Regresar
Ilustración 3D sobre fondo blanco de una fila de nodos blancos unidos por un hilo celeste que pasa bajo un arco negro, con un nodo magenta en el centro

Cómo Sostener la Trazabilidad y la Supervisión Humana en IA: EU AI Act, NIST AI RMF e ISO/IEC 42001

Dos preguntas aparecen en toda revisión seria de un sistema de IA: qué hizo exactamente el sistema y quién podía detenerlo. La primera es trazabilidad. La segunda, supervisión humana. Ambas tienen ya fecha en el calendario europeo. El Consejo de la Unión Europea dio su aprobación final al paquete de simplificación conocido como Digital Omnibus sobre IA el 29 de junio de 2026, y el texto, publicado como Reglamento (UE) 2026/1744, está en vigor desde el 27 de julio de 2026. Con ese cambio, las obligaciones para los sistemas de alto riesgo del Anexo III del Reglamento de Inteligencia Artificial aplican desde el 2 de diciembre de 2027, y las de los sistemas integrados en productos regulados del Anexo I, desde el 2 de agosto de 2028.

El aplazamiento movió las fechas y dejó intactos los artículos sobre registro de eventos, supervisión humana y obligaciones de quien despliega el sistema, que no figuran entre los modificados. El reglamento europeo tampoco es la única referencia. El marco de gestión de riesgos de IA del NIST (AI RMF 1.0, publicado el 26 de enero de 2023) pide, con otro lenguaje, cosas muy parecidas, y la norma ISO/IEC 42001:2023 (publicada en diciembre de 2023) aporta el sistema de gestión para sostenerlas. Una organización que opera en varios mercados no necesita tres proyectos de cumplimiento. Necesita un solo diseño de evidencia que responda a los tres.

El Papel de Cada Marco

1. EU AI Act: la Obligación Legal

El Reglamento (UE) 2024/1689 es el único de los tres con fuerza de ley. Su artículo 12 exige que los sistemas de alto riesgo permitan técnicamente el registro automático de eventos durante toda su vida útil. El artículo 14 exige que se diseñen de modo que personas físicas puedan supervisarlos de forma efectiva mientras están en uso. Quien supervisa debe poder entender las capacidades y los límites del sistema, mantenerse alerta frente al sesgo de automatización, interpretar correctamente sus resultados, decidir no usarlo o descartar, anular o revertir un resultado, e intervenir o interrumpir su operación.

El artículo 26 traslada parte de esa carga a quien despliega el sistema: debe asignar la supervisión a personas con la competencia, la formación y la autoridad necesarias, y conservar los registros que estén bajo su control durante al menos seis meses.

2. NIST AI RMF: el Método

El marco del NIST es voluntario y organiza la gestión de riesgos en cuatro funciones: gobernar, mapear, medir y gestionar. Varias de sus subcategorías tratan los mismos dos temas. GOVERN 3.2 pide políticas y procedimientos que definan y diferencien los roles y las responsabilidades de las configuraciones entre personas y sistemas de IA y de su supervisión. MAP 3.5 pide que los procesos de supervisión humana estén definidos, evaluados y documentados. MEASURE 2.8 pide examinar y documentar los riesgos asociados a la transparencia y la rendición de cuentas. MANAGE 4.1 pide planes de monitoreo posteriores al despliegue, con mecanismos de apelación y anulación, respuesta a incidentes y gestión de cambios. MANAGE 2.4 pide mecanismos y responsabilidades asignadas para reemplazar, desconectar o desactivar los sistemas cuyo desempeño no corresponde al uso previsto.

3. ISO/IEC 42001: el Sistema de Gestión

La norma ISO/IEC 42001:2023 especifica los requisitos para establecer, implementar, mantener y mejorar de forma continua un sistema de gestión de IA en organizaciones que desarrollan, proveen o usan sistemas de IA. No regula un sistema en particular. Regula la forma en que la organización fija sus políticas y objetivos y los procesos con que los cumple. Su aporte principal es ese ciclo de gestión y la mejora continua, que convierten un control puntual, como el registro de eventos o la asignación de la supervisión, en una práctica que se sostiene en el tiempo.

Impacto de un Diseño Único de Evidencia

1. Un Registro de Eventos que Responde a los Tres Marcos

Ejemplo práctico: Cada resultado del sistema genera una entrada con fecha y hora, versión del sistema, referencia a los datos de entrada, resultado, persona que lo revisó y acción tomada.

Cómo funciona: El esquema del registro se define una sola vez. Se conserva al menos seis meses, que es el mínimo que el reglamento europeo fija para quien despliega, o más si la normativa del sector lo exige. El acceso al registro está restringido y también queda registrado.

