Artículo
Clasificación de sistemas de IA: riesgos, obligaciones y documentación mínima para startups
Cómo aterrizar el AI Act en producto. Qué nivel de riesgo puedes esperar, qué deberías documentar desde el día 1 y cómo convertirlo en un expediente defendible ante auditorías.
1) Por qué la clasificación importa tanto
El punto de partida es siempre el mismo: no clasificas “la empresa”, clasificas el intercambio funcional entre tu sistema de IA y el objetivo previsto. La carga documental y el nivel de obligaciones dependen del riesgo resultante y del uso para el que tu sistema se pone en el mercado o se pone en servicio.
Para una startup, esto evita dos errores típicos. Primero, esperar a “tener todo” cuando el sistema ya está desplegado. Segundo, asumir que basta con una evaluación informal, cuando el marco exige trazabilidad y coherencia.
2) Dónde suele estar el “punto de riesgo” en IA
Aunque el esquema final depende de tu caso, casi siempre aparecen variables determinantes:
- Intención y contexto: para qué se usa (y para qué no), y en qué entorno operativo.
- Impacto en derechos y decisiones: si afecta decisiones con efectos legales o significativos.
- Grado de autonomía: si el sistema recomienda, sugiere o actúa de forma automática.
- Datos y calidad: sesgos, capacidad de generalización y cómo gestionas cambios de distribución.
3) Obligaciones: qué cambia según el riesgo
En términos prácticos, la clasificación determina si tu equipo tiene que preparar (entre otros) mecanismos para:
- Transparencia (informar y documentar la intervención del sistema).
- Gestión de riesgos (iteraciones, mitigaciones y evaluación continua).
- Datos y gobernanza (calidad, preparación, evaluación y controles).
- Rendimiento (pruebas, métricas, límites y criterios de aceptación).
- Trazabilidad (decisiones, cambios, auditoría interna y evidencias).
La lectura correcta es operativa: tu clasificación debe “vivir” en el ciclo de vida del producto, no en un documento estático.
4) Documentación mínima (para arrancar sin bloquear el producto)
Si tu objetivo hoy es avanzar con control, esta base suele ser el mejor mínimo viable para startups:
-
Fichas de sistema y descripción del propósito
Qué hace tu sistema, para qué se usa, qué entradas/salidas maneja y cómo interactúa con el usuario final.
-
Evaluación de clasificación
Razonamiento de riesgo, supuestos, límites y cómo reflejas los cambios del producto.
-
Expediente de datos
Procedencia, transformaciones relevantes, controles de calidad y evidencia sobre cambios o “drift”.
-
Evidencia de rendimiento
Métricas acordadas, pruebas por versión, criterios de aceptación y documentación de limitaciones.
-
Plan de mitigación y mejora
Riesgos detectados, acciones, responsables internos y periodicidad de revisión.
5) Plantilla mental: de “clasificar” a “mantener”
Una buena práctica es tratar la clasificación como un “control de cambios”. Cada vez que haya una modificación relevante en:
- el propósito previsto,
- los datos, el modelo o el pipeline,
- el modo de despliegue o el grado de autonomía,
deberías revisar el expediente y actualizar la evaluación. Esa disciplina es la diferencia entre una revisión “para salir del paso” y una documentación que aguanta preguntas.
Para seguir leyendo
Si te preocupa cómo convertir obligaciones en prácticas del equipo, enlaza con los siguientes artículos:
Nota operativa
Esta guía se centra en la clasificación y el mínimo documental. Para una aplicación completa, conviene revisar tu arquitectura, flujos de usuario y contratos de proveedores con asesoramiento especializado.