Guías Técnicas Especializadas De La AESIA Para Cumplir Con El Reglamento Europeo De Inteligencia Artificial (Guías 13 Y 14)

Continuamos con nuestro análisis del segundo bloque de Guías Técnicas Especializadas (Guías 3 a 15) de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) para el cumplimiento del Reglamento Europeo de Inteligencia Artificial (RIA).

Esta vez desglosamos los pilares operativos de las Guías núm. 13 y 14, centradas en el plan de vigilancia poscomercialización y la notificación de incidentes graves.

Guía 13: "Plan de vigilancia poscomercialización"

La Guía 13, titulada "Plan de vigilancia poscomercialización", se centra en explicar en qué consisten los sistemas de vigilancia poscomercialización y la importancia de los mismos en los sistemas de IA de alto riesgo. Estos sistemas son un conjunto de procesos y herramientas cuya finalidad es recabar los datos de un sistema para convertirlos en una serie de indicadores sobre su actividad con el objetivo de poder supervisar los sistemas de IA después de que sean lanzados al mercado. Con estos sistemas, el proveedor podrá evaluar si los sistemas de IA cumplen adecuadamente con los requisitos de sistemas de alto riesgo. Estos sistemas funcionan mediante subsistemas: sistemas de captación de indicadores, sistemas de registro de dichos indicadores, sistema de alertas automatizadas, y diferentes interfaces de análisis para los encargados de vigilancia.

Para desarrollar un adecuado sistema de vigilancia poscomercialización, la Guía presenta un resumen sobre las fases de desarrollo de estos sistemas y los componentes que deben tener:

Ilustración. ‘Plan de vigilancia poscomercialización’. Fuente: Guía nº 13

Así, para implementar un adecuado plan de vigilancia poscomercialización, se deben implementar las siguientes medidas/actuaciones:

• Vigilancia continua de los sistemas de IA de alto riesgo para poder garantizar que el sistema continúe funcionando de manera segura y eficaz una vez esté ya en el mercado. Además, la vigilancia continuada (a través del control de los indicadores del sistema, los indicadores de seguridad, supervisión de los cambios en los indicadores mediante alertas, etc.) es primordial para estar preparados ante cualquier cambio abrupto en el comportamiento del sistema y ante cualquier problema de rendimiento del sistema cono consecuencia de una variedad de factores como, por ejemplo, el envejecimiento de los datos de entrenamiento o la falta de capacitación adecuada.
• Evaluaciones regulares (vigilancia periódica) para medir el rendimiento y la precisión del sistema de IA, las cuales permitirán detectar rápidamente problemas y tomar medidas para corregirlos. Para evaluar el rendimiento y la precisión de un sistema, algunas de las medidas para llevarlo a cabo son: las pruebas de rendimiento, que miden el tiempo de respuesta del sistema y su capacidad para manejar grandes cantidades de datos; y las pruebas de precisión, las cuales miden la precisión de los sistemas al realizar tareas específicas, como el reconocimiento de objetos en imágenes o la traducción de idiomas.
• Comunicación transparente al receptor de dicha información (e.g., proveedor, responsable del despliegue, etc.) sobre las características del sistema, el rendimiento de este y las consecuencias de su uso en producción, para así facilitar una comprensión correcta de todas las implicaciones de su empleo.
• Capacitación a los supervisores dándoles formaciones básicas sobre el funcionamiento del sistema de IA y cómo se utiliza.
• Flexibilidad a través de un plan flexible y escalable para mejorar la vigilancia del sistema, es decir, adaptar el sistema a los cambios internos y externos que puedan afectar a su funcionamiento. Entre las medidas para llevar a cabo lo anterior están: identificar las regulaciones aplicables, evaluar el rendimiento y la seguridad del sistema, identificar los riesgos de rendimiento y seguridad, vigilar el cumplimiento de la regulación existente, establecer un plan de contingencia, etc.

Por último, la Guía considera fundamental que para que se dé un adecuado sistema de vigilancia poscomercializadora debe tenerse en cuenta el resto de las Guías AESIA. Es por esto por lo que, en su último apartado de esta Guía, se correlaciona los sistemas de vigilancia poscomercialización con el resto de las Guías AESIA.

Guía 14: "Notificación de incidentes graves"

La Guía 14, titulada "Notificación de incidentes graves", detalla el marco procedimental y las medidas operativas que deben implementar los proveedores y, en algunos supuestos, los responsables del despliegue para cumplir con el artículo 73 del RIA.

La Guía subraya la importancia de identificar qué constituye un incidente grave, definido por el artículo 3(49) RIA como aquel defecto de funcionamiento que provoque: el fallecimiento o daños graves para la salud; la alteración grave e irreversible de infraestructuras críticas; la vulneración de derechos fundamentales; o daños graves al medio ambiente o la propiedad.

La Guía destaca los siguientes aspectos operativos clave:

• Sujetos obligados: El proveedor es el sujeto principal, con independencia de su origen geográfico, siempre que el sistema opere en el mercado de la UE. El responsable del despliegue asume la obligación de notificar a las autoridades si detecta el incidente y no logra contactar con el proveedor.
• Jerarquía de plazos: La notificación debe realizarse inmediatamente después de establecer un vínculo causal entre el sistema y el incidente, respetando los siguientes plazos:
  • 2 días: En caso de infracción generalizada o incidente relativo a infraestructuras críticas.
  • 10 días: En caso de fallecimiento.
  • 15 días: Para el resto de incidentes graves.
• Notificaciones incrementales: Se permite presentar inicialmente una notificación incompleta para garantizar la puntualidad, seguida de una completa una vez recabada toda la información.
• Excepciones por regímenes equivalentes: Para sistemas sujetos a legislaciones sectoriales de la UE con obligaciones de notificación equivalentes (incluidos los componentes de seguridad de productos sanitarios regulados por los Reglamentos 2017/745 y 2017/746), la notificación se limitará exclusivamente a los incidentes que afecten a derechos fundamentales. Si el sistema opera en varios Estados miembros, la notificación deberá dirigirse a todas las autoridades de vigilancia de mercado (AVM) de los Estados afectados.

Asimismo, la Guía identifica los siguientes procesos para una adecuada gestión:

1. Evaluación e investigación técnica: Tras la notificación, el proveedor realizará sin demora una evaluación de riesgos y adoptará medidas correctoras. No podrá modificar el sistema de un modo que pueda repercutir en la evaluación de las causas sin informar previamente a las autoridades. La Autoridad de Vigilancia de Mercado (AVM) dispondrá de 7 días para adoptar las medidas adecuadas, que pueden llegar a la retirada o prohibición del sistema, y deberá notificar inmediatamente a la Comisión Europea. Si el incidente afecta a derechos fundamentales, la AVM informará también a los organismos nacionales competentes en la materia.
2. Integración en la gobernanza y el SGC: El procedimiento debe formalizarse dentro del Sistema de Gestión de la Calidad (SGC) del proveedor. Las medidas operativas clave incluyen: disponer del contacto con la AVM; establecer un canal de comunicación con el responsable del despliegue (art. 13.3.a); conocer la categorización del sistema para determinar si aplican las excepciones; y conocer los derechos fundamentales de la Unión para identificar cuándo una desviación constituye un incumplimiento notificable.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.