse con la documentación exigida por el RGPD.

Dependiendo del caso, será necesario conservar:

• registro de actividades de tratamiento;
• análisis de la base jurídica;
• cláusulas informativas;
• evaluación de impacto en protección de datos;
• análisis de necesidad y proporcionalidad;
• contratos de encargo de tratamiento;
• relación de subencargados;
• documentación sobre transferencias internacionales;
• medidas técnicas y organizativas;
• plazos de conservación;
• procedimiento para atender derechos;
• registro de incidentes y brechas.

No todas las pymes están exentas de llevar registros de tratamiento. La excepción es limitada y no opera cuando el tratamiento es habitual, implica riesgo para los derechos de las personas o incluye categorías especiales de datos.

La documentación debe reflejar también si se conservan prompts, conversaciones, resultados o historiales y durante cuánto tiempo.

Los contratos con proveedores forman parte del expediente de cumplimiento

La documentación empresarial sobre IA no puede limitarse a informes internos. Debe incluir los contratos y condiciones que regulan la relación con los proveedores.

Conviene conservar de forma organizada:

• contrato principal;
• DPA o acuerdo de encargo de tratamiento;
• anexos de seguridad;
• condiciones de uso;
• lista de subencargados;
• documentación de transferencias internacionales;
• compromisos de confidencialidad;
• cláusulas sobre entrenamiento con datos del cliente;
• licencias sobre prompts y resultados;
• acuerdos de nivel de servicio;
• régimen de responsabilidad;
• derechos de auditoría;
• condiciones de portabilidad;
• procedimiento de devolución o supresión de datos.

También debe archivarse la versión de las condiciones aceptadas en el momento de la contratación. Los proveedores pueden modificar sus términos, por lo que depender únicamente de una página web puede dificultar posteriormente acreditar qué condiciones estaban vigentes.

Deben conservarse las instrucciones entregadas a empleados y usuarios

Una empresa no puede demostrar un uso responsable de la IA si no ha explicado internamente cómo debe utilizarse.

Por ello, conviene conservar:

• política interna de uso de IA;
• protocolos específicos por departamento;
• listado de herramientas autorizadas;
• instrucciones sobre datos prohibidos;
• reglas para revisar resultados;
• criterios de escalado;
• procedimientos de aprobación;
• materiales de formación;
• registros de asistencia;
• comunicaciones internas relevantes.

La formación también forma parte de la evidencia de cumplimiento. No basta con publicar una política en la intranet si los empleados desconocen su contenido o no saben cómo aplicarla.

La supervisión humana debe poder demostrarse

En determinados sistemas, especialmente cuando influyen en decisiones relevantes, la empresa debe conservar evidencias de la intervención humana.

Estas evidencias pueden incluir:

• identidad o función de la persona revisora;
• fecha de la revisión;
• resultado generado por el sistema;
• correcciones efectuadas;
• motivos para aceptar o rechazar la recomendación;
• incidencias detectadas;
• decisión final adoptada.

La documentación no debe ser desproporcionada. No es necesario registrar cada uso interno de bajo impacto. Sin embargo, cuanto mayor sea el efecto de la IA sobre trabajadores, clientes o terceros, más importante será demostrar que la revisión humana fue real y no meramente formal.

Las pruebas del sistema deben quedar archivadas

Antes de desplegar una solución y durante su utilización, la empresa debería conservar los resultados de las pruebas realizadas.

Según el caso de uso, pueden incluir:

• pruebas de precisión;
• análisis de errores;
• evaluación de sesgos;
• pruebas de robustez;
• validación de respuestas;
• control de alucinaciones;
• comprobaciones de seguridad;
• ensayos con distintos grupos de usuarios;
• pruebas de rendimiento;
• validaciones posteriores a una actualización.

No todas las herramientas requieren el mismo nivel de evaluación. Las pruebas deben ser proporcionales al impacto del sistema y a las consecuencias que tendría un error.

También debe conservarse información sobre la versión del modelo, la fecha de la prueba, la metodología aplicada y las medidas adoptadas cuando se detectaron deficiencias.

Los registros técnicos deben permitir reconstruir lo ocurrido

La trazabilidad es una de las piezas más importantes de la documentación de IA.

La empresa debe valorar qué registros necesita conservar para reconstruir una actuación concreta sin acumular información de forma indiscriminada.

Entre los elementos relevantes pueden encontrarse:

• versión del modelo;
• fecha y hora de ejecución;
• usuario o sistema que inició la acción;
• fuente de los datos;
• parámetros relevantes;
• resultado generado;
• intervención humana;
• modificaciones posteriores;
• incidencias;
• acciones correctoras.

En los sistemas de alto riesgo, el AI Act prevé obligaciones específicas sobre registros, documentación y conservación. La intensidad de estas obligaciones dependerá del papel de la empresa y del sistema concreto, por lo que no debe aplicarse un plazo uniforme a todas las herramientas.

No todos los prompts y resultados deben guardarse

Conservar toda interacción con una herramienta generativa puede parecer la forma más sencilla de garantizar trazabilidad, pero también puede generar nuevos riesgos.

Los prompts y resultados pueden contener:

• datos personales;
• secretos empresariales;
• comunicaciones internas;
• información de clientes;
• documentación protegida;
• datos incorrectos o desactualizados.

Por eso, la empresa debe definir una política específica de conservación.

Puede ser suficiente registrar determinados metadatos, ejemplos representativos, versiones o decisiones relevantes, sin almacenar íntegramente todas las conversaciones.

