Método

Del diagnóstico
al mantenimiento.

Cinco etapas para la adecuación al AI Act y al RGPD, con un solo equipo. Tras el diagnóstico, una propuesta para el alcance determinado.Hablar con el equipo→

Etapa 01

Diagnóstico

  • Inventario de la IA en uso, incluida la no identificada
  • Rol y nivel de riesgo de cada sistema, con el cruce con el RGPD
  • Prioridades según el riesgo y el plazo
Resultado
Una visión completa de la IA de la empresa y de lo que exige.
Decisión de la dirección
Continuidad, alcance y riesgo asumido en los casos discutibles.

> Participación de la empresa: Entrevistas con las áreas que usan IA y acceso a la información de cada sistema.

◆ Propuesta para el alcance determinado y decisión de la dirección.

Criterio de prudencia

Cuando la norma admite más de una lectura, la recomendación es la prudente: adecuar de más cuesta menos que quedarse corto. El riesgo asumido es una decisión de la dirección.

Inventario y determinación
Etapa 02

Adecuación

  • Documentación y políticas según el rol y el riesgo de cada sistema
  • Contratos con proveedores y clientes
  • Gobernanza interna: responsables y procedimientos
Resultado
Cada sistema, con lo que necesita para cumplir.
Decisión de la dirección
Prioridades y responsables.

> Participación de la empresa: Revisión y aprobación de lo que se entrega.

Adecuación desde el diseño→Si desarrolláis IA→
Riesgo inaceptableAlto riesgoRiesgo limitadoRiesgo mínimo
Adecuación de cada sistema
Etapa 03

Implantación

  • Acompañamiento a los equipos
  • Comprobación del funcionamiento
  • Evidencias del cumplimiento
Resultado
El cumplimiento, aplicado en el día a día y demostrable.
Decisión de la dirección
Responsable de cada sistema.

> Participación de la empresa: Aplicación de los procedimientos por parte de cada área.

El papel de la dirección→
Riesgo inaceptableAlto riesgoRiesgo limitadoRiesgo mínimo
Responsables y evidencias
Etapa 04 · continua

Formación

  • Formación general sobre el AI Act, desde el inicio
  • Formación específica de cada sistema, tras la adecuación
  • Por perfiles y con registro de la formación
Resultado
Personas que saben qué hacer con la IA que usan.
Decisión de la dirección
Perfiles y calendario.

> Participación de la empresa: Tiempo de las personas que se forman.

Ver la formación→
Riesgo inaceptableAlto riesgoRiesgo limitadoRiesgo mínimo
Formación por perfiles
Etapa 05 · continua

Mantenimiento

  • Seguimiento de los cambios en los sistemas, su uso y la norma
  • Revisiones periódicas
  • Roles de CAIO, CISO y DPO como servicio
Resultado
El cumplimiento al día cuando algo cambia.
Decisión de la dirección
Roles cubiertos dentro y fuera de la empresa.

> Participación de la empresa: Aviso de los cambios en los sistemas.

Ver el mantenimiento→
Seguimiento continuo
Máster ICAB y CAIP

Máster en IA y Derecho del Colegio de la Abogacía de Barcelona y certificación CAIP de ISMS Forum

AI Act y RGPD

Los dos en el mismo análisis, con un solo equipo; DPO como servicio

AAISM, CISM y CISA

Seguridad de la IA, ciberseguridad y auditoría, certificadas por ISACA; CISO como servicio

ISO/IEC 42001

Acompañamiento en la implantación del sistema de gestión de la IA

12 recursos →

Criterio propio sobre el AI Act, publicado en abierto

El método, aplicado a cada empresa.

> Una primera conversación, sin compromiso. Respuesta en 24 h.

HABLAR CON EL EQUIPO
Cinco pilares de buen gobierno

Cinco miradas
a la misma IA.

Pilar 01

Alfabetización en IA

Formación para que cada persona entienda la IA que usa: qué datos no introducir, cómo revisar lo que devuelve y cuándo avisar. No necesita lo mismo la dirección que un equipo técnico o quien usa un asistente a diario.

