Regulación de la IA: qué revisar dentro de su empresa

La regulación de la inteligencia artificial en Rusia se compone de varias fuentes: la ley de datos personales, la ley de información, los requisitos sectoriales del Banco de Rusia y los regímenes jurídicos experimentales. No existe un código específico, pero las obligaciones ya están ahí, y los reguladores no acuden al desarrollador del modelo, sino a la empresa que lo utiliza. Esto es lo que conviene revisar dentro de su propia empresa antes de que alguien pregunte.

Dónde surge el riesgo para una empresa

El riesgo no surge donde está el modelo, sino donde el resultado del modelo afecta a una persona.

Evaluación de solicitudes (scoring), denegación automática de un servicio, reparto de pedidos entre contratistas, filtrado de currículos, evaluación del desempeño de empleados, fijación de tarifas: dondequiera que se tome una decisión sin intervención humana y afecte a los derechos de alguien, la ley exige un tratamiento especial.

La disposición clave es el artículo 16 de la ley de datos personales: está prohibido adoptar decisiones que produzcan consecuencias jurídicas basándose únicamente en un tratamiento automatizado sin el consentimiento del titular de los datos. El consentimiento debe ser independiente e informado, y la persona debe tener derecho a exigir que la decisión sea revisada por un ser humano.

Cinco preguntas para una revisión interna

Primera. Dónde se ejecuta un modelo en la empresa y quién lo sabe. En la práctica no existe un registro de sistemas y los modelos aparecen de abajo hacia arriba: el equipo comercial ha conectado un servicio, marketing usa un generador de textos, recursos humanos pasa los currículos por una herramienta de puntuación. Hay que empezar por un inventario: qué sistemas, qué proveedor, qué datos salen de la empresa.

Segunda. Qué datos entran en el modelo. Si los empleados introducen datos personales de clientes en un servicio en la nube, eso es una transmisión de datos a un encargado del tratamiento. Se necesita un contrato con cláusulas de confidencialidad, una mención en la política y una comprobación de dónde se almacenan los datos. Las bases de datos rusas deben permanecer en territorio ruso: así lo establece el apartado 5 del artículo 18 de la ley.

Tercera. Si la decisión se toma de forma automática. Si es así, o bien se incorpora a una persona al proceso, o bien se establecen un consentimiento independiente y un procedimiento de apelación. La fórmula «la decisión la tomó el sistema», sin posibilidad de revisión, es una infracción evidente.

Cuarta. Qué dicen los documentos. La política de tratamiento de datos personales, los consentimientos, los términos de uso y los contratos con los clientes deben describir la realidad. Si el modelo analiza el comportamiento de los usuarios, debe indicarse.

Quinta. Quién responde por el resultado. Un contrato con un proveedor de servicios de IA suele excluir su responsabilidad por las decisiones adoptadas a partir del resultado del modelo. Eso significa que la responsabilidad recae en usted, y debe cubrirse con procedimientos: verificación del resultado, registro de actividad y capacidad de explicar una decisión.

La explicabilidad como problema jurídico

Cuando un cliente impugna una negativa, el tribunal no pregunta por la arquitectura de la red neuronal; pregunta por el fundamento de la decisión. «Eso es lo que calculó el modelo» no funciona como respuesta.

La salida práctica es registrar los factores que influyeron en el resultado y conservarlos junto con la decisión. No es un requisito expreso de la ley, pero es lo que convierte una controversia perdida de antemano en una defendible: la empresa demuestra qué datos se tuvieron en cuenta, que una persona verificó el resultado y que el cliente tuvo la oportunidad de objetar.

Derechos de autor sobre lo generado

La segunda pregunta frecuente es a quién pertenece el resultado del modelo. El derecho ruso reconoce como autor únicamente a un ser humano, por lo que un resultado producido puramente por una máquina no es objeto de derechos de autor.

La práctica sigue el criterio de la aportación creativa: si una persona fijó los parámetros, seleccionó y reelaboró el resultado, su aportación está protegida. Para una empresa esto significa que un logotipo o un texto generado íntegramente por un modelo es difícil de proteger frente a copias. Si el resultado es importante, una persona debe desarrollarlo más, y ese proceso debe quedar documentado.

Un punto aparte son los derechos de terceros en la fase de entrada. Si el modelo se entrenó con material protegido, o un empleado cargó en él un texto ajeno, el riesgo de una reclamación recae sobre quien publicó el resultado.

Qué hacer con los empleados

Esta es la parte más subestimada. Las filtraciones no ocurren por ataques informáticos, sino por la correspondencia ordinaria: un empleado pega un contrato con sus condiciones comerciales, o datos personales, en un chatbot público para «redactar una respuesta rápida».

El mínimo que cierra la mayor parte del riesgo: una norma escrita sobre qué datos no pueden introducirse en servicios de terceros, una lista de herramientas autorizadas, formación y una firma que confirme que el empleado la ha leído. Es barato y elimina la cuestión de la culpa de la empresa si, pese a todo, ocurre un incidente.

Hacia dónde va esto

La regulación se endurece en una sola dirección: de los principios generales hacia obligaciones de etiquetar contenidos, mantener registros de sistemas y evaluar riesgos antes de la implantación. A las empresas cuyos modelos ya están en uso real les resultará más fácil prepararse con antelación (inventario, documentos, procedimientos de revisión de decisiones) que rehacerlo todo para ajustarse a requisitos ya aprobados y a las preguntas de un inspector.

Este material es meramente informativo y no sustituye el asesoramiento sobre un asunto concreto.

Si está incorporando IA a sus procesos y quiere saber qué debe quedar cubierto por documentos, escríbanos: la primera consulta es gratuita si se firma un contrato de servicios jurídicos.

Vladimir Kovalev, jurista, fundador y socio director de Kovalev y Asociados