La conservación debe ser proporcional, segura y coherente con la finalidad del tratamiento.

La empresa necesita una matriz de plazos de conservación

No existe un único plazo aplicable a toda la documentación relacionada con inteligencia artificial.

Los tiempos dependerán de:

• tipo de sistema;
• nivel de riesgo;
• posición de la empresa;
• datos personales tratados;
• obligaciones contractuales;
• normativa sectorial;
• posibles reclamaciones;
• finalidad del registro.

La solución más segura consiste en elaborar una matriz de conservación que determine:

• qué documento se conserva;
• por qué se conserva;
• durante cuánto tiempo;
• quién es responsable;
• dónde se almacena;
• cómo se elimina;
• qué excepciones pueden ampliar el plazo.

Esta matriz debe coordinarse con las políticas generales de protección de datos, archivo, seguridad y gestión documental.

La documentación debe actualizarse cuando cambia el sistema

Un expediente correcto puede quedar desactualizado en poco tiempo.

Debe revisarse cuando:

• cambia la finalidad;
• se incorpora una nueva fuente de datos;
• aumenta la autonomía;
• se conecta con otro sistema;
• cambia el proveedor;
• aparece una nueva versión;
• se modifica el contrato;
• se detecta un incidente;
• se automatiza una nueva decisión;
• cambia la clasificación de riesgo.

La revisión periódica también permite comprobar si los controles siguen funcionando o se han convertido en formalidades sin aplicación real.

Errores frecuentes al documentar el uso de IA

Uno de los errores más habituales consiste en guardar únicamente el contrato del proveedor y asumir que toda la responsabilidad documental le corresponde.

También es frecuente conservar informes iniciales sin actualizarlos después de modificar el sistema, incorporar nuevos datos o ampliar las funciones de la herramienta.

Otros errores comunes son:

• utilizar plantillas genéricas que no reflejan el uso real;
• no identificar responsables internos;
• conservar todos los datos sin definir plazos;
• eliminar registros necesarios demasiado pronto;
• no documentar la supervisión humana;
• no registrar cambios de versión;
• separar por completo el expediente de IA del RGPD;
• no incluir herramientas usadas de forma informal;
• carecer de evidencias sobre formación.

La documentación debe representar cómo funciona realmente la IA dentro de la organización.

Cómo puede ayudarte RZS Abogados

En RZS Abogados ayudamos a las empresas a construir y mantener un expediente jurídico de inteligencia artificial adaptado a sus sistemas, procesos y nivel de riesgo.

Nuestro asesoramiento puede incluir:

• inventario de herramientas y casos de uso;
• clasificación conforme al AI Act;
• elaboración de fichas de sistema;
• mapas de riesgos legales;
• revisión de protección de datos;
• evaluaciones de impacto;
• revisión de contratos y DPA;
• políticas internas;
• protocolos de supervisión;
• matrices de conservación;
• preparación documental para auditorías e inspecciones.

El objetivo no es generar documentación innecesaria, sino disponer de evidencias útiles, coherentes y proporcionadas que permitan demostrar que la inteligencia artificial está correctamente gestionada.

La documentación es una parte esencial de la gobernanza de inteligencia artificial. Permite conocer qué sistemas utiliza la empresa, justificar las decisiones adoptadas, detectar riesgos y responder con mayor seguridad ante clientes, auditores o autoridades.

No todas las empresas deben conservar los mismos documentos ni durante los mismos plazos. La obligación dependerá del tipo de sistema, de su finalidad, de los datos utilizados, del sector y del papel que desempeñe la organización.

Lo importante es que la documentación sea real, esté actualizada y permita reconstruir cómo se ha diseñado, contratado, implantado y supervisado cada sistema de IA.

Preguntas frecuentes

¿Es obligatorio documentar todos los sistemas de IA?

No todos requieren el mismo nivel de documentación. La profundidad dependerá del riesgo, del caso de uso, de los datos tratados y del papel de la empresa. No obstante, resulta recomendable conservar al menos un inventario y una ficha básica de cada herramienta.

¿Qué documentación exige el AI Act a una empresa usuaria de IA?

Dependerá de si la empresa actúa como responsable del despliegue y de si el sistema es de alto riesgo o está sometido a obligaciones de transparencia. En determinados casos deberá conservar instrucciones, registros, controles de supervisión y evidencias del uso conforme a la normativa.

¿Cuánto tiempo deben conservarse los registros de IA?

No existe un plazo único para todos los sistemas. Debe analizarse la normativa aplicable, la finalidad, el nivel de riesgo, los contratos, los datos tratados y la posible existencia de reclamaciones.

¿Es suficiente la documentación aportada por el proveedor?

No. La documentación del proveedor debe completarse con el análisis del uso concreto que realiza la empresa, sus riesgos internos, las integraciones, los datos empleados y los controles aplicados.

¿Quién debe mantener actualizado el expediente de IA?

La empresa debe designar responsables. Habitualmente intervienen legal, compliance, protección de datos, tecnología, seguridad y el departamento propietario del caso de uso.

¿Qué debe incluir una ficha de sistema de inteligencia artificial?

Debe recoger la finalidad, el proveedor, los datos tratados, las personas afectadas, las funciones del sistema, su clasificación de riesgo, las limitaciones, los controles de seguridad, la supervisión humana y los responsables internos. También conviene registrar las versiones y cambios relevantes.