Cuestionario de diligencia debida de proveedores de IA para la Ley de IA de la UE
Cuestionario de diligencia debida sobre proveedores de IA para la Ley de IA: marcado CE, conformidad, registro y qué preguntar antes de comprar.
Antes de comprar una herramienta de IA, lo que quieres del proveedor es una sola cosa: pruebas de que, si el sistema es de alto riesgo, ha hecho los deberes que le corresponden como proveedor. Este cuestionario te da exactamente eso: un conjunto estructurado de preguntas que un responsable del despliegue plantea a un proveedor antes de firmar.
Enfócalo bien desde el principio, porque el enfoque cambia lo que tienes derecho a esperar. Esto es diligencia debida del responsable del despliegue sobre el paquete de un proveedor, no una «obligación del proveedor» legal que tú estés haciendo cumplir. La Ley de IA de la UE pone los deberes de conformidad sobre el proveedor (artículos 16, 43, 47, 48, 49). Como responsable del despliegue, tus propios deberes viven en el artículo 26: usar el sistema conforme a sus instrucciones, garantizar la supervisión humana, supervisar su funcionamiento. El cuestionario es la forma de confirmar, comercial y contractualmente, que el proveedor ha cumplido sus deberes antes de que tú asumas los del responsable del despliegue. Plantear estas preguntas es buena contratación; no eres tú quien vigila el cumplimiento de la ley.
La primera pregunta filtra todo lo demás.
Pregunta 0: ¿El sistema es de alto riesgo?
Si el sistema no es de alto riesgo, la mayor parte de este cuestionario no se aplica. Una herramienta de riesgo mínimo no necesita marcado CE, ni declaración de conformidad, ni entrada en la base de datos de la UE. Una herramienta de riesgo limitado solo necesita las funciones de transparencia del artículo 50. Así que la pregunta de umbral es si el sistema entra en una categoría del anexo III (o es un componente de seguridad de un producto del anexo I) y supera el filtro del artículo 6(3).
Pide al proveedor que indique, por escrito, su clasificación del sistema según el artículo 6 y el razonamiento. Un proveedor que no sabe decirte cómo clasificó su propio sistema es ya de por sí una señal de alarma. Si su respuesta es «alto riesgo», recorre el resto de este cuestionario. Si es «no es de alto riesgo», pide el razonamiento, contrástalo con tu uso previsto (la misma herramienta puede ser de alto riesgo para un uso y no para otro) y conserva el análisis en el expediente.
El cuestionario de diligencia debida (sistemas de alto riesgo)
Para un sistema que el proveedor clasifique como de alto riesgo, pide pruebas documentadas de cada punto. Las referencias a los artículos te dicen qué es cada artefacto y de dónde procede.
| # | Qué pedir | Artículo / Anexo | Por qué te importa |
|---|---|---|---|
| 1 | Una copia o constancia del marcado CE en el sistema | Artículo 48 | La marca visible con la que el proveedor afirma la conformidad |
| 2 | La declaración UE de conformidad | Artículo 47 / Anexo V | La declaración formal y firmada de conformidad del proveedor |
| 3 | Confirmación de que la evaluación de la conformidad se completó, y por qué vía | Artículo 43 (Anexo VI interno / Anexo VII organismo notificado) | Te dice si intervino un organismo notificado (biometría) o fue autoevaluación |
| 4 | Acceso a, o un resumen de, la documentación técnica | Artículo 11 / Anexo IV | La base de pruebas que respalda la afirmación de conformidad |
| 5 | Confirmación de que el sistema está registrado en la base de datos de la UE | Artículo 49 | Los sistemas autónomos de alto riesgo deben registrarse antes de introducirse en el mercado |
| 6 | Para un proveedor de fuera de la UE, el representante autorizado en la UE designado | Artículo 22 | Tu punto de contacto y el anclaje legal del proveedor en la UE |
| 7 | Las instrucciones de uso | Artículo 13 | Las necesitas para cumplir tus propios deberes de responsable del despliegue del artículo 26 |
| 8 | Un compromiso de cooperar y facilitar información cuando se solicite | Artículo 25(2) | Confirma que el proveedor te apoyará a ti y a las autoridades |
| 9 | El canal y el proceso de notificación de incidentes graves | Artículo 73 | Cómo se notifican los incidentes y tu vía de entrada en él |
| 10 | Para sistemas construidos sobre un modelo de IA de uso general, la información del modelo GPAI | Artículo 53 | La información posterior que debe facilitar el proveedor del modelo |
Algunas notas prácticas sobre las entradas:
- El marcado CE y la declaración de conformidad (filas 1-2) son los artefactos principales. El marcado CE (artículo 48) es la afirmación visible; la declaración de conformidad (artículo 47, con el contenido fijado por el anexo V) es el documento firmado que la respalda. Pide ambos: la marca sin la declaración está incompleta.
