L’ús d’eines d’intel·ligència artificial ja forma part del dia a dia de milers d’empreses. ChatGPT, Microsoft Copilot, Gemini, Claude o els assistents integrats en CRM i ERP han deixat de ser una innovació per convertir-se en una eina habitual de treball.
Tanmateix, a mesura que augmenta la seva utilització, també ho fan les obligacions legals. El pròxim 2 d’agost marca una nova fase en l’aplicació del Reglament Europeu d’Intel·ligència Artificial (AI Act), una norma que obligarà moltes organitzacions a demostrar que utilitzen la IA de manera segura, transparent i conforme a la legislació europea.
Tot i que part de les obligacions aplicables als sistemes d’alt risc s’han ajornat recentment, existeixen nombroses exigències que ja són aplicables o que hauran d’estar preparades durant els pròxims mesos. La millor manera d’afrontar aquest canvi és disposar d’una documentació sòlida que permeti acreditar el compliment normatiu.
Per què és tan important la documentació?
L’AI Act no només regula el desenvolupament de sistemes d’intel·ligència artificial, sinó també la seva utilització dins de les empreses.
Això significa que, davant d’una inspecció o d’una incidència, no n’hi haurà prou amb afirmar que la IA s’utilitza de manera responsable. Caldrà demostrar-ho documentalment.
De la mateixa manera que passa amb el RGPD, el principi de responsabilitat proactiva obliga les organitzacions a acreditar que han adoptat les mesures necessàries per minimitzar els riscos i protegir els drets de les persones.
En altres paraules: si no està documentat, serà molt difícil demostrar que es compleix la normativa.
1. Inventari d’eines d’intel·ligència artificial
El primer pas consisteix a identificar totes les eines d’IA que s’utilitzen dins de l’organització.
I no només aquelles implantades oficialment per l’empresa.
També convé detectar aquelles aplicacions que els treballadors utilitzen per iniciativa pròpia, com ara:
- ChatGPT
- Microsoft Copilot
- Google Gemini
- Claude
- Perplexity
- Midjourney
- DALL·E
- Notion AI
- Grammarly AI
- Eines de transcripció automàtica
- Plataformes d’automatització amb IA
Moltes empreses desconeixen realment quantes aplicacions d’intel·ligència artificial estan utilitzant els seus equips.
Sense aquest inventari és impossible avaluar els riscos o implantar mesures de control.
2. Classificació dels sistemes segons el seu nivell de risc
No totes les eines tenen les mateixes obligacions.
L’AI Act distingeix diferents categories:
- Risc mínim.
- Risc limitat.
- Alt risc.
- Risc inacceptable.
Aquesta classificació determinarà quines obligacions haurà de complir cada organització.
Per exemple, un xatbot intern que ajuda a redactar documents no tindrà les mateixes exigències que un sistema que avalua candidats en un procés de selecció o que participa en decisions relacionades amb la salut o la concessió de crèdits.
Per aquest motiu és recomanable elaborar una matriu on cada eina quedi correctament classificada.
3. Política interna d’ús de la intel·ligència artificial
Un dels documents més importants és la política interna d’ús de la IA.
Aquest document estableix les normes que han de seguir els treballadors quan utilitzen eines d’intel·ligència artificial durant la seva activitat professional.
Entre altres aspectes, hauria de regular:
- Quines eines estan autoritzades.
- Quina informació es pot introduir.
- Quines dades no s’han de compartir mai.
- Com revisar les respostes generades per la IA.
- Quins controls humans s’han de mantenir.
- Com actuar davant d’errors o incidències.
- Quines responsabilitats té cada departament.
Aquest tipus de polítiques ajuden a reduir els riscos legals, organitzatius i de ciberseguretat.
4. Formació i alfabetització en IA
Des de l’entrada en vigor de l’article 4 de l’AI Act, les organitzacions han de garantir que les persones que utilitzen sistemes d’intel·ligència artificial disposin d’un nivell suficient de coneixements.
No n’hi ha prou amb impartir una sessió puntual.
És recomanable conservar evidències documentals de la formació realitzada:
- programes formatius;
- dates;
- assistents;
- materials utilitzats;
- avaluacions realitzades.
En una eventual inspecció, aquestes evidències podran acreditar que l’empresa ha complert amb la seva obligació de formar el personal.
