Cuando se aplica la clasificacion de sistemas de IA y que hacer despues

La clasificacion de sistemas de IA aplica cuando un equipo SaaS crea, compra, integra, vende o usa de forma material un sistema de IA en un producto o workflow operativo, y necesita decidir que ruta de gobernanza, analisis regulatorio, controles y evidencia corresponden. La pregunta util no es solo si hay IA, sino cual es el proposito, que datos usa, a quien afecta, que decisiones influye, donde se usa y que rol tiene la organizacion.

El AI Act de la UE usa una estructura basada en riesgo. Algunas practicas estan prohibidas, algunos sistemas pueden ser de alto riesgo, otros generan obligaciones de transparencia y muchos usos ordinarios pueden seguir siendo de menor riesgo. Para equipos SaaS, el paso siguiente es convertir ese analisis en un proceso repetible con responsables, disparadores, registros de decision y controles posteriores.

Cuando hay que clasificar

La clasificacion debe ocurrir cuando la IA entra en un workflow que puede afectar clientes, usuarios, empleados, candidatos, decisiones reguladas, compromisos contractuales o comportamiento del producto. Incluye nuevas funciones de IA para clientes, modelos de proveedores integrados, herramientas internas que apoyan decisiones, scoring, ranking, moderacion, recomendaciones o automatizaciones.

Tambien aplica cuando cambia un uso existente. Un resumidor de soporte revisado por agentes puede ser de bajo riesgo. Si el mismo modelo se conecta a decisiones de elegibilidad, revision de rendimiento, escalado de fraude o flujos de credito, necesita una revision mas profunda.

Que hacer primero

Empieza con un inventario de IA. Registra funciones de producto, herramientas de proveedores, workflows internos, integraciones de modelos, automatizaciones y procesos de apoyo a decisiones. Para cada elemento, documenta que hace, quien lo posee, si es interno o de proveedor, que datos procesa, quien queda afectado, como se usa el output, si hay revision humana, donde se usa y si toca un contexto sensible o regulado.

Despues usa un formulario corto de intake. Producto describe caso de uso, usuarios, datos, modelo, geografia, output y fecha prevista. Ingenieria agrega arquitectura y flujos de datos. Legal, compliance, privacidad y seguridad revisan la ruta cuando las respuestas muestran riesgo regulatorio u operativo.

Senales de revision mas profunda

Una revision mas profunda suele ser necesaria cuando la IA puede afectar derechos, oportunidades, seguridad, acceso o confianza. Bajo el AI Act, el analisis de alto riesgo puede ser relevante para ciertos productos regulados y para sistemas usados en areas del Anexo III, como empleo, gestion de trabajadores, educacion, servicios esenciales, justicia, migracion, procesos democraticos y algunos usos biometricos.

El nombre del modelo no basta. Un modelo usado para redactar notas internas no es lo mismo que un workflow que clasifica candidatos, puntua usuarios, evalua riesgo financiero o influye en el acceso a un servicio importante. El rol tambien importa: proveedor, deployer u otra posicion en la cadena de valor pueden tener obligaciones distintas.

Evidencia y controles

Documenta la razon en lenguaje claro. Una etiqueta como "no alto riesgo" no basta. Un registro util explica hechos revisados, rol asumido, fuentes consultadas, decision, revisor y disparadores para volver a evaluar.

Conecta la clasificacion con controles: gestion de riesgos, gobierno de datos, revision de proveedor, supervision humana, pruebas, logging, avisos de transparencia, documentacion para clientes, incidentes, monitoring y reevaluacion. Conserva inventario, intake, notas de datos, materiales del proveedor, decision, aprobacion, controles y proxima fecha de revision.

Errores comunes

Los errores mas frecuentes son clasificar solo por el nombre del modelo, tratar la IA de proveedores como un problema ajeno, esperar hasta el lanzamiento y no revisar decisiones cuando cambian datos, usuarios, mercados, automatizacion o uso del cliente.

FAQ

Cual es el proposito practico?

Decidir que ruta de gobernanza aplica a un caso de uso de IA y crear evidencia para esa decision.

Cuando aplica a equipos SaaS?

Cuando el equipo crea, compra, integra, vende o depende materialmente de un sistema de IA en producto u operaciones.

Que debe documentarse primero?

Proposito, datos, personas afectadas, impacto de decision, revision humana, proveedor, geografia, responsable, resultado, razon y controles activados.

Fuentes

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission guidance on high-risk AI systems.
• NIST Artificial Intelligence Risk Management Framework.