Modelos de IA de proposito general: guia practica para equipos SaaS

Los modelos de IA de proposito general importan cuando una funcion de producto, un flujo interno o un proveedor depende de un modelo capaz de realizar muchas tareas en distintos contextos. La pregunta practica no es solo si el modelo es potente. Es si la empresa lo proporciona, lo integra en un sistema de IA, lo usa como proveedor downstream o depende de el para compromisos con clientes.

El AI Act situa estas obligaciones en el capitulo V. El articulo 53 exige a los proveedores documentacion tecnica, informacion para proveedores que integran el modelo, una politica de copyright y un resumen publico del contenido de entrenamiento. El articulo 55 anade obligaciones para modelos con riesgo sistemico, incluyendo evaluacion, mitigacion de riesgos, reporte de incidentes y ciberseguridad. El articulo 51 explica la clasificacion de riesgo sistemico.

Por que importa

La eleccion del modelo no es solo una decision de ingenieria. Afecta comportamiento del producto, documentacion para clientes, riesgo de proveedor, seguridad, privacidad, copyright, evidencia de auditoria y respuestas comerciales.

La primera tarea es aclarar roles. Un equipo que usa un modelo por API normalmente no es proveedor del modelo. Pero puede ser proveedor de un sistema de IA que integra el modelo, deployer, distribuidor en ciertos acuerdos o vendedor SaaS que debe responder preguntas sobre limites, seguridad, privacidad y cambios.

Mapeo de roles

Lista todos los modelos usados u ofrecidos: APIs alojadas, modelos open source, modelos fine-tuned, funciones de vendors, herramientas internas, copilots, asistentes de soporte y workflows configurables por clientes.

Para cada entrada, captura nombre, proveedor, version, hosting, caso de uso, owner, datos, exposicion a clientes, geografia, fine-tuning y si el modelo se ofrece directamente o dentro de una aplicacion mas estrecha.

Despues asigna una hipotesis de rol: proveedor del modelo, proveedor downstream de un sistema de IA, deployer, cliente de una funcion de vendor o plataforma que permite usos de IA por clientes.

Obligaciones base

Si la empresa proporciona un modelo de IA de proposito general, el articulo 53 es el punto de partida. La documentacion debe ayudar a autoridades y a integradores a entender capacidades, limitaciones y obligaciones.

Tambien exige politica de copyright y resumen publico del contenido de entrenamiento. Algunos modelos open source pueden quedar fuera de ciertas obligaciones documentales, pero no si son modelos con riesgo sistemico.

Aunque el equipo no entrene modelos, debe preguntar a vendors por documentacion tecnica, documentacion de integracion, copyright, resumen de entrenamiento, restricciones de uso, seguridad y avisos de cambio.

Riesgo sistemico

El articulo 51 considera riesgo sistemico cuando hay capacidades de alto impacto o decision de la Comision. Mas de 10^25 operaciones de coma flotante usadas en entrenamiento crea una presuncion de capacidades de alto impacto.

Para modelos con riesgo sistemico, el articulo 55 exige evaluacion, pruebas adversariales, gestion de riesgos sistemicos, reporte de incidentes graves y ciberseguridad. Los equipos SaaS downstream deben preguntar si el modelo esta clasificado asi y que evidencia esta disponible.

Evidencia minima

Un paquete practico incluye inventario de modelos, mapa de roles, caso de uso, proveedor, version, hosting, categorias de datos, exposicion a clientes, usos permitidos y prohibidos, documentacion del vendor, copyright, seguridad, privacidad, logs, monitoreo, oversight, cambios y fallback.

Si hay fine-tuning, agrega datos de entrenamiento, procedencia, base de privacidad, evaluacion, limitaciones, pruebas, aprobacion de release y rollback. Para funciones cliente, agrega documentacion de producto, trust center, respuestas aprobadas y runbooks de soporte.

FAQ

Para que sirve esta gobernanza?

Para saber que modelos usa la empresa, que rol tiene, que evidencia existe y que ocurre cuando cambia el modelo, el caso de uso o el contexto legal.

Cuando aplica a SaaS?

Cuando el equipo proporciona, integra, despliega, configura, fine-tunea o depende de un modelo de IA de proposito general.

Que documentar primero?

Inventario de modelos y mapa de roles, seguido de documentacion del proveedor, caso de uso, datos, clientes, seguridad, privacidad, copyright, limites, monitoreo y cambios.