Qué pide el AI Act
Medidas de alfabetización en IA para quien la usa en nombre de la empresa
Para quién: proveedores y responsables del despliegue
Señal: la plantilla usa IA generativa sin formación ni política de uso
Ver la formación→
Pilar 02

Gobernanza de IA

Quién decide sobre la IA en la empresa, con qué reglas y cómo se sabe qué IA hay. Sin inventario ni responsables, lo demás no se puede cumplir ni demostrar.

Qué pide el AI Act
Con alto riesgo: uso según las instrucciones y supervisión humana (art. 26) · sistema de gestión de la calidad del proveedor (art. 17)
Para quién: responsables del despliegue y proveedores, con obligaciones distintas
Señal: nadie sabe cuántos sistemas de IA usa la empresa
Cómo lo trabajamos→
Pilar 03

Cumplimiento normativo

Qué exige la ley a cada sistema, que depende del rol de la empresa con él y de para qué se usa. Hay usos prohibidos, usos de alto riesgo con requisitos estrictos, usos que piden transparencia y usos sin obligaciones específicas.

Qué pide el AI Act
Rol (art. 3) · prácticas prohibidas (art. 5) · alto riesgo (art. 6 y anexos I y III) · transparencia (art. 50)
Para quién: según el rol y el uso de cada sistema
Señal: IA que ayuda a decidir sobre personas, como en la selección de personal, el crédito o la educación
Cómo lo trabajamos→
Pilar 04

Buenas prácticas

Lo que ordena el cumplimiento y permite demostrarlo: un sistema de gestión de la IA, la calidad de los datos y, en ciertos casos, la evaluación del impacto en los derechos fundamentales. Una parte es voluntaria, como la ISO/IEC 42001; otra la exige el AI Act en casos concretos.

Qué pide el AI Act
ISO/IEC 42001, voluntaria · evaluación de impacto en los derechos fundamentales (art. 27) · calidad de los datos del alto riesgo (art. 10)
Para quién: la evaluación de impacto, solo ciertos responsables del despliegue de alto riesgo, como los organismos públicos
Señal: un cliente o una licitación pide la ISO/IEC 42001
Cómo lo trabajamos→
Pilar 05

Ética y ciberseguridad

Que la IA funcione como se espera y esté protegida: frente a ataques, fugas de datos y manipulación, y con personas que pueden vigilarla e intervenir. En el alto riesgo, el AI Act lo convierte en requisitos, y otras normas de ciberseguridad pueden sumarse.

Qué pide el AI Act
Precisión, solidez y ciberseguridad (art. 15) · supervisión humana (art. 14) · NIS2, CRA y DORA, según el caso
Para quién: el art. 15, al proveedor del sistema de alto riesgo
Señal: modelos expuestos a datos de clientes o a intentos de manipulación
Cómo lo trabajamos→
Las personas y la IA que usan
Quién lo hace

Un solo equipo,
legal y técnico.

Derecho de la IA, protección de datos, salud, ética, ciberseguridad y sistemas de IA, en el mismo encargo.

Berta Romero
Derecho de la IA

Abogada · Máster ICAB y CAIP

Eva Blázquez
Derecho de la IA

Abogada · Máster ICAB y CAIP

Xavier Vilaseca
Protección de datos y PI

Abogado

Barbara Zungri
Salud y datos

Abogada doctora

Pablo Ballarín
Ética y ciberseguridad

AAISM, CISM y CISA

David Tulla
Tecnología e innovación en IA

Máster MIB de ISDI

>_ CTO
CTO
Sistemas de IA

Máster MIB de ISDI

Conoce al equipo→
Preguntas

Lo que suele preguntar
la dirección.

Depende de cuántos sistemas de IA haya y de su nivel de riesgo. El diagnóstico lo concreta: al terminarlo, el alcance, las prioridades y el calendario de la adecuación quedan en la propuesta.
> ¿Otra pregunta sobre el método? Hablar con el equipo