Checklist de modelos de IA de proposito general para fundadores y compliance leads

Usa esta checklist cuando tu producto SaaS, flujos internos o proveedores dependan de un modelo capaz de realizar muchas tareas en distintos contextos. El objetivo no es convertir al equipo en un laboratorio de modelos. Es saber que modelos importan, que rol tiene la empresa, que evidencia existe y que debe pasar antes de un lanzamiento, review de cliente o auditoria.

El AI Act de la UE exige en el articulo 53 documentacion tecnica, informacion para downstream providers, politica de copyright y resumen publico de contenido de entrenamiento. El articulo 55 agrega obligaciones para modelos con riesgo sistemico. El articulo 51 explica la clasificacion de ese riesgo.

1. Inventaria el modelo

Registra nombre, proveedor, version, hosting, region, use case, owners, categorias de datos, tipos de output, exposicion a clientes, fine-tuning, uso interno o de producto y ubicacion de la documentacion del proveedor.

Condicion de aprobado: un reviewer puede entender que modelo se usa, quien lo posee, donde corre, que datos ve y por que importa.

2. Mapea el rol de la empresa

Define si la empresa es proveedor del modelo, downstream provider de un sistema de IA, deployer, distribuidor o cliente de una funcion de proveedor. Documenta quien controla el comportamiento, quien define el uso previsto, quien ve outputs y quien modifica el modelo.

Escala a legal si la empresa modifica materialmente un modelo, ofrece acceso a clientes o no puede explicar su rol.

3. Revisa evidencia estilo articulo 53

Pide documentacion tecnica, informacion de integracion, notas de capacidades y limites, politica de copyright, resumen de entrenamiento, evidencias de safety y security, avisos de update, datos, retention y contactos de compliance o security.

Condicion de aprobado: el equipo responde preguntas de compradores desde evidencia guardada, no desde memoria.

4. Evalua dependencia de riesgo sistemico

Pregunta si el proveedor clasifica el modelo como de riesgo sistemico, si notifico a la AI Office, que pruebas y evaluaciones existen, como se reportan incidentes graves y que cambios generan aviso al cliente.

Para SaaS downstream, el riesgo practico es dependencia: politicas, disponibilidad, limites o comportamiento del proveedor pueden afectar roadmap y compromisos.

5. Revisa datos y privacidad

Confirma que datos personales, datos de cliente, informacion confidencial, codigo o logs entran al modelo. Revisa retention, training, abuse monitoring, human review, region, access controls, deletion, derechos de interesados y necesidad de DPIA, transfer review o vendor risk review.

6. Define uso permitido y guardrails

Documenta caso de uso aprobado, usos prohibidos, human review, disclosure, correccion de outputs, escalacion, monitoring, limites para afirmaciones comerciales y triggers de nueva revision.

7. Prepara respuestas para clientes

Mantén respuestas aprobadas sobre proveedores, entrenamiento con datos de clientes, procesamiento, retention, subprocessors, human oversight, updates, incidentes y documentacion compartible.

8. Incluyelo en release management

Antes de lanzamiento o cambio de modelo, confirma inventario, rol, vendor evidence, privacy review, security review, disclosure, materiales de soporte, monitoring, rollback y reassessment triggers.

FAQ

Para que sirve esta checklist?

Convierte el uso de modelos en un workflow repetible: inventario, rol, evidencia, privacy, security, guardrails, respuestas a clientes y change management.

Cuando importa para SaaS?

Cuando el equipo construye, compra, integra, fine-tunea, despliega o depende de un modelo de IA de proposito general.

Que documentar primero?

Inventario y rol. Luego evidencia del proveedor, datos de privacy y security, reglas de uso, respuestas a clientes y triggers de release.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission AI Act Service Desk, Article 51.
• European Commission AI Act Service Desk, Article 53.
• European Commission AI Act Service Desk, Article 55.
• European Commission, Drawing-up a General-Purpose AI Code of Practice.