Datos de entrenamiento, datos de validación y datos de prueba en virtud de la Ley de IA de la UE
Definiciones de la Ley de IA de la UE de los datos de entrenamiento, validación y prueba (Artículo 3) y los requisitos de gobernanza de datos para la IA de alto riesgo con arreglo al Artículo 10.
En virtud del Reglamento (UE) 2024/1689, los datos de entrenamiento son los datos utilizados para entrenar un sistema de IA mediante el ajuste de sus parámetros entrenables. Es una de las tres categorías de datos interrelacionadas que la Ley define y regula — junto con los datos de validación y los datos de prueba — porque la calidad de esos conjuntos de datos es el factor que más determina si un sistema de IA de alto riesgo se comportará de forma segura, justa y según lo previsto.
Para los proveedores de IA de alto riesgo, no se trata de una preocupación teórica. El Artículo 10 impone requisitos concretos de gobernanza de datos — criterios de calidad, examen de sesgos, comprobaciones de representatividad y obligaciones de documentación — que deben cumplirse antes de que un sistema se introduzca en el mercado o se ponga en servicio.
Las definiciones de la Ley de IA de la UE
El artículo 3 del Reglamento (UE) 2024/1689 define las tres categorías de datos:
Datos de entrenamiento (artículo 3, punto 29): datos utilizados para entrenar un sistema de IA mediante el ajuste de sus parámetros entrenables. Estos son los parámetros — pesos, coeficientes — que el sistema ajusta durante el proceso de aprendizaje. El conjunto de datos de entrenamiento configura el comportamiento del modelo en todo su rango operativo.
Datos de validación (artículo 3, punto 30): datos utilizados para evaluar y ajustar un sistema de IA ya entrenado y para ajustar su proceso de aprendizaje, incluidos sus hiperparámetros y otras configuraciones no entrenables. La finalidad de la validación es detectar el sobreajuste — cuando un modelo funciona bien con los datos de entrenamiento pero mal con entradas no vistas — y el subajuste, cuando el modelo no ha captado los patrones subyacentes. La validación, por tanto, se produce durante el desarrollo, después de cada iteración de entrenamiento, y no como un paso final.
Datos de prueba (artículo 3, punto 31): datos utilizados para una evaluación independiente de un sistema de IA con el fin de confirmar que su rendimiento esperado se mantiene antes de introducirlo en el mercado o ponerlo en servicio. Los datos de prueba deben mantenerse separados de los datos utilizados en el entrenamiento y la validación; si los mismos datos aparecen en las tres fases, la independencia de la evaluación del rendimiento se desmorona y no se puede confiar en los resultados.
La distinción importa en la práctica porque cada conjunto de datos desempeña una función diferente en el ciclo de vida del desarrollo, y el Artículo 10 impone obligaciones a los tres — no solo al corpus de entrenamiento.
Gobernanza de datos para la IA de alto riesgo (Artículo 10)
El Artículo 10 es el artículo sobre gobernanza de datos para los sistemas de IA de alto riesgo. No se aplica al conjunto completo de los sistemas de IA — solo a aquellos que entran en la clasificación de alto riesgo con arreglo al Artículo 6 y al Anexo III (o al Anexo I para los componentes de seguridad de productos regulados). Si su sistema no es de alto riesgo, el Artículo 10 no le obliga. Si lo es, los requisitos del Artículo 10 se aplican junto con el resto del conjunto de obligaciones de alto riesgo (Artículos 9 a 15).
Criterios de calidad
El Artículo 10, apartado 3, establece los criterios de calidad que deben cumplir los conjuntos de datos de entrenamiento, validación y prueba. Los conjuntos de datos deben ser:
- Pertinentes — adecuados para la finalidad prevista del sistema. Un modelo de evaluación de la solvencia entrenado con datos procedentes de un mercado de préstamos diferente, o de un período diferente, puede no ser pertinente para el entorno en el que va a operar.
- Suficientemente representativos — los datos deben captar la población, los escenarios y las condiciones que el sistema encontrará. Una herramienta de cribado para la contratación entrenada predominantemente con solicitudes de un solo grupo demográfico no es representativa del conjunto de candidatos que evaluará.
