AI Act y datos: calidad y trazabilidad exigidas

El AI Act y el gobierno del dato parecen dos conversaciones distintas. Una es sobre regulación de IA; la otra, sobre gestión interna de datos. Pero cuando se mira en detalle qué requiere el AI Act para los sistemas de IA de riesgo alto, la conexión es directa: necesitas datos documentados, de calidad verificable y con linaje trazable. Eso es exactamente lo que proporciona un programa de gobierno del dato.

¿Qué exige el AI Act sobre los datos?

• Calidad de los datos de entrenamiento: los sistemas de IA de alto riesgo deben entrenarse con datos que cumplan criterios de calidad definidos y documentados (completitud, exactitud, representatividad).
• Documentación del dataset: debe existir documentación que describa el origen de los datos, cómo se procesaron y qué sesgos potenciales se identificaron.
• Minimización de datos: los datos usados en el sistema deben ser los necesarios para el objetivo, no más.
• Mecanismos de corrección: debe existir un proceso para identificar y corregir sesgos o errores en los datos que afecten al rendimiento del sistema.
• Registros de actividad: los sistemas de alto riesgo deben mantener registros automáticos de su funcionamiento que permitan auditoría posterior.

¿Cómo facilita el gobierno del dato el cumplimiento del AI Act?

¿Qué hacer primero si tienes que cumplir el AI Act?

1. 1Clasifica tus sistemas de IA según el nivel de riesgo del AI Act. La mayoría de sistemas en empresa mediana son de riesgo limitado o mínimo.
2. 2Para los sistemas de riesgo alto (si los tienes), documenta los datos de entrenamiento: origen, transformaciones aplicadas, métricas de calidad.
3. 3Establece un inventario básico de los datos que usan tus sistemas de IA.
4. 4Define el data owner de cada dominio de datos relevante — es la persona que puede firmar la documentación de calidad.
5. 5Implementa controles de calidad automáticos para los datasets que alimentan sistemas de IA regulados.

¿Es el gobierno del dato solo un coste de compliance?

Muchas empresas ven el gobierno del dato como un coste regulatorio impuesto desde fuera, algo que hay que hacer para evitar sanciones pero que no aporta valor al negocio. Pero las que lo implementan bien descubren que los beneficios operativos superan con creces el coste de implantación. Datos con ownership claro se actualizan mejor porque hay alguien responsable de que sean correctos. Datos con calidad documentada generan confianza en dashboards y modelos, lo que se traduce en decisiones más rápidas y menos tiempo perdido verificando cifras. Datos con linaje trazable permiten depurar errores en minutos en lugar de en días, porque sabes exactamente de dónde viene cada número y qué transformaciones ha sufrido. El AI Act añade urgencia al calendario, pero la motivación real debería ser la calidad de las decisiones que toma tu empresa cada día.

¿Cuáles son los errores habituales al prepararse para el AI Act?

• Documentar solo los sistemas de IA y no los datos que los alimentan. El AI Act exige calidad documentada de los datos de entrenamiento, no solo del modelo.
• Confundir gobierno del dato con un proyecto de TI. Es un programa organizativo que requiere la participación de los responsables de negocio (data owners).
• Intentar gobernar todos los datos a la vez. Es más efectivo empezar por los dominios que alimentan los sistemas de IA más regulados o más críticos.
• No medir la calidad de forma continua. Una auditoría puntual pierde vigencia en semanas. Los controles automáticos que se ejecutan con cada carga son los que garantizan la calidad.

Clasificación de riesgo del AI Act: como saber que aplica a tu empresa

El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo, y las obligaciones dependen del nivel. La mayoría de sistemas de IA empresariales caen en las categorías de riesgo limitado o mínimo, donde las obligaciones son de transparencia básica. Los sistemas de alto riesgo son los que afectan a decisiones sobre personas: contratación, crédito, seguros, educación o acceso a servicios esenciales.

• Riesgo inaceptable (prohibido): scoring social generalizado, manipulacion subliminal, vigilancia biometrica masiva en tiempo real.
• Alto riesgo: sistemas que influyen en contratación, evaluación crediticia, acceso a educación, administración de justicia. Requieren auditoría, documentación y evaluación de impacto obligatorias.
• Riesgo limitado: chatbots, generadores de contenido, sistemas de recomendación. Obligacion principal: informar al usuario de que esta interactuando con IA.
• Riesgo mínimo: filtros de spam, modelos de forecasting interno, automatización de procesos sin impacto en personas. Sin obligaciones adicionales.

La pregunta clave para tu empresa es: tu sistema de IA toma decisiones que afectan directamente a personas (empleados, candidatos, clientes)? Si la respuesta es si, probablemente estas en la categoría de alto riesgo y necesitas cumplir con requisitos de documentación, auditoría y evaluación de impacto. Si tu IA es un copilot interno que resume documentos o un modelo de forecasting de demanda, probablemente estas en riesgo limitado o mínimo.

Calendario de aplicación del AI Act

El AI Act no aplica todo de golpe. Las prohibiciones de sistemas de riesgo inaceptable entraron en vigor en febrero de 2025. Las obligaciones para sistemas de alto riesgo se aplican progresivamente entre agosto de 2025 y agosto de 2027, dependiendo del tipo de sistema. Los requisitos de transparencia para riesgo limitado aplican desde agosto de 2025.

Para una empresa que usa IA internamente (copilots, forecasting, automatización), la prioridad inmediata es hacer un inventario de todos los sistemas de IA en uso, clasificarlos por nivel de riesgo, y documentar los de alto riesgo. No esperes a que la fecha limite este encima: la documentación retroactiva es mucho más cara y complicada que hacerlo desde el diseño del sistema.

Para un enfoque completo de gobierno del dato adaptado a tu empresa, consulta nuestra página de gobierno del dato y calidad explicamos el proceso completo.

Si te interesa profundizar, en seguridad de datos e ia en empresa: guía rgpd exploramos este tema en detalle.

Para más contexto, puedes consultar la informe de McKinsey sobre empresas data-driven.

Preguntas frecuentes sobre AI Act y datos

¿Todas las empresas que usan IA tienen obligaciones bajo el AI Act?

No con la misma intensidad. Las obligaciones más exigentes aplican a los sistemas de IA de riesgo alto (selección de personal, scoring crediticio, sistemas de infraestructura crítica). Para sistemas de riesgo limitado (chatbots, recomendadores), las obligaciones son principalmente de transparencia. Para sistemas de riesgo mínimo, no hay obligaciones específicas del AI Act.

¿Un sistema RAG sobre documentos internos es de riesgo alto según el AI Act?

En la mayoría de casos, no. Un copilot RAG que ayuda a empleados a encontrar información en documentos internos no toma decisiones sobre personas ni gestiona infraestructuras críticas. Cae típicamente en riesgo limitado (obligaciones de transparencia) o mínimo. Consulta con tu asesor legal si el sistema tiene casos de uso específicos que pudieran clasificarlo de otra forma.