Cuando se aplican las obligaciones del implementador y que hacer despues

Las obligaciones del implementador se aplican cuando una empresa usa un sistema de IA de alto riesgo bajo su propia autoridad. Para un equipo SaaS, la pregunta no es solo quien construyo el sistema. La pregunta es quien decide como se usa, configura, supervisa, monitoriza y documenta en el flujo real.

El siguiente paso es operativo: identificar el sistema de IA, confirmar si puede ser de alto riesgo, evaluar si la empresa actua como implementador, asignar un responsable, seguir las instrucciones de uso del proveedor, definir supervision humana, monitorizar el sistema, conservar registros relevantes y documentar la escalacion ante riesgos o incidentes.

Este trabajo encaja con AI governance expectations for SaaS vendors, internal AI-tool review, compliance owner models y el riesgo de depender de static compliance documents.

Cuando suele aparecer

El tema aparece cuando una empresa usa IA en procesos de producto, cliente, recursos humanos, finanzas, educacion, salud, servicios esenciales, sector publico o decisiones con impacto sobre personas. Una misma empresa puede ser proveedor en una funcion e implementador en otra.

Los disparadores habituales son herramientas de ranking de candidatos, gestion de trabajadores, evaluacion de credito o seguros, workflows educativos, biometria, infraestructura critica, decisiones sobre servicios esenciales o configuraciones que clientes pueden usar para decisiones sensibles.

Cuando puede no aplicar

No todo flujo SaaS con IA genera obligaciones del articulo 26. Un asistente de redaccion, un resumen interno de soporte, un helper de codigo o una busqueda de conocimiento pueden quedar fuera si no estan en un contexto de alto riesgo.

Eso no elimina otras tareas. El flujo puede requerir privacidad, seguridad, evaluacion de proveedor, transparencia, limites contractuales o inventario de IA. La clave es enrutar bien: la IA ordinaria necesita evidencia ligera; la IA potencialmente sensible necesita revision profunda.

Que debe controlar el implementador

El articulo 26 se centra en la operacion. El implementador debe usar el sistema conforme a las instrucciones, aplicar medidas tecnicas y organizativas adecuadas y asignar supervision humana a personas con competencia, formacion, autoridad y apoyo.

Cuando controla los datos de entrada, debe asegurarse de que sean pertinentes y suficientemente representativos para el proposito previsto. Tambien debe monitorizar la operacion segun las instrucciones. Si detecta riesgo o incidente grave, debe informar y, cuando proceda, suspender el uso.

Los registros importan. Si estan bajo su control, deben conservarse durante un periodo adecuado y al menos seis meses, salvo que otra norma exija algo diferente. En uso laboral de IA de alto riesgo, empleadores deben informar a representantes de trabajadores y trabajadores afectados antes de usar el sistema.

Que hacer primero

Crea una admision corta para despliegues de IA. Debe capturar sistema, proveedor, responsable, finalidad, recorrido de usuario, personas afectadas, geografia, datos, output, uso humano del output, posible alto riesgo, rol de la empresa y ubicacion de instrucciones del proveedor.

Despues usa tres carriles: IA ordinaria, uso incierto o sensible, y despliegue probablemente de alto riesgo. En el tercer carril, crea un registro de decision con rol, instrucciones, supervision humana, datos de entrada, monitorizacion, conservacion de logs, escalacion, informacion laboral y disparador de reevaluacion.

Errores comunes

El primer error es pensar que estas obligaciones solo corresponden a clientes. Los proveedores SaaS tambien usan IA internamente, configuran workflows para clientes o operan IA en servicios gestionados.

El segundo error es confiar en documentacion del vendor sin mapearla al uso real. Las instrucciones ayudan, pero no reemplazan la decision operativa, la supervision, los datos de entrada, el monitoreo ni la escalacion.

El tercer error es asignar supervision humana sin autoridad real. El revisor necesita formacion, acceso, tiempo, derecho de escalacion y una regla clara para detener el uso.

FAQ

Cual es el proposito practico?

Garantizar que un sistema de IA de alto riesgo se use responsablemente despues de estar disponible: con responsables, supervision, monitoreo, logs y escalacion.

Cuando aplica a equipos SaaS?

Cuando el equipo usa, configura u opera un sistema de IA de alto riesgo bajo su autoridad, ya sea internamente, para clientes o en workflows sensibles.

Que documentar primero?

Sistema, finalidad, responsable, analisis de rol, screening de alto riesgo, instrucciones del proveedor, supervision humana, datos de entrada, monitoreo, logs e incidentes.