- Sin errores y completos — en la mayor medida posible en vista de la finalidad prevista. La Ley no exige la perfección; exige un esfuerzo de buena fe y documentado por identificar y corregir errores.
- Adecuados al entorno geográfico, contextual y conductual — en el que se prevé desplegar el sistema. Un sistema entrenado con datos conductuales de un país puede funcionar de forma diferente cuando se aplica en otro, incluso para tareas nominalmente similares.
Estos criterios se aplican conjuntamente a los tres conjuntos de datos. Un proveedor no puede satisfacer el Artículo 10 invirtiendo mucho en la calidad de los datos de entrenamiento mientras descuida los conjuntos de validación y prueba.
Examen de sesgos
El Artículo 10, apartado 4, exige que los datos de entrenamiento, validación y prueba se examinen en busca de posibles sesgos que puedan afectar a la salud, la seguridad o los derechos fundamentales, o que puedan dar lugar a una discriminación prohibida por el artículo 21 del RGPD o por la Directiva 2000/43/CE.
Esta obligación es prospectiva, no reactiva. Los proveedores deben examinar los conjuntos de datos en busca de sesgos antes del despliegue, documentar los resultados y adoptar medidas correctoras cuando se detecten sesgos. El examen debe considerar si el conjunto de datos infrarrepresenta a determinados grupos, si las decisiones históricas incorporadas en los datos reflejan discriminaciones del pasado, y si los entornos geográficos o contextuales de la recopilación de datos introdujeron distorsiones sistemáticas.
El sesgo en los datos de entrenamiento se propaga a los resultados del modelo. Un sistema de empleo entrenado con decisiones de contratación históricas tomadas por un proceso humano sesgado reproducirá ese sesgo a escala. El Artículo 10, apartado 4, es el mecanismo de la Ley para romper ese ciclo en la capa de los datos, antes de que se convierta en un problema operativo y jurídico.
Tratamiento de datos de categorías especiales para la detección de sesgos
El Artículo 10, apartado 5, crea una excepción estricta. Cuando sea estrictamente necesario para detectar y corregir sesgos que puedan afectar a la salud, la seguridad o los derechos fundamentales de las personas, los proveedores podrán tratar datos de categorías especiales en el sentido del artículo 9 del RGPD — datos como el origen racial o étnico, los datos de salud o los datos sobre la orientación sexual. Este tratamiento debe estar sujeto a las salvaguardias adecuadas y no podrá utilizarse para ninguna finalidad distinta de la detección y corrección de sesgos.
Se trata de una opción política deliberada: lograr que un sistema de alto riesgo sea genuinamente representativo puede exigir comprender la composición demográfica de los datos y corregir los desequilibrios. El Artículo 10, apartado 5, lo permite manteniendo el tratamiento estrictamente acotado.
Representatividad y el vínculo con la finalidad prevista
A lo largo del Artículo 10, el concepto de «finalidad prevista» (definido por separado en el artículo 3 y pertinente para la finalidad prevista del sistema) opera como ancla de todas las evaluaciones de calidad. Lo que se considera pertinente, representativo o completo se evalúa frente a la finalidad prevista declarada — el contexto en el que el sistema está diseñado para operar. Un proveedor que más tarde amplíe el uso de un sistema para abarcar una población o geografía diferente puede descubrir que los datos originales ya no cumplen los criterios del Artículo 10 para el nuevo uso.
Documentación
Documentación técnica del Anexo IV
Todo sistema de IA de alto riesgo debe ir acompañado de documentación técnica elaborada antes de que el sistema se introduzca en el mercado o se ponga en servicio, y mantenerse actualizada. Los requisitos de contenido se establecen en el Artículo 11 y se exponen en el Anexo IV.
La sección 2, letra d), del Anexo IV exige específicamente que la documentación técnica incluya una descripción de las metodologías y técnicas de entrenamiento, y de los conjuntos de datos de entrenamiento, validación y prueba utilizados, incluidas sus características, cómo se obtuvieron y cómo el proveedor verificó su calidad y pertinencia. Aquí es donde el trabajo de gobernanza de datos del Artículo 10 se convierte en un artefacto de documentación: las decisiones tomadas sobre la selección de datos, las comprobaciones de calidad y el examen de sesgos deben quedar redactadas y disponibles para su escrutinio.
