Plantilla de política de gobernanza de datos de la Ley de IA (artículo 10)

Para los sistemas de IA de alto riesgo, el artículo 10 de la Ley de IA de la UE, el Reglamento (UE) 2024/1689, establece requisitos para los datos de entrenamiento, validación y prueba que sustentan el modelo. La gobernanza de datos es, de forma sistemática, el punto de alto riesgo que más tarda en resolverse, así que conviene empezar pronto con una política documentada como la que esta página te ayuda a redactar. Es una obligación del proveedor.

Qué exige el artículo 10

Los conjuntos de datos de entrenamiento, validación y prueba de alto riesgo deben someterse a prácticas de gobernanza de datos adecuadas a la finalidad prevista, que abarquen en particular:

• que sean pertinentes, suficientemente representativos y lo más libres de errores y completos posible en relación con la finalidad prevista;
• las decisiones de diseño y los procesos de recogida de datos adecuados, incluido el origen de los datos;
• el examen de sesgos que puedan afectar a la salud, la seguridad o los derechos fundamentales, o conducir a una discriminación prohibida, y las medidas para detectarlos, prevenirlos y mitigarlos;
• la identificación de lagunas o deficiencias en los datos y la forma de subsanarlas;
• propiedades estadísticas adecuadas respecto de las personas o grupos sobre los que se pretende utilizar el sistema.

El artículo 10 permite el tratamiento de categorías especiales de datos estrictamente cuando sea necesario para detectar y corregir sesgos, con las debidas garantías.

La política: campos que recoger

1. Ámbito. Sistema(s) cubierto(s); finalidad prevista; categoría del anexo III; responsable/propietario de los datos.

2. Fuentes y procedencia de los datos. Cada conjunto de datos, su origen, licencia/base jurídica y método de recogida.

3. Pertinencia y representatividad. Cómo se ajustan los datos a la finalidad prevista y a la población objetivo; límites de cobertura conocidos.

4. Calidad. Procesos de comprobación de errores, completitud, calidad del etiquetado y desduplicación.

5. Examen de sesgos. Características protegidas evaluadas; métodos empleados; conclusiones; mitigaciones; cualquier categoría especial de datos tratada para corregir sesgos y sus garantías.

6. Lagunas y deficiencias. Lagunas detectadas y el plan para subsanarlas.

7. Alineación con el RGPD. Base jurídica, minimización de datos, vínculo con la EIPD (artículo 35 del RGPD), conservación.

8. Revisión. Periodicidad, responsable y desencadenante de la revalidación (nuevos datos, deriva, cambio de finalidad prevista).

Ejemplo práctico: un proveedor de scoring crediticio de alto riesgo

NordCredit desarrolla un modelo de evaluación de la solvencia de alto riesgo (anexo III, punto 5(b)). Su política de gobernanza de datos documenta el origen y la base jurídica de cada conjunto de datos, demuestra que los datos de entrenamiento son representativos de la población de solicitantes, registra un examen de sesgos en las características protegidas con sus mitigaciones y deja constancia de las categorías especiales de datos tratadas al amparo de la excepción de corrección de sesgos del artículo 10, con sus garantías. La política se vincula a la EIPD del RGPD y alimenta la documentación técnica del anexo IV.

Cómo te ayuda Confir

Confir vincula el registro de gobernanza de datos al sistema de alto riesgo concreto y a su expediente técnico del anexo IV, solicita cada elemento del artículo 10 y mantiene actualizados los registros de examen de sesgos y de lagunas. El motor es determinista y basado en reglas, de modo que la política se mantiene coherente con el resto de la documentación.

Preguntas frecuentes

¿Qué exige el artículo 10 sobre los datos?

Que los datos de entrenamiento, validación y prueba de alto riesgo sean pertinentes, suficientemente representativos y lo más libres de errores y completos posible para la finalidad prevista; que el diseño y la recogida sean adecuados; que los datos se examinen en busca de sesgos y lagunas con su mitigación; y que tengan propiedades estadísticas idóneas para la población objetivo.

¿Se aplica el artículo 10 a toda la IA?

No. Es un requisito de alto riesgo del capítulo III. Los sistemas de riesgo mínimo y limitado no llevan la obligación de gobernanza de datos del artículo 10, aunque las buenas prácticas con los datos siempre son sensatas. Clasifica primero el sistema.

¿Podemos tratar categorías especiales de datos para comprobar sesgos?

Sí, de forma muy acotada. El artículo 10 permite tratar categorías especiales de datos estrictamente cuando sea necesario para detectar y corregir sesgos en sistemas de alto riesgo, con las debidas garantías. Es una excepción que hay que documentar con cuidado, junto a tus obligaciones del RGPD.

¿Qué relación tiene con el RGPD?

Corren en paralelo. El artículo 10 trata de la calidad de los datos y los sesgos en la IA de alto riesgo; el RGPD regula la licitud del tratamiento de datos personales. La política de gobernanza de datos debe vincularse a tu base jurídica del RGPD y, cuando proceda, a la EIPD del artículo 35 del RGPD.

¿Cuándo se aplica la obligación?

Con el resto del régimen de alto riesgo: la fecha de aplicación es el 2 de diciembre de 2027, en virtud del Ómnibus Digital, ya adoptado. Como la subsanación de los datos es lenta, empiézala mucho antes de la fecha aplicable.

Guías relacionadas

• Conformity assessment checklist
• DPIA and FRIA for AI systems
• Annex III high-risk use cases
• Human oversight protocol template
• How AI risk classification works