Ley de IA y outsourcing documental: qué revisar con el proveedor
La IA puede acelerar el reconocimiento, la clasificación y el enrutamiento de documentos, pero no traslada la responsabilidad al algoritmo. Esta guía ayuda a evaluar al proveedor antes de pasar a producción.
Desde el 2 de agosto de 2026, las autoridades competentes y la Oficina de IA aplican nuevas obligaciones del Reglamento de IA de la UE. Esto no convierte automáticamente cada OCR, regla de clasificación o clasificador documental en un sistema de alto riesgo. Sí obliga a saber dónde se utiliza IA, qué hace, con qué datos trabaja y quién controla el resultado.
Un proceso documental externalizado puede combinar escaneo, reconocimiento, extracción, clasificación, enrutamiento y generación de respuestas. Esta lista convierte los principios regulatorios en requisitos operativos y no sustituye el análisis jurídico de cada caso.
1. Diferencia IA de automatización convencional
Una regla fija funciona de forma distinta a un modelo que predice una categoría. Solicita un mapa tecnológico con reglas, OCR, modelos de aprendizaje automático y puntos de aprobación humana.
2. Mapea datos, resultados y consecuencias del error
Incluye imágenes, texto OCR, metadatos, historial y datos usados para mejorar el modelo. Indica si el resultado es una sugerencia o activa una acción. Una categoría sugerida requiere controles distintos de un rechazo automático o de una decisión que afecte a una persona.
3. Define las funciones de todas las partes
Identifica al propietario del proceso, proveedor tecnológico, operador del modelo, usuario del resultado, responsable y encargado del tratamiento. Las funciones del Reglamento de IA y del RGPD no siempre coinciden. Incluye subencargados y ubicaciones.
4. Exige una clasificación de riesgo razonada
El riesgo depende del uso, no de la etiqueta “IA”. Empleo, solvencia y otras áreas enumeradas pueden exigir obligaciones reforzadas. La clasificación técnica de correo sigue necesitando controles de calidad, privacidad y seguridad aunque no sea de alto riesgo.
5. Añade la calidad del modelo al SLA
| Área | Pregunta | Evidencia |
|---|---|---|
| Precisión | ¿Cómo se mide el error? | Muestra representativa |
| Excepciones | ¿Cuándo interviene una persona? | Umbrales y cola |
| Cambios | ¿Quién aprueba una versión? | Registro y prueba de regresión |
| Incidentes | ¿Cómo se detectan errores sistemáticos? | Alertas y análisis causal |
| Datos | ¿Se usan documentos para entrenar? | Contrato, retención y base jurídica |
6. Diseña una supervisión humana real
La persona debe ver el documento original, comprender las limitaciones, poder corregir el resultado y detener el proceso. Baja confianza, escaneos deficientes, tipos nuevos y decisiones de gran impacto deben activar revisión.
7. Conecta el Reglamento de IA con el RGPD
El Reglamento de IA no sustituye al RGPD. Siguen siendo necesarios finalidad, base jurídica, minimización, retención, seguridad y derechos. Comprueba si los datos del cliente entrenan un modelo compartido y si se requiere una evaluación de impacto.
8. Controla versiones y regresiones
El comportamiento puede variar tras actualizar el modelo, prompt, diccionario, OCR o diseño documental. Cada cambio relevante necesita versión, alcance, prueba y reversión. Prueba documentos habituales, difíciles y atípicos en todos los idiomas.
9. Acuerda un plan de incidentes y salida
Define cuándo un error se convierte en incidente, cómo detener acciones automáticas y cómo activar el modo manual. El plan de salida debe incluir datos, configuraciones, diccionarios, registros y excepciones.
10. Empieza con un piloto medible
- Selecciona un tipo documental y volumen limitado.
- Crea un conjunto de referencia verificado.
- Fija umbrales de calidad y revisión.
- Prueba escaneos deficientes, idiomas y campos ausentes.
- Compara tiempo, coste y correcciones.
- Amplía solo tras cumplir los criterios.
Fuentes
- Reglamento (UE) 2024/1689
- Comisión Europea: marco regulador de IA
- CEPD: inteligencia artificial y protección de datos
FAQ
¿Todo OCR está sujeto al Reglamento de IA?
No. El OCR convencional o las reglas fijas pueden no ser sistemas de IA. Hay que evaluar su funcionamiento, finalidad y consecuencias.
¿Puede el proveedor entrenar el modelo con nuestros documentos?
Solo con condiciones claras sobre finalidad, alcance, base jurídica, retención, confidencialidad y posibilidad de exclusión.
¿Basta con la supervisión humana?
Solo si es real: la persona ve los datos fuente, entiende las limitaciones, puede modificar el resultado y detener el proceso.
¿Por dónde empezar la revisión?
Por el mapa de usos, datos, subencargados y consecuencias del error; después, métricas, umbrales, versiones e incidentes.