- La vía de evaluación de la conformidad (fila 3) te dice mucho. La mayoría de los sistemas del anexo III usan la autoevaluación interna del anexo VI; solo la biometría (anexo III, punto 1) pasa por un organismo notificado en virtud del anexo VII. Si un proveedor de un sistema biométrico no sabe nombrar a un organismo notificado, indaga más.
- El registro en la base de datos de la UE (fila 5) es un deber del proveedor según el artículo 49; a menudo puedes verificarlo tú mismo una vez que la base de datos esté poblada.
- El representante autorizado (fila 6) importa sobre todo cuando compras fuera de la UE: en virtud del artículo 22, un proveedor de fuera de la UE de un sistema de alto riesgo debe designar uno, y ese representante es tu anclaje y el de las autoridades.
- La cooperación del artículo 25(2) (fila 8) conviene plasmarla en el contrato, no solo en el cuestionario: convierte una expectativa legal en un compromiso en el que puedes confiar.
Lo que este cuestionario no te convierte
Rellenarlo no te convierte en el proveedor, ni traslada a ti los deberes del proveedor. Sigues siendo un responsable del despliegue, con deberes del artículo 26. La excepción que hay que vigilar: si modificas sustancialmente el sistema de alto riesgo, o lo introduces en el mercado con tu propio nombre o marca comercial, el artículo 25 puede convertirte en proveedor de ese sistema, momento en el que el cuestionario deja de ser diligencia sobre otro y pasa a ser una lista de cosas que tú ahora debes. Ajustar (fine-tuning) un modelo del proveedor con tus propios datos es el desencadenante clásico. Si tienes previsto personalizar mucho, indícalo en la contratación y reevalúa tu papel.
Ejemplo práctico: una pyme que contrata una herramienta de alto riesgo
Toma Banca Lagune S.p.A., un banco regional italiano ficticio —unos 200 empleados, ~40 millones de euros de volumen de negocio— que contrata una herramienta de IA de puntuación crediticia a un proveedor con sede en EE. UU. La puntuación crediticia de personas físicas entra de lleno en el anexo III, así que es de alto riesgo, y Banca Lagune es el responsable del despliegue.
Recorriendo el cuestionario:
- P0 / artículo 6: el proveedor confirma la clasificación de alto riesgo, correcto, y coincide con el uso previsto de Banca Lagune (puntuar a solicitantes de préstamos).
- Filas 1-4: el proveedor aporta un marcado CE, una declaración de conformidad del anexo V, la confirmación de una evaluación de la conformidad interna del anexo VI y un resumen de documentación técnica del anexo IV.
- Fila 5: el proveedor confirma el registro en la base de datos de la UE del artículo 49; Banca Lagune anota que lo verificará de forma independiente.
- Fila 6: como el proveedor tiene sede en EE. UU., Banca Lagune pide el representante autorizado en la UE del artículo 22 y obtiene una entidad con nombre en Irlanda. Bien.
- Filas 7-9: llegan las instrucciones de uso (que alimentan la configuración de supervisión del propio artículo 26 de Banca Lagune), se incorpora al contrato una cláusula de cooperación del artículo 25(2) y se documenta el canal de notificación de incidentes graves del artículo 73.
- Comprobación del artículo 25: Banca Lagune ejecutará la herramienta tal como se suministra, sin ajustarla, así que sigue siendo responsable del despliegue. Bien: si hubiera reentrenado el modelo con su propia cartera, podría haber pasado a territorio de proveedor.
El resultado: Banca Lagune ha documentado, antes de firmar, que el proveedor cumplió sus deberes, tiene las instrucciones que necesita para sus propias obligaciones de responsable del despliegue y cuenta con un compromiso contractual de cooperación. Su tarea restante es el trabajo del responsable del despliegue del artículo 26: la supervisión humana de las decisiones de puntuación y, dado que la puntuación crediticia es un uso del anexo III(5)(b), una EIDF del artículo 27.
Cómo ayuda Confir
El motor de clasificación de Confir es basado en reglas y determinista, de modo que primero resuelve la Pregunta 0 de forma reproducible —¿es este sistema de alto riesgo para tu uso previsto?— y te dice qué regla se activó. Para las contrataciones de alto riesgo estructura el rastro de pruebas del proveedor (marcado CE, declaración de conformidad, vía de conformidad, registro, representante autorizado, instrucciones de uso) junto a tu propio registro de responsable del despliegue del artículo 26 y cualquier EIDF del artículo 27, manteniendo la diligencia de contratación y las obligaciones de despliegue en un único registro a escala de toda la organización.
Guías relacionadas
- obligaciones del responsable del despliegue según el artículo 26
- la plantilla de cuestionario para proveedores de IA
- evaluación de riesgos de proveedores de IA
- lista de comprobación de diligencia debida de IA
- el marcado CE explicado
- registro en la base de datos de la UE
- representantes autorizados
- papeles de proveedor frente a responsable del despliegue
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →