Análisis de las Guías publicadas por la Agencia Española de Inteligencia Artificial (AESIA)

Uno de los ejes centrales de las guías publicadas es el relativo al gobierno del dato aplicado a IA. La documentación técnica es parte de la conformidad: fichas del sistema, tarjetas de modelo y dataset, registros de versiones, informes de pruebas, y evidencia de controles, documentación que debe ser completa y proporcional al riesgo, y permitir la auditabilidad independiente, la posibilidad de reproducir los resultados y explicar de forma transparente el mismo a terceros. 

La AESIA estructura la evaluación de riesgo según criterios de uso, contexto, interesados afectados, o potencialidad del daño, teniendo en cuenta un enfoque basado en riesgos. Las guías recomiendan realizar evaluaciones de impacto sobre derechos fundamentales cuando el sistema pueda influir en decisiones con efectos significativos para las personas, y documentar medidas mitigadoras, garantías y salvaguardas. Se detallan prácticas de verificación y validación previas al despliegue, incluyendo pruebas tales como las de caja negra y caja blanca. La preparación para auditorías incluye un plan de evidencias y custodias, criterios objetivos de aceptación, y una matriz de trazabilidad que conecte requisitos, controles y resultados de prueba. La AESÍA considera que la conformidad no se trata como un acto puntual, sino como un estado mantenido mediante controles operativos, revisión periódica y reporting a la gobernanza.

El bloque ético-operativo se articula en torno a la equidad, la explicabilidad y la transparencia. Las guías instan a medir la equidad con métricas adecuadas al caso de uso concreto, permitiendo aplicar medidas de mitigación de sesgos en las fases de datos, modelado y postprocesado. En materia de explicabilidad, se distingue entre explicaciones globales (cómo funciona el sistema) y locales (por qué se ha producido un resultado concreto), con obligaciones de claridad, utilidad y proporcionalidad adaptadas a los distintos destinatarios (técnicos, usuarios finales, afectados).

La transparencia se materializa proporcionando información clara sobre los usos de la IA, sus limitaciones y los derechos de las personas. Esto debe complementarse con manuales de uso, la definición de límites operativos y la habilitación de vías de reclamación efectivas.

Las guías sitúan la seguridad como requisito transversal, incluyendo un catálogo de análisis sobre amenazas específicas de IA (envenenamiento de datos, evasión de modelos, extracción, prompt injection, filtrado de datos sensibles), segregación de entornos y controles de acceso de mínimo privilegio. En este sentido, se recomiendan técnicas de hardening de modelos y pipelines, validadores de entradas y salidas, y salvaguardas para prevenir fugas de información o uso indebido. La resiliencia operativa incluye, además de planes de continuidad, pruebas de recuperación y una adecuada gestión de vulnerabilidades.

Las guías describen la recogida de evidencias, el muestreo y la repetición de pruebas como mecanismos para verificar integridad, desempeño y equidad de los sistemas. Los hallazgos deben clasificarse por criticidad, con planes de remediación, plazos y responsables, así como seguimiento hasta cierre. La supervisión continua combina indicadores de salud del sistema con revisiones de gobernanza, incidentes y cambios sustantivos del entorno o los datos. La gestión de incidentes requiere canales claros para notificación, evaluación de impacto, contención y comunicación transparente con afectados y autoridades cuando aplique.