Reglament Europeu d'IA: què ha de fer la teva empresa

El Reglament Europeu d’IA (EU AI Act) és la primera llei integral del món que regula la intel·ligència artificial, i ja no és cosa del futur. Les obligacions entren en vigor per fases, i les que afecten la majoria d’empreses ja s’apliquen o s’aplicaran aviat. Si la teva empresa desenvolupa, ven o simplement fa servir IA dins de la UE, o té clients a la UE, t’afecta.

La bona notícia: per a la gran majