Tu proyecto no es «un poco de IA». Es IA de alto riesgo, y trae expediente.

Un sistema de IA de alto riesgo es el que se usa en uno de los ámbitos del anexo III del Reglamento europeo de inteligencia artificial. Entre ellos: selección y gestión de personal, acceso a crédito o seguros, educación y evaluación de alumnos, servicios esenciales, sanidad, justicia o migración. No depende de lo sofisticado que sea el modelo, sino de para qué se usa y sobre quién decide. Una hoja de cálculo con reglas puede quedar fuera y un modelo sencillo que ordena candidatos puede quedar dentro. Se puede usar, pero arrastra deberes: documentación técnica, gestión de riesgos, calidad de los datos, supervisión humana, registro y transparencia con las personas afectadas.

Las obligaciones del anexo III se exigen a partir de diciembre de 2027 y las de sistemas integrados en productos regulados (anexo I) a partir de agosto de 2028, tras el aplazamiento del paquete Digital Omnibus de mayo de 2026. Pero el Reglamento ya está en vigor: las prácticas prohibidas y la formación del artículo 4 se aplican desde febrero de 2025, y los avisos de transparencia del artículo 50 desde el 2 de agosto de 2026. Construir hoy una IA de alto riesgo sin expediente significa rehacer trabajo dentro de un año; hacerlo con el expediente desde el principio cuesta bastante menos esfuerzo que reconstruirlo después.

La FRIA es la evaluación de impacto sobre los derechos fundamentales: un documento que identifica a quién afecta el sistema, qué derechos puede tocar (igualdad, intimidad, acceso a un empleo, a un crédito o a un servicio) y qué medidas lo evitan o lo corrigen. El Reglamento la exige a determinados usuarios de sistemas de IA de alto riesgo, señaladamente organismos públicos y entidades que prestan servicios esenciales o evalúan solvencia; para el resto es la forma más sólida de demostrar diligencia si alguien reclama. Si además tratas datos personales, va de la mano de la evaluación de impacto del RGPD. La redactamos con tu equipo y con tu asesoría jurídica si la tienes.

Supervisión humana significa que una persona con formación, tiempo y autoridad puede entender lo que propone el sistema, corregirlo, anularlo o pararlo antes de que tenga efecto sobre alguien. No basta con una casilla de «revisado» que se marca cien veces al día sin mirar. Lo implantamos como un panel de revisión con la explicación de cada propuesta, alertas cuando el sistema se sale de sus márgenes, un umbral de confianza por debajo del cual no decide solo, y registro de quién revisó y qué cambió. Esa persona recibe la formación del artículo 4 y un procedimiento escrito de qué hacer cuando algo falla. Si nadie de tu organización tiene tiempo para esa tarea, el proyecto no está listo.

Las dos cosas: consultoría y construcción, y por eso está entre los proyectos de inteligencia artificial a medida. Construimos el sistema (modelo, integraciones, panel de supervisión, registro) sobre servidores propios en la Unión Europea o sobre el tuyo, y el expediente se genera mientras se construye, no al final. Si ya tienes algo funcionando y solo necesitas clasificarlo, documentarlo y poner avisos, te encaja mejor cumplimiento del AI Act y RGPD, que es un servicio mucho más ligero. Te lo diremos en el diagnóstico aunque nos venga peor: vender un proyecto de IA de alto riesgo a quien no lo necesita acaba mal para las dos partes.

Si ya tienes un sistema funcionando, lo primero es clasificarlo, y eso se hace en días, no en meses. Miramos para qué se usa, qué datos toca, quién decide con su resultado y qué pasa si se equivoca, y te decimos por escrito si es una práctica prohibida, una IA de alto riesgo, un caso de transparencia o riesgo mínimo. A partir de ahí hay tres caminos: adaptarlo (documentar, añadir supervisión y registro, poner avisos), rehacer la parte que no encaja o retirarlo. Casi nunca hay que tirarlo todo. Lo que sí suele faltar es lo mismo en todos: trazabilidad de los datos, registro de decisiones y una persona con autoridad real para parar el sistema.

Los datos se tratan en servidores propios en la Unión Europea o en el tuyo, y no salen de ahí. El modelo, la base de conocimiento, el registro de decisiones y el panel de supervisión corren en esa infraestructura, con acuerdo de tratamiento de datos firmado y, cuando el caso lo exige, modelos privados que no envían nada fuera de la máquina. Para datos de salud, de candidatos o de menores documentamos base legal, minimización, plazos de conservación y el modo de ejercer derechos en la evaluación de impacto del RGPD. Puedes verlo con más detalle en IA privada en servidor propio.

El Servicio Gestionado cubre el mantenimiento del sistema y la vigilancia normativa. Es decir: monitorización de precisión, sesgo y deriva; mantenimiento ante cambios de API (la puerta por la que se hablan los programas) de tus sistemas; subidas de modelo probadas contra el juego de pruebas documentado y acompañadas de una nueva versión del expediente; conservación y verificación del registro de decisiones; actualización de FRIA, avisos y documentación cuando cambia la norma o cambia el uso; informe mensual y soporte con acuerdo de nivel de servicio. En una IA de alto riesgo el Servicio Gestionado no es solo mantenimiento técnico: es que el papeleo siga siendo verdad.

Si lo que quieres hacer está prohibido, no lo construimos, y te lo decimos en la primera reunión con el artículo delante. El artículo 5 del Reglamento veta la puntuación social, la manipulación que se aprovecha de vulnerabilidades, el reconocimiento de emociones en el trabajo y en la educación y algunos usos biométricos, y les reserva las sanciones más altas: hasta el 7 % de la facturación mundial. Ahora bien, muy pocas ideas de negocio están prohibidas de raíz; lo que suele estar prohibido es una manera concreta de implementarlas. Casi siempre se llega al mismo objetivo con un sistema de alto riesgo bien documentado o incluso con uno de riesgo limitado, y esa alternativa es lo que te proponemos.

La clasificación es cuestión de días y es lo primero que se entrega, precisamente para que puedas decidir con información. El proyecto completo va por fases y el calendario concreto está en la propuesta cerrada. De tu parte necesitamos acceso a los datos y a los procesos, una persona que conozca el caso de uso, quien vaya a ejercer la supervisión humana y, si la tienes, tu asesoría jurídica en las revisiones de fase. Es más trabajo tuyo que en cualquier otro producto del catálogo, y es inevitable: un expediente de IA de alto riesgo no se puede escribir sin la empresa que responde de él.

Sí. Trabajamos en remoto para toda España, y también en Europa, Estados Unidos y Latinoamérica; Madrid es solo donde estamos. Las sesiones de clasificación y las revisiones de fase son por videollamada, el despliegue va a tu servidor o a los nuestros y el informe mensual llega igual estés donde estés. La AESIA es la autoridad de vigilancia para todo el Estado, así que el marco es el mismo en Vigo, en Murcia o en Girona. Si prefieres que la sesión de arranque o la formación del equipo sean presenciales, se organiza.

La responsabilidad frente a la persona afectada es de tu empresa, que es quien usa el sistema y toma la decisión final; por eso insistimos tanto en la supervisión humana. Lo que sí hacemos nosotros es responder de lo que construimos y documentamos: el sistema hace lo que dice el expediente, el registro permite reconstruir cualquier decisión y el acuerdo de nivel de servicio fija tiempos de respuesta ante una incidencia. También queda escrito quién es proveedor y quién es responsable del despliegue a efectos del Reglamento, porque las obligaciones no son las mismas y conviene no descubrirlo el día de la reclamación.