Ajusta lo que haces a quién eres y a lo que estás haciendo

Por qué existe

Aplica cada obligación a la profundidad que exija tu situación, ni más ni menos, porque un marco aplicado de forma uniforme es erróneo para casi todo el mundo. Exigidas por igual, las demandas que son prudentes para un banco que entrena su propio modelo aplastarían a una empresa pequeña que compra una suscripción, y la mano ligera apropiada para esa empresa pequeña sería temeraria para el banco. La proporcionalidad es lo que hace que un solo marco sirva para los dos. No es un descuento ni una licencia para saltarse nada: es la calibración deliberada de cada requisito frente a los factores que determinan el riesgo de verdad.

Qué determina tu nivel

Tres preguntas deciden qué te aplica, y son independientes entre sí. La pertinencia —qué controles te conciernen siquiera— la deciden tu rol respecto de cada sistema (usuario, integrador, desarrollador; los roles se suman), que fija la decisión de aprovisionamiento del dominio 1, y las propiedades de cada uso: si decide sobre personas, si la IA actúa y si trata datos personales. La profundidad —el nivel al que se aplica cada control pertinente— la deciden la criticidad del uso y las normas que te obligan: la clase de cada uso (mínimo o limitado → Baseline; alto riesgo → Advanced), su criticidad (baja → Baseline; media → Enhanced; alta → Advanced) y las normas bajo las que operas (solo la normativa general de protección de datos → Baseline; regulación sectorial, u obligaciones de integrador bajo un régimen específico de IA → Enhanced; obligaciones de proveedor para IA de alto riesgo o de propósito general → Advanced), leídas del mapa de aplicabilidad. Para cada sistema, la profundidad es la mayor de esas tres; para las obligaciones de alcance organizativo —el comité, el programa de seguridad, la matriz de responsabilidades, el conjunto de indicadores— la fijan las normas que te obligan. Un uso de consecuencia eleva, por tanto, al máximo las obligaciones ligadas a ese sistema, pero no obliga por sí solo a una organización pequeña a constituir un comité en Advanced. Tu rol no eleva la profundidad: construir un clasificador interno de poco en juego no te sitúa en Advanced, y usar una herramienta comprada para preseleccionar candidaturas sitúa ese sistema en Advanced aunque no hayas construido nada. El modo —cómo cumples cada control aplicable— lo deciden tu tamaño y tu capacidad: ligero (micro y pequeña), estándar (mediana), completo (grande), tal como define la tabla de abajo para las obligaciones que con más frecuencia se les hacen aplicables a las organizaciones pequeñas. El tamaño nunca quita un control. Tu madurez actual decide únicamente la secuencia: la distancia entre los controles aplicables y los que ya están evidenciados es tu plan, y el alcance de la primera etapa de «Por dónde empezar» es su cabeza. En resumen: el rol determina la pertinencia, la criticidad determina la profundidad y el tamaño determina el modo de implantación.

Modo ligero para las obligaciones que un uso de consecuencia impone a una organización pequeña

Qué hacer

• Determina tu perfil, y deja que decida qué aplica y hasta qué profundidad. Establece tu rol, las propiedades, la clase y la criticidad de cada uso, las normas que te obligan, tu tamaño y tu madurez. Tu rol y las propiedades de tus usos deciden qué obligaciones son pertinentes; la criticidad de cada uso y tus normas deciden el nivel al que se aplica cada una; tu tamaño decide solo cómo las cumples. Las reglas son explícitas y reproducibles —dos organizaciones con el mismo perfil aterrizan en las mismas obligaciones—, pero las entradas son juicios: registra cómo clasificaste cada uso y por qué una norma te aplica o no, para que la lectura se pueda revisar.
• Nunca dejes que «somos pequeños» sea la excusa para saltarse el Baseline. La proporcionalidad escala cómo cumples una obligación y hasta dónde la extiendes; nunca elimina el Baseline, que cumple toda organización que ejecute IA, sea cual sea su tamaño. Una organización pequeña hace menos que una grande, pero no menos que el suelo.
• Vuelve a derivar el perfil cuando cambie tu situación. Un cambio de rol —empezar a afinar un modelo, entrar en un uso regulado— o un cambio en las normas que te aplican mueve tu perfil y, por tanto, tus obligaciones. Vuelve a leer el perfil ante esos eventos, para que el marco siga tu exposición real y no la que tenías cuando lo adoptaste.

Controles

Evidencia

El perfil de la organización registrado; la derivación de los niveles a partir de él; los registros de nueva derivación frente a los eventos de cambio.