Obligaciones de los implementadores: Guia practica para equipos SaaS

Las obligaciones de los implementadores bajo el EU AI Act aplican cuando una organizacion utiliza un sistema de IA bajo su autoridad. Para un equipo SaaS, la pregunta no es solo si la IA fue desarrollada internamente o comprada a un proveedor. La pregunta operativa es quien controla el uso, si el sistema es de alto riesgo, que instrucciones deben seguirse, quien ejerce supervision humana y que evidencias existen sobre logs, monitorizacion e incidentes.

El articulo 26 exige que los implementadores de sistemas de IA de alto riesgo usen el sistema conforme a las instrucciones, asignen supervision humana competente, gestionen los datos de entrada cuando los controlen, monitoricen la operacion, conserven logs automaticos bajo su control y actuen ante riesgos o incidentes graves. En algunos casos tambien puede haber informacion a trabajadores, comprobaciones de registro, soporte para DPIA o una evaluacion de impacto en derechos fundamentales.

Cuando importa

Una empresa SaaS puede ser proveedor de una funcionalidad para clientes y, a la vez, implementador de una herramienta interna o de un sistema de proveedor. Ejemplos comunes incluyen soporte, recursos humanos, scoring de riesgo, fraude, flujos financieros, priorizacion de quejas o decisiones que afectan a usuarios o empleados.

La evaluacion debe hacerse por workflow. Un unico memo sobre "IA en la empresa" suele ocultar responsabilidades distintas. Tambien conviene separar las obligaciones de implementador de transparencia, privacidad, seguridad, vendor risk y documentacion para clientes.

Registro operativo

Cree un registro para cada workflow relevante. Incluya sistema, proveedor, proceso, finalidad, grupo de usuarios, personas afectadas, categorias de datos, geografia, estado de lanzamiento, instrucciones del proveedor y documentacion interna.

Despues documente rol y clasificacion: por que el equipo actua como implementador, si el caso es de alto riesgo, que parte del AI Act se activa y que dudas bloquean el lanzamiento. Cada obligacion debe convertirse en un control: como se siguen las instrucciones, quien revisa resultados, que datos de entrada estan permitidos, donde viven los logs, como se monitoriza y cuando se escala.

Checklist practico

• Nombrar sistema, proveedor, workflow, finalidad, usuarios y personas afectadas.
• Decidir si la empresa es implementador, proveedor o ambos.
• Revisar si el uso es de alto riesgo o si aplica otra ruta del AI Act.
• Convertir instrucciones del proveedor en SOPs, tickets, criterios de aceptacion y formacion.
• Asignar supervision humana con competencia, autoridad y soporte.
• Definir controles de datos de entrada cuando el equipo los controla.
• Aclarar logs, retencion, acceso y exportacion.
• Monitorizar errores, quejas, cambios de proveedor, uso indebido y patrones inesperados.
• Preparar ruta de incidente, suspension, contacto con proveedor y escalado regulatorio.
• Guardar evidencia con propietario, fecha, decision, aprobacion y proximo review.

Errores comunes

El primer error es asumir que el proveedor cubre todo. Sus documentos ayudan, pero el implementador controla el uso real. El segundo es guardar instrucciones sin convertirlas en pasos operativos. El tercero es asignar supervision humana a alguien sin tiempo, contexto o autoridad para pausar el sistema. El cuarto es pensar en logs solo cuando llega un incidente o una pregunta de cliente.

FAQ

Cual es el objetivo practico?

Demostrar que el equipo sigue instrucciones, asigna supervision competente, controla datos de entrada, conserva logs, monitoriza el uso, gestiona incidentes y reevalua el workflow cuando cambian los hechos.

Quien debe ser propietario?

Product u operaciones deben poseer los hechos del workflow, engineering la integracion y logs, security la evidencia de proveedor y monitorizacion, y legal/compliance la interpretacion y el estandar de evidencia.

Fuentes

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission AI Act Service Desk, Article 26: Obligations of deployers of high-risk AI systems.
• European Commission AI Act Service Desk, Article 27: Fundamental rights impact assessment for high-risk AI systems.
• European Commission AI Act Service Desk, Article 13: Transparency and provision of information to deployers.