La documentación técnica del Anexo IV forma parte del expediente de evaluación de la conformidad revisado con arreglo al Artículo 43, y constituye la base de la declaración UE de conformidad expedida con arreglo al Artículo 47. Sin una documentación adecuada de los datos, no puede sustentarse correctamente ni la evaluación de la conformidad ni la declaración.
Trazabilidad de los datos
La trazabilidad — saber de dónde proceden los datos, en qué condiciones se recopilaron y cómo se trataron — no es un requisito legal independiente, pero se deriva de los criterios de calidad del Artículo 10 y del deber de documentación del Anexo IV. Un proveedor que no pueda describir el origen y el historial de tratamiento de sus datos de entrenamiento no puede afirmar de forma creíble que los datos son pertinentes, representativos y carecen de errores conocidos. Las autoridades reguladoras y los organismos notificados que examinen el expediente técnico esperarán esta información.
La documentación de la trazabilidad debe abarcar: la fuente de los datos (recopilación interna, conjuntos de datos con licencia, fuentes de acceso público); el período de recopilación; cualquier paso de preprocesamiento aplicado; cómo se verificaron los derechos de acceso y uso (especialmente pertinente para los datos personales); y las medidas adoptadas para evaluar y abordar los problemas de calidad de los datos.
Para los proveedores que utilizan modelos preentrenados como base, la cuestión de la gobernanza de datos se extiende a los datos de entrenamiento previos utilizados por el desarrollador del modelo. Ese aspecto se cruza con el marco de la IA de uso general previsto en los Artículos 53 y 55 (obligaciones de los proveedores de modelos de IA de uso general de resumir los datos de entrenamiento), pero, para el proveedor del sistema posterior, la obligación pertinente sigue siendo el Artículo 10 aplicado a cualquier conjunto de datos de ajuste fino o de entrenamiento adicional que el proveedor controle.
Cómo se corresponde Confir con el Artículo 10
El módulo AITR de Confir — Datos y Robustez Técnica — estructura la evaluación del Artículo 10 como un conjunto de controles en lenguaje sencillo. Cada control se corresponde con un requisito específico: la pertinencia de los datos para la finalidad prevista; la representatividad en los segmentos de población pertinentes; un examen de sesgos documentado; el registro de datos de categorías especiales del Artículo 10, apartado 5, si procede; y las entradas de trazabilidad de los datos exigidas para el expediente técnico del Anexo IV.
El resultado alimenta directamente el paquete de documentación técnica que genera Confir — una ficha técnica del Anexo IV lista para imprimir que incluye la sección de gobernanza de datos junto con la descripción del sistema, el resumen de la gestión de riesgos y las métricas de exactitud. El motor es determinista y basado en reglas: las mismas respuestas producen la misma documentación, sin variación y sin alucinaciones.
Preguntas frecuentes
¿Se aplica el Artículo 10 a todos los sistemas de IA, o solo a los de alto riesgo?
El Artículo 10 se aplica únicamente a los sistemas de IA de alto riesgo, clasificados con arreglo al Artículo 6 y al Anexo III (o al Anexo I para los componentes de seguridad de los productos). Los proveedores de sistemas de riesgo mínimo o de riesgo limitado no están sujetos a los requisitos de gobernanza de datos del Artículo 10, aunque una buena práctica de datos sigue siendo aconsejable para cualquier sistema que afecte a las personas. Si no tiene la certeza de si su sistema es de alto riesgo, el punto de partida son las reglas de clasificación del Artículo 6 y la lista de casos de uso del Anexo III.
¿Cuál es la diferencia entre los datos de validación y los datos de prueba?
