La mayoría de las empresas que usan inteligencia artificial en la UE no la han desarrollado: la han comprado, contratado como servicio o integrado en una plataforma existente. Esto significa que, bajo el Reglamento (UE) 2024/1689, actúan como desplegadores (deployers) y no como proveedores. Documentar un sistema de IA de terceros por primera vez exige reunir información que en gran parte no está en manos de la empresa, sino del proveedor. Esta guía ordena ese proceso paso a paso.
¿Por qué el orden de la documentación importa?
No todos los datos tienen el mismo peso legal ni la misma disponibilidad. Empezar por el dato equivocado suele bloquear el resto del proceso: por ejemplo, es imposible determinar las obligaciones de supervisión humana (Art. 26) sin saber antes si el sistema es de alto riesgo (Art. 6). Por eso el orden lógico es: identificar el rol → obtener información del proveedor → clasificar el riesgo → documentar el uso interno → establecer los controles operativos.
Paso 1: ¿Qué rol tiene tu empresa frente a este sistema?
Antes de pedir un solo documento, hay que confirmar el rol según el Art. 3 del Reglamento. Si tu empresa usa un sistema de IA bajo su autoridad, sin modificarlo sustancialmente ni comercializarlo con su propia marca, es desplegador. Si personaliza el sistema hasta el punto de cambiar su finalidad prevista, podría convertirse en proveedor a efectos del Art. 25(1). Este primer paso condiciona todo lo demás, y ya lo explicamos con más detalle en la guía sobre quién debe documentar el uso de la IA.
Paso 2: ¿Qué información debe entregar el proveedor?
El Art. 13 obliga a los proveedores de sistemas de alto riesgo a acompañar el sistema de instrucciones de uso claras y accesibles. Como desplegador, debes solicitar activamente:
- La finalidad prevista (intended purpose) declarada por el proveedor.
- El nivel de precisión, robustez y ciberseguridad del sistema.
- Las limitaciones conocidas y los escenarios de uso no previstos.
- La declaración UE de conformidad, si el sistema está clasificado como alto riesgo.
- Información sobre los datos de entrenamiento, cuando esté disponible.
Si el proveedor no facilita esta documentación, es una señal de alerta: sin ella, tu empresa no puede cumplir sus propias obligaciones como desplegador.
Paso 3: ¿Cómo se clasifica el riesgo del sistema?
Con la información del proveedor en mano, el siguiente dato imprescindible es la clasificación de riesgo según el Art. 6 y el Anexo III. No basta con confiar en la etiqueta que use el proveedor: el desplegador debe verificar si el uso concreto que le da (por ejemplo, en selección de personal, evaluación crediticia o educación) encaja en alguna categoría de alto riesgo. Este paso conviene hacerlo siguiendo un método replicable, como el que describimos en el tutorial para clasificar el riesgo de un sistema de IA.
Paso 4: ¿Qué datos internos hay que añadir?
Una vez fijado el rol y el nivel de riesgo, toca documentar el uso real dentro de la organización:
Finalidad concreta de uso
Qué proceso de negocio soporta el sistema y qué decisiones influye o automatiza.
Supervisión humana
Quién revisa las salidas del sistema, con qué frecuencia y con qué capacidad real de corregir o anular una decisión (Art. 26.2 y 26.3).
Registro de actividad
Si el sistema genera logs automáticamente y está bajo tu control, el Art. 26.6 exige conservarlos al menos seis meses, salvo que otra norma establezca un plazo distinto.
Información a las personas afectadas
Si el sistema interactúa con personas físicas o genera contenido, el Art. 50 impone obligaciones de transparencia que deben quedar reflejadas en la documentación interna.
Paso 5: ¿Cómo se organiza todo el expediente?
Una vez reunidos estos bloques —rol, documentación del proveedor, clasificación, uso interno y controles—, conviene volcarlos en un formato único y auditable en lugar de dejarlos dispersos en correos y contratos. Para eso resulta útil apoyarse en una metodología estructurada, como el AI Context Brief de AICONTEXT, que organiza la autoevaluación en secciones ordenadas y facilita mantener el expediente actualizado a medida que cambian el proveedor, la versión del sistema o su uso interno.
¿Qué pasa si el sistema cambia con el tiempo?
La documentación no es un ejercicio de una sola vez. Un cambio de versión del proveedor, una ampliación del uso previsto o una actualización del modelo pueden alterar la clasificación de riesgo o las obligaciones aplicables. Por eso el expediente debe revisarse periódicamente y no archivarse tras la primera entrega. Mantener este proceso vivo, con formación adecuada del personal que opera el sistema conforme al Art. 4, es lo que distingue una documentación real de un trámite hecho una única vez y olvidado.
Texto IAGenerado con IA y revisado por un editor. Art. 50 Reglamento (UE) 2024/1689.
