Cuando aplican las practicas de IA prohibidas y que hacer despues

Las practicas de IA prohibidas aplican cuando un equipo SaaS crea, compra, integra, configura, vende o usa internamente un sistema de IA que podria entrar en el Article 5 del EU AI Act. La respuesta practica es ejecutar un filtro temprano, detener usos claramente inaceptables, redisenar flujos riesgosos y escalar casos inciertos antes de que el producto, contrato de proveedor o proceso interno sea dificil de cambiar.

Article 5 no prohibe toda IA. Cubre practicas concretas consideradas inaceptables: manipulacion danina, explotacion de vulnerabilidades, algunas formas de social scoring, ciertas evaluaciones de riesgo penal basadas solo en profiling o rasgos de personalidad, scraping no dirigido de imagenes faciales, reconocimiento de emociones en trabajo y educacion salvo razones medicas o de seguridad, categorizacion biometrica sensible e identificacion biometrica remota en tiempo real en espacios publicos para law enforcement con excepciones estrechas.

Cuando importa

Empieza por uso y contexto. El sistema influye en decisiones o comportamiento? Usa tecnicas ocultas, manipuladoras o enganosas? Explota edad, discapacidad o situacion social o economica? Evalua personas entre contextos? Infiere emociones, usa biometria, crea bases de reconocimiento facial o soporta empleo, educacion, credito, servicios esenciales, migracion, seguridad publica o identidad?

El nombre del modelo no basta. Importan proposito, datos, personas afectadas, salida y consecuencia.

Cuando puede no aplicar

Un resumidor de documentos, asistente de codigo, busqueda interna o generador de borradores para soporte puede quedar fuera de Article 5 si no manipula personas, no explota vulnerabilidades, no infiere rasgos sensibles y no usa funciones biometricas o de emocion prohibidas. Aun asi puede requerir clasificacion de IA, privacy review, security review, vendor review o analisis de alto riesgo.

Primer paso operativo

Anade un intake donde la IA entra en el negocio: discovery de producto, seleccion de modelos, onboarding de proveedores, privacy review, security review, configuracion de cliente y aprobacion de herramientas internas. Registra sistema, owner, finalidad, personas afectadas, rol bajo el AI Act, proveedor o modelo, datos, geografia y opciones de configuracion.

Usa tres rutas: avanzar cuando no hay red flags, detener y redisenar cuando hay un red flag claro, y escalar cuando el caso es incierto. La escalacion debe ir a un revisor nombrado, con plazo y evidencia suficiente.

Evidencia y ownership

Conserva respuestas del intake, descripcion de producto o proveedor, data flow, configuracion, analisis de personas afectadas, conclusion, razonamiento, revisor, fecha, restricciones y trigger de nueva revision. Para proveedores, guarda documentacion de IA, compromisos contractuales y respuestas sobre biometria, emociones, profiling, fuentes de imagenes faciales y configuracion de cliente.

Producto aporta finalidad y journey. Engineering aporta arquitectura e integracion. Security revisa proveedor y acceso. Legal o compliance interpreta Article 5 y estandar de evidencia. Un owner de AI governance mantiene el intake y el launch gate.

Conecta este filtro con las expectativas de AI governance para proveedores SaaS, el modelo de owner de compliance, la revision de herramientas internas de IA y el analisis del EU AI Act para proveedores SaaS.

FAQ

Cual es el proposito practico?

Identificar usos de IA que deben bloquearse, redisenarse o escalarse antes de llegar a producto, proveedor, configuracion de cliente o proceso interno.

Cuando aplica a equipos SaaS?

Cuando el equipo crea, compra, integra, vende, configura o usa IA que puede tocar categorias de Article 5.

Que documentar primero?

Intake, ruta de decision, revisor nombrado, reglas de bloqueo de release y paquete minimo de evidencia conectado con producto, proveedor, privacy, security y customer trust.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission guidelines on prohibited artificial intelligence practices.
• European Commission note on the first AI Act rules becoming applicable.