Ambos se utilizan para evaluar un sistema de IA, pero en fases distintas y con finalidades distintas. Los datos de validación se utilizan durante el desarrollo para ajustar los hiperparámetros y orientar las decisiones de entrenamiento — forman parte del proceso de desarrollo iterativo. Los datos de prueba se reservan y se utilizan una sola vez, como comprobación independiente del rendimiento del sistema final antes de su lanzamiento al mercado. Mezclarlos — o utilizar datos de entrenamiento en cualquiera de las dos funciones — socava la independencia que hace que la evaluación sea significativa. El artículo 3 (puntos 30 y 31) define ambos por separado, reflejando esta distinción.
¿Cómo de representativos deben ser los datos de entrenamiento?
La Ley exige que los datos sean «suficientemente representativos» — un criterio que se evalúa frente a la finalidad prevista y el entorno operativo del sistema. No hay un umbral cuantitativo en el texto. En la práctica, los proveedores deben documentar la composición demográfica, geográfica y contextual de sus conjuntos de datos, identificar las lagunas y adoptar medidas para abordarlas. Para una herramienta de cribado para la contratación que opera en varios Estados miembros de la UE, eso significa examinar si los datos de entrenamiento reflejan la población real de candidatos en cada país, no solo la jurisdicción donde se recopilaron originalmente los datos.
¿Puede un proveedor utilizar datos personales sensibles para comprobar la existencia de sesgos?
Sí, con arreglo al Artículo 10, apartado 5, pero solo dentro de límites estrictos. El tratamiento de datos personales de categorías especiales — datos que revelan el origen racial o étnico, datos de salud, orientación sexual y otras categorías definidas en el artículo 9 del RGPD — está permitido cuando sea estrictamente necesario para detectar y corregir sesgos que puedan perjudicar a la salud, la seguridad o los derechos fundamentales. El tratamiento debe estar sujeto a salvaguardias adecuadas y no podrá reutilizarse. Los proveedores deben documentar este tratamiento por separado y asegurarse de que quede cubierto en la sección de gobernanza de datos de su expediente técnico del Anexo IV.
¿Cuándo se aplica la obligación del Artículo 10?
El Artículo 10 forma parte de las obligaciones de alto riesgo que se aplican a los sistemas autónomos del Anexo III desde el 2 de diciembre de 2027 en virtud del acuerdo político del Ómnibus Digital alcanzado en mayo de 2026. La IA de alto riesgo integrada en productos regulados con arreglo al Anexo I sigue el 2 de agosto de 2028. Estas fechas sustituyeron al plazo original de agosto de 2026, que se aplazó. Los proveedores que desarrollan sistemas de alto riesgo ahora necesitan asegurarse de que sus prácticas de gobernanza de datos estén documentadas y sean defendibles para esas fechas — el expediente técnico debe estar listo antes de que el sistema se introduzca en el mercado.
¿Exige el Artículo 10 que se conserven los propios datos de entrenamiento?
La Ley no obliga a la conservación indefinida de los datos de entrenamiento sin procesar, pero los requisitos del Artículo 10 carecen de sentido operativo sin registros de qué datos se utilizaron, cómo se seleccionaron y cómo se evaluó su calidad. La documentación del Anexo IV debe describir estos elementos. La documentación técnica debe conservarse durante diez años después de que el sistema se haya introducido en el mercado (Artículo 18). Durante cuánto tiempo deben conservarse los conjuntos de datos subyacentes también vendrá determinado por las obligaciones del RGPD cuando los datos incluyan datos personales.
Términos relacionados
- Finalidad prevista — el concepto ancla para las evaluaciones de calidad y representatividad del Artículo 10
- Gobernanza de datos (el Artículo 10 en la práctica) — el programa operativo para cumplir los requisitos del Artículo 10
- Documentación técnica del Anexo IV — donde se registran formalmente la trazabilidad y la gobernanza de los datos
- Documentación técnica — la estructura de contenido más amplia del Anexo IV y cómo elaborarla
- Sesgo en los sistemas de IA — el riesgo que el Artículo 10, apartado 4, está diseñado para sacar a la luz y corregir
- Artículo 10 — datos y gobernanza de datos — el conjunto completo de obligaciones del Artículo 10 para los proveedores de IA de alto riesgo
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 7 días.
Empieza la prueba gratuita →