Inspecciones sobre inteligencia artificial en España

Inspecciones sobre inteligencia artificial en España

La inteligencia artificial ha entrado en fase de supervisión real en España. Ya no se trata solo de implantar herramientas tecnológicas, sino de poder demostrar control, trazabilidad y cumplimiento normativo ante posibles inspecciones. Por este motivo se llevan a cabo inspecciones sobre inteligencia artificial en España

Dependiendo del caso, la supervisión puede venir de distintas autoridades: AESIA en materia de sistemas de IA, AEPD si hay tratamiento de datos personales, o ITSS cuando el uso afecta al ámbito laboral. En todos los casos, la clave es la misma: tener gobernanza y evidencias.

Este artículo explica qué pueden revisar, qué documentación debes tener preparada y cómo estructurar un plan de preparación sólido.

Qué implica una inspección sobre inteligencia artificial

Una inspección no busca saber si usas IA. Parte de que la utilizas. Lo que se analiza es:

• Qué sistemas concretos emplea la empresa.

• Qué impacto tienen en personas.

• Qué riesgos han sido identificados.

• Qué medidas de control se han implementado.

• Qué contratos y garantías existen con proveedores.

• Qué registros permiten reconstruir decisiones o incidentes.

La pregunta central es sencilla: ¿puede la empresa demostrar que su IA está controlada?

Qué autoridades pueden intervenir

AESIA

Supervisión del cumplimiento de obligaciones relacionadas con sistemas de IA, especialmente cuando exista impacto relevante o riesgo elevado.

AEPD

Interviene si el sistema trata datos personales, especialmente cuando hay perfilado, decisiones automatizadas o tratamiento masivo.

Inspección de Trabajo

En casos de algoritmos que afectan a selección, evaluación del desempeño, asignación de turnos o despidos.

La preparación debe contemplar todos estos frentes si el sistema lo requiere.

Documentación esencial que debes tener preparada

Inventario de sistemas de IA

Debe existir un listado actualizado que incluya:

• Finalidad del sistema.

• Área responsable.

• Tipo de datos utilizados.

• Proveedor.

• Nivel de riesgo estimado.

• Fecha de implantación y revisión.

Sin inventario, no hay gobernanza.

Clasificación por riesgo

Cada sistema debe estar clasificado en función de su impacto. Esta clasificación debe estar razonada y vinculada a controles concretos.

A mayor riesgo, mayor nivel de:

• Documentación.

• Supervisión humana.

• Pruebas de robustez.

• Controles técnicos.

Política interna de uso de IA

Debe definir:

• Usos permitidos y prohibidos.

• Tipos de datos que no pueden introducirse.

• Proceso de aprobación de nuevos casos de uso.

• Obligación de revisión humana cuando proceda.

• Responsables internos.

Una política clara reduce exposición y demuestra diligencia.

 Evaluación de Impacto (DPIA) cuando proceda

Si el sistema implica tratamiento de datos personales con alto riesgo, debe haberse realizado una DPIA.

Esto incluye:

• Identificación de riesgos.

• Medidas de mitigación.

• Justificación de proporcionalidad.

• Documentación del análisis.

No realizarla cuando es necesaria es un punto crítico en inspecciones.

 Supervisión humana documentada

En sistemas que influyen en decisiones relevantes, debe existir:

• Procedimiento claro de revisión.

• Capacidad real de intervención.

• Registro de decisiones revisadas.

La supervisión debe ser operativa, no meramente formal.

Pruebas y controles técnicos

Es recomendable disponer de:

• Métricas básicas de rendimiento.

• Pruebas de robustez ante errores o entradas anómalas.

• Análisis de sesgo cuando aplique.

• Registro de cambios de modelo o versión.

Esto demuestra control técnico y responsabilidad.

Contratos con proveedores

Las inspecciones suelen revisar si la empresa ha trasladado adecuadamente las obligaciones contractuales.

Debe existir:

• DPA completo si hay datos personales.

• Regulación del entrenamiento con datos del cliente.

• Gestión de subencargados.

• Cláusulas de auditoría razonable.

• Portabilidad y salida.

• Notificación de cambios relevantes en el modelo.

Firmar términos estándar sin revisión es un error frecuente.

Trazabilidad y registros

Es imprescindible poder reconstruir:

• Qué versión del sistema estaba activa.

• Qué cambios se realizaron.

• Qué controles estaban implementados.

• Cómo se gestionó un incidente.

Sin trazabilidad, el cumplimiento es difícil de acreditar

Errores que generan mayor exposición

• No saber exactamente qué sistemas de IA se utilizan.

• No tener responsables asignados.

• Ausencia de documentación técnica mínima.

• Supervisión humana inexistente o no registrada.

• Contratos estándar sin control sobre entrenamiento y portabilidad.

• Falta de transparencia hacia usuarios o empleados.

inspecciones inteligencia artificial España