El manual del operador del Reglamento de IA

El Reglamento de IA entró en vigor en 2024 y se aplica ya por fases: primero la prohibición de las prácticas vetadas y los deberes de alfabetización en IA, después las obligaciones de los modelos de uso general, y las pesadas obligaciones de alto riesgo aterrizando a lo largo de 2026 y 2027. Un manual del operador existe para dejar de tratar esto como una abstracción del departamento jurídico y empezar a tratarlo como una restricción de ingeniería y de despliegue, porque eso es lo que es ahora.

El Reglamento está escalonado por riesgo, no prohíbe tecnologías. No veta los modelos de frontera; veta desplegarlos en ciertos usos sin documentación, registro, supervisión humana y gobernanza de datos. Leído así, el Reglamento es menos una carga de cumplimiento que una instrucción de ubicación: cuanto más pesadas son las obligaciones sobre un caso de uso, más fuerte es el argumento para ejecutarlo sobre infraestructura que controlas y puedes demostrar.

Las prácticas prohibidas (la puntuación social, ciertas categorizaciones biométricas, los sistemas manipuladores) hay que auditarlas y eliminarlas por completo; no hay forma conforme de ejecutarlas. Los usos de alto riesgo, enumerados en el anexo III, incluyen la evaluación de solvencia, la fijación de precios en seguros de vida y de salud, la selección y la gestión de personal, y una serie de servicios públicos esenciales. Estos cargan con todo el peso: gestión de riesgos, gobernanza de datos, documentación técnica, registro, transparencia, supervisión humana y evaluación de la conformidad.

Los sistemas de riesgo limitado (chatbots, contenido generado) deben transparencia: las personas tienen que saber que tratan con una IA o con material generado por IA. Los usos de riesgo mínimo apenas tienen cargas. La trampa es clasificar mal, dar por hecho que un uso es de riesgo limitado cuando una lectura del anexo III lo hace de alto riesgo. RR. HH. y crédito son donde más ocurre, y donde un error de clasificación sale más caro.

La documentación, el registro y la evidencia de supervisión humana son mucho más sencillos de producir cuando el modelo, los datos y el rastro de auditoría viven dentro de tu perímetro que cuando los media una API de un tercer país que no puedes inspeccionar. El Reglamento DORA y la Directiva NIS2 refuerzan el mismo instinto desde el lado de la resiliencia operativa. El Reglamento nunca dice que autoalojes, pero sus exigencias probatorias convierten sistemáticamente el despliegue soberano en el camino de menor resistencia para los usos de alto riesgo.

Esta es la sinergia silenciosa en el centro de la tesis de Rindogatan: la misma arquitectura que satisface al regulador europeo (local, auditable, minimizada) es la que protege tus datos y tu autonomía estratégica. Cumplimiento, soberanía y seguridad dejan de ser tres presupuestos y pasan a ser una sola decisión.

Inventaría y clasifica cada caso de uso de IA, en marcha, en piloto y en la sombra, según los cuatro niveles, con especial atención a todo lo que toque crédito, precios de seguros, selección de personal o servicios públicos. Los usos en la sombra suelen ser el hallazgo.

Para cada uso de alto riesgo, decide la ubicación antes de construir el papeleo: un uso que ejecutas sobre infraestructura soberana es un uso cuya documentación, registro y supervisión puedes entregar de verdad. Después levanta un proceso permanente de gobernanza de la IA para que los nuevos casos de uso se clasifiquen y se ubiquen por defecto, y el Reglamento pase de ser un proyecto a ser un sistema operativo.