5. Revisió dels contractes amb els proveïdors d’IA
Moltes empreses utilitzen plataformes desenvolupades per tercers.
En aquests casos convé revisar:
- els contractes de prestació del servei;
- el Data Processing Agreement (DPA);
- les condicions de tractament de dades;
- les transferències internacionals;
- les mesures de seguretat ofertes pel proveïdor.
És important recordar que contractar una eina d’IA no eximeix l’empresa de les seves responsabilitats com a responsable del tractament.
6. Actualització de la documentació del RGPD
La utilització d’eines d’intel·ligència artificial acostuma a implicar tractaments addicionals de dades personals.
Per aquest motiu convé revisar si és necessari actualitzar:
- el Registre d’Activitats de Tractament (RAT);
- les polítiques de privacitat;
- les anàlisis de riscos;
- les Avaluacions d’Impacte (AIPD), quan siguin procedents;
- les clàusules informatives;
- els contractes amb els encarregats del tractament.
El compliment de l’AI Act i del RGPD s’ha d’abordar de manera conjunta.
7. Avaluació de riscos
Cada sistema d’IA presenta riscos diferents.
Alguns afecten principalment la privacitat.
Altres poden generar biaixos, discriminació, errors automatitzats o manca de transparència.
És recomanable documentar:
- els riscos identificats;
- la seva probabilitat;
- el seu impacte;
- les mesures de mitigació adoptades;
- els responsables de supervisió.
Aquesta avaluació permetrà justificar les decisions adoptades per l’organització.
8. Procediment intern de supervisió humana
Un dels principis fonamentals de l’AI Act és que la intel·ligència artificial no ha de substituir completament la intervenció humana en aquells processos en què es puguin veure afectats els drets o els interessos de les persones.
Per aquest motiu convé documentar:
- qui supervisa cada eina;
- quan ha d’intervenir una persona;
- com corregir errors;
- com registrar incidències.
La supervisió humana ha de formar part de la governança de la intel·ligència artificial.
9. Registre d’incidències i millores
Igual que passa amb la ciberseguretat, és recomanable disposar d’un procediment per documentar:
- errors detectats;
- respostes incorrectes;
- filtracions d’informació;
- incidències tècniques;
- accions correctores.
Aquest registre permetrà demostrar una millora contínua del sistema.
10. Pla de governança de la intel·ligència artificial
Més enllà de documents aïllats, les empreses haurien de disposar d’un veritable model de governança.
Aquest pla hauria d’integrar:
- inventari d’eines;
- responsables interns;
- polítiques d’ús;
- formació;
- avaluació de riscos;
- controls periòdics;
- revisió documental;
- millora contínua.
D’aquesta manera, l’organització podrà demostrar que existeix un control efectiu sobre l’ús de la intel·ligència artificial.
Què passa si una empresa no disposa d’aquesta documentació?
L’absència de documentació no implica automàticament una sanció.
Tanmateix, sí que dificulta enormement acreditar el compliment del Reglament.
En cas d’inspecció, reclamació o incident, l’empresa haurà de demostrar que ha actuat amb la diligència deguda.
Si no ho pot fer, augmenten considerablement els riscos de responsabilitat.
A més, cada vegada és més freqüent que clients, proveïdors i grans companyies exigeixin evidències de compliment abans de contractar determinats serveis.
Per tant, disposar d’aquesta documentació ja no només representa una obligació legal, sinó també un avantatge competitiu.
És el moment de preparar-se
Tot i que algunes obligacions de l’AI Act s’han ajornat, la realitat és que la majoria de les empreses ja utilitzen la intel·ligència artificial de manera habitual.
Esperar que arribi una inspecció o que es produeixi un incident no és la millor estratègia.
Preparar des d’ara la documentació necessària permetrà implantar la intel·ligència artificial amb seguretat, minimitzar riscos i adaptar-se progressivament al nou marc regulador europeu.
La teva empresa ja està preparada?
A PymeLegal ajudem empreses i organitzacions a implantar la intel·ligència artificial de manera segura des del punt de vista jurídic i organitzatiu.
A través del nostre servei de Compliance IA, revisem la documentació existent, elaborem polítiques internes, actualitzem la documentació del RGPD, analitzem els riscos i acompanyem les empreses en l’adaptació a l’AI Act, perquè puguin aprofitar tots els avantatges de la intel·ligència artificial amb les màximes garanties legals.