¿Qué normas se aplican a cada sistema, y qué hacemos cuando difieren?
Enhanced: 22 controles
A quién se aplica
Se entra en cada sistema de IA cuya letra es E o A (esta área no tiene controles Baseline). Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Los distintos sistemas de una misma organización caen bajo normas distintas: normas sectoriales, normas propias de un uso como las de las decisiones de empleo o de crédito, y el régimen de cada país en el que producen efectos. Una organización con filiales en varios países no se enfrenta a un régimen de IA, sino a varios, que difieren en alcance, en las obligaciones que imponen y en el ritmo al que cambian. No los resuelvas a nivel corporativo con un mínimo común denominador: resuélvelos por sistema, y que gane la obligación más profunda. Tres instrumentos convierten esto en rutina.
Qué hacer
Construye el mapa de aplicabilidad. Para cada sistema de IA del inventario, registra las jurisdicciones en las que se comercializa, se pone en servicio o produce efectos sobre personas (alcance territorial); los regímenes que de ahí se derivan —régimen específico de IA, normativa de protección de datos, normas sectoriales, normas propias de un uso como las de las decisiones de empleo o de crédito— (alcance normativo); y qué entidad del grupo es proveedor, integrador o ambas cosas para él (alcance corporativo). Este es el instrumento del que se lee el factor de las normas.
Construye el mapa de regímenes. Para cada jurisdicción en la que operas, enumera las obligaciones que te imponen sus normas específicas de IA, de protección de datos, sectoriales y propias de un uso, y traza cada una hasta el área de este marco que la cumple. La mayoría se resuelven en un conjunto pequeño que ya está en el Baseline o en el paquete de los usos que afectan a personas: divulgación del uso de IA, revisión humana de las decisiones desfavorables, evaluación de impacto o de sesgo antes del uso, aviso de los criterios de decisión, marcado de procedencia del contenido sintético, notificación de incidentes y documentación. Implanta el área una vez; acredítala frente a cada jurisdicción a través del mapa. Mantén el mapa al día mediante la vigilancia normativa del dominio 1.
Aplica la regla de resolución. Para cada sistema, activa las obligaciones de todas las jurisdicciones en las que produce efectos. Cuando dos impongan el mismo tipo de obligación a profundidades distintas, a ese sistema se le aplica la más profunda. Resuelve por sistema las restricciones de residencia de datos y de ubicación del tratamiento a través del área de aprovisionamiento, porque un mismo sistema puede servir lícitamente a una jurisdicción desde una región dada y a otra no.
Controles
Enhanced2 controles
Control 239
Mantén el mapa de aplicabilidad de cada sistema.
EnhancedPreventivotodos los rolespor sistema
Qué es
Alcance territorial, normativo y corporativo, actualizado ante cualquier cambio.
Cómo implantarlo · Contenido mínimo
Identificador y nombre del sistema, tomados del inventario
Ámbito territorial: jurisdicciones donde se comercializa, se pone en servicio o produce efectos sobre personas
Ámbito normativo: régimen específico de IA, ley de protección de datos, normas sectoriales, normas de uso concreto (p. ej. empleo, crédito)
Ámbito societario: qué entidad del grupo es proveedor, implantador o ambos
Nivel normativo resultante para el sistema
Responsable y fecha de última revisión; actualización ante nuevo país, nuevo uso, nueva entidad o cambio normativo
Cómo arrancar
Añade estas columnas al inventario y rellénalas primero para los sistemas que afectan a personas.
Evidencia
El mapa de aplicabilidad con sus fechas de revisión y los eventos de cambio que lo actualizaron.
Modo: ligero / estándar / completo
ligero
La dirección rellena las columnas, normalmente para una jurisdicción, con un asesor si hace falta.
estándar
Jurídico o cumplimiento lo completa con los responsables y lo actualiza con la vigilancia normativa.
completo
Una función regulatoria lo mantiene para todo el grupo, revisado por el jurídico de cada país.
Control 240
Aplica el máximo por sistema cuando los regímenes difieran, y registra la resolución.
EnhancedPreventivotodos los rolespor sistema
Qué es
Incluida la decisión de residencia por sistema.
Cómo implantarlo · Pasos
A partir del mapa de regímenes, enumera las obligaciones de cada jurisdicción donde el sistema produce efectos
Agrúpalas por tipo: aviso de uso de IA, revisión humana, evaluación de impacto o de sesgo, información sobre criterios, marcado de procedencia, notificación de incidentes, documentación
Si dos jurisdicciones exigen el mismo tipo con distinta profundidad, aplica al sistema la más exigente
Resuelve la residencia de datos y la ubicación del tratamiento de este sistema mediante el aprovisionamiento, anotando qué región puede servir a qué jurisdicción
Registra por obligación: jurisdicciones, profundidad aplicada, motivo y fecha
Cómo arrancar
Toma un sistema que produzca efectos en más de un país y elabora su tabla de resolución.
Evidencia
La resolución registrada por sistema, incluida su decisión de residencia.
Modo: ligero / estándar / completo
ligero
Con una sola jurisdicción no suele haber nada que resolver; anótalo y revísalo si el negocio sale al exterior.
estándar
Jurídico o cumplimiento elabora la tabla por sistema multijurisdiccional; el responsable la aplica.
completo
La función regulatoria resuelve de forma centralizada; aprovisionamiento aplica la residencia por región.
Evidencia
El mapa de aplicabilidad; el mapa de regímenes con su última fecha de revisión; las resoluciones registradas para cada sistema.