UD7 · Gobernanza, trazabilidad y cumplimiento normativo

Objetivos de la unidad

Al finalizar esta unidad el alumno sera capaz de:

• Clasificar un sistema de IA por nivel de riesgo segun el Reglamento de IA de la UE (2024/1689)
• Configurar el registro automatico de eventos (logging) con los campos requeridos por normativa
• Implementar mecanismos de supervision humana efectivos
• Elaborar la documentacion de transparencia exigida para sistemas de alto riesgo
• Gestionar la gobernanza de datos (representatividad, derechos RGPD, trazabilidad del origen)
• Establecer un sistema de conservacion de evidencias conforme a los periodos reglamentarios

Resultado de aprendizaje: Implementa el Plan de gobernanza, trazabilidad y cumplimiento normativo del sistema de IA.

El Reglamento de IA de la UE (2024/1689): vision general

Estructura del Reglamento IA de la UE

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo establece un marco armonizado para la IA en la Union Europea. Es el primer reglamento de IA de ambito general del mundo y es de aplicacion directa en todos los Estados miembros.

Clasificacion por nivel de riesgo

Los cuatro niveles de riesgo del Reglamento IA

Determinacion del nivel de riesgo: proceso practico

Como clasificar un sistema de IA

¿El sistema esta en el Anexo I (practicas prohibidas)?
        │
        ├─ Si ──► PROHIBIDO (no desplegar)
        │
        └─ No
              │
              ¿El sistema esta en el Anexo III (alto riesgo) o
              es un componente de seguridad de un producto del Anexo II?
                      │
                      ├─ Si ──► ALTO RIESGO (aplicar todos los requisitos)
                      │
                      └─ No
                              │
                              ¿El sistema interactua con personas
                              o genera contenido sintetico?
                                      │
                                      ├─ Si ──► RIESGO LIMITADO (transparencia)
                                      │
                                      └─ No ──► RIESGO MINIMO

Requisitos para sistemas de alto riesgo

Los ocho requisitos del Reglamento IA para sistemas de alto riesgo

Registro automatico de eventos (logging)

Que debe registrar un sistema de IA de alto riesgo

El articulo 12 del Reglamento IA exige que los sistemas de alto riesgo tengan capacidades de registro automatico que permitan la trazabilidad post-hoc.

Implementacion del logging normativo

Estructura de un log de evento conforme al Reglamento IA

{
  "evento_id": "evt-2025-04-15-a1b2c3d4",
  "timestamp": "2025-04-15T11:32:00.123+02:00",
  "modelo": {
    "nombre": "clasificador-credito-v2.3.1",
    "version_artefacto": "sha256:a1b2c3...",
    "version_features": "features-credito-v7"
  },
  "entrada": {
    "hash_datos": "sha256:f9e8d7...",
    "tipo": "solicitud_credito",
    "cliente_id_hashed": "sha256:b3c4d5..."
  },
  "salida": {
    "decision": "aprobado",
    "confianza": 0.87,
    "motivo_codigo": "SCORE_SUFICIENTE"
  },
  "intervencion_humana": null,
  "incidencia": null
}

Supervision humana: diseno e implementacion

Tres niveles de supervision humana

Interfaz de supervision humana: requisitos

class SupervisionHumana:
    def validar_decision(self, decision, justificacion) -> bool:
        """El operador confirma o rechaza la decision del modelo."""
        pass

    def anular_decision(self, evento_id, decision_alternativa, motivo):
        """El operador sustituye la decision del modelo."""
        self.registrar_intervencion(evento_id, decision_alternativa, motivo)

    def parada_segura(self, motivo):
        """Detiene el sistema de forma controlada."""
        self.estado = "detenido"
        self.notificar_responsables(motivo)

Documentacion de transparencia

Contenido de la documentacion tecnica para sistemas de alto riesgo

La documentacion tecnica debe elaborarse antes del despliegue y mantenerse actualizada durante todo el ciclo de vida del sistema.

Gobernanza de datos: representatividad y origen

Requisitos de gobernanza de datos para IA

El articulo 10 del Reglamento IA exige practicas de gobernanza de datos que garanticen la calidad y adecuacion de los datos de entrenamiento.

# Verificar la representatividad demografica del conjunto de entrenamiento
import pandas as pd

df_train = pd.read_parquet("datos_entrenamiento.parquet")
distribucion_genero = df_train['genero'].value_counts(normalize=True)
distribucion_edad   = pd.cut(df_train['edad'], bins=[18, 30, 45, 60, 99]).value_counts(normalize=True)
print("Distribucion de genero:", distribucion_genero)
print("Distribucion de edad:", distribucion_edad)

Derechos de los interesados (RGPD)

Derechos aplicables cuando el sistema de IA usa datos personales

El sistema de IA debe implementar mecanismos para responder a los derechos de los interesados establecidos por el RGPD (Reglamento General de Proteccion de Datos, 2016/679):

Conservacion de evidencias

Periodos de conservacion de evidencias del ciclo de vida del modelo

Almacenamiento inmutable: los logs no pueden modificarse una vez escritos. En AWS: S3 Object Lock en modo COMPLIANCE. En Azure: Blob Storage con WORM policy.

Actividad practica: plan de gobernanza para un sistema de IA

Escenario

Una empresa de seguros quiere desplegar un sistema de IA que asiste en la evaluacion de solicitudes de seguro de vida. El sistema analiza datos sociodemograficos, historico de salud y habitos declarados para recomendar una prima.

Tarea

1. Clasificar el sistema por nivel de riesgo segun el Reglamento IA (justificar con articulos concretos)
2. Identificar los 8 requisitos de alto riesgo aplicables y describir como se implementaria cada uno
3. Disenar el esquema de logging con todos los campos obligatorios para este caso de uso
4. Identificar los derechos RGPD aplicables y describir como los gestiona el sistema
5. Definir la politica de conservacion de evidencias con periodos y soportes

Entregable

Plan de gobernanza en formato tabla con justificaciones normativas.

Puntos clave de la UD7

• El Reglamento IA UE 2024/1689 es derecho positivo, no una recomendacion: el incumplimiento acarrea sanciones de hasta 35 M EUR o el 7 % del volumen de negocio mundial
• La clasificacion por nivel de riesgo es el primer paso obligatorio: determina que requisitos aplican y cuales son las obligaciones del proveedor e implantador
• El logging no es opcional para sistemas de alto riesgo: cada evento debe registrar version del modelo, entrada, salida, timestamp e intervenciones humanas
• La supervision humana debe ser real y efectiva, no un boton de emergencia que nadie usa: los operadores deben tener formacion y tiempo suficiente para revisar las decisiones del modelo
• El RGPD y el Reglamento IA son complementarios: el primero protege los datos, el segundo protege de las decisiones automatizadas; ambos deben cumplirse simultaneamente
• Las evidencias deben conservarse en soportes inmutables: un log que puede modificarse no es una evidencia valida ante una auditoria o un litigio

Criterios de evaluacion — UD7

← Volver a MP02

Navegación

← UD6 · Monitorización y mantenimient…  ·  Volver al módulo  ·  UD8 · Responsabilidad profesional,… →