Ventajas: La misma entrada sirve como evidencia para el artículo 12 y para MEASURE 2.8, y queda como registro documentado dentro del sistema de gestión que pide ISO/IEC 42001. Ante un incidente, lo ocurrido se puede reconstruir sin depender de la memoria de nadie.

2. Supervisión con Autoridad Real

Ejemplo práctico: Una analista revisa las recomendaciones que el sistema marca como dudosas y puede revertirlas sin pedir autorización. Una persona con nombre y cargo puede pausar el sistema completo.

Cómo funciona: Los roles de supervisión se asignan por nombre y por escrito. Cada persona recibe formación sobre los límites del sistema, y el procedimiento de pausa se documenta y se prueba de forma periódica.

Ventajas: Responde al artículo 14, al artículo 26 y a GOVERN 3.2, MAP 3.5 y MANAGE 2.4. También reduce el riesgo de una supervisión nominal, en la que alguien figura como responsable pero no tiene la información ni la autoridad para intervenir.

3. Revisión Periódica que Deja Constancia

Ejemplo práctico: Cada trimestre, un comité revisa una muestra del registro, la tasa de reversión humana y los incidentes del periodo, y deja un acta con las decisiones tomadas.

Cómo funciona: La revisión tiene calendario, insumos definidos y un responsable. Sus decisiones alimentan los cambios al sistema, a los umbrales de revisión y a la formación de quienes supervisan.

Ventajas: Cubre el monitoreo posterior al despliegue de MANAGE 4.1 y la mejora continua que exige ISO/IEC 42001. Demuestra que el control opera de forma continua y no solo el día de la auditoría.

Ejemplos de Aplicación

Seguros

La evaluación de riesgos y la fijación de precios en seguros de vida y de salud figura en el Anexo III del reglamento europeo (punto 5, letra c). Una aseguradora que usa un modelo para ese fin registra cada evaluación con la versión del modelo y los datos utilizados, asigna a suscriptores formados la revisión de los casos que superan un umbral de impacto y conserva los registros según el plazo que fije su regulador sectorial. Cuando un cliente cuestiona una prima, la compañía puede mostrar qué se evaluó y quién lo revisó.

Recursos Humanos

Los sistemas destinados a la contratación o selección de personas, en particular para analizar y filtrar solicitudes y evaluar candidatos, también figuran en el Anexo III (punto 4, letra a). Una empresa que filtra postulaciones con IA define que ninguna candidatura se descarta sin revisión de una persona del equipo de selección, registra cada descarte con su motivo y revisa cada mes si la tasa de reversión difiere entre grupos de candidatos.

Desafíos

  • Registros que existen pero no se pueden leer. Un volumen de eventos sin estructura ni herramienta de consulta no sirve como evidencia.
  • Supervisión nominal. Quien aprueba cientos de resultados por hora no supervisa. El sesgo de automatización es un riesgo que el propio artículo 14 nombra.
  • Registros en manos del proveedor. Cuando el sistema es de un tercero, el contrato debe definir quién conserva los registros, por cuánto tiempo y cómo se accede a ellos.
  • Tres vocabularios. Los equipos legales, técnicos y de calidad leen marcos distintos. Sin una tabla de equivalencias, cada uno construye su propia evidencia.
  • Retención frente a protección de datos. Los registros suelen contener datos personales y su conservación debe ser compatible con la normativa de privacidad aplicable.
  • La fecha parece lejana. Diciembre de 2027 da margen, pero un registro de eventos solo sirve como evidencia por el periodo en que estuvo activo.

Métrica Clave: Tasa de Reversión Humana

Fórmula: Tasa de reversión (%) = (Resultados descartados, anulados o revertidos por una persona ÷ Resultados revisados por una persona) × 100

Cómo se mide: Se calcula cada mes a partir del registro de eventos, por sistema y por persona revisora.

Ejemplo: En un mes se revisan 1.200 resultados y 54 se revierten. La tasa es de 4,5%.

No existe un valor correcto universal. Una tasa cercana a cero y sostenida puede indicar que el sistema acierta o que nadie está revisando de verdad, y la diferencia se establece con un muestreo independiente. Una tasa que sube indica un cambio en los datos o en el sistema que conviene investigar. Lo que se vigila es la tendencia y las diferencias entre revisores.

Hacia Adelante

Queda poco más de un año para la primera fecha de aplicación de las obligaciones de alto riesgo. Las organizaciones que definan ahora su esquema de registro, asignen la supervisión por nombre y fijen un ciclo de revisión llegarán a diciembre de 2027 con más de doce meses de evidencia acumulada. Las que esperen tendrán los mismos controles en papel y ningún historial que los respalde. El trabajo es el mismo en ambos casos. Lo que cambia es cuánto se puede demostrar.

Referencias

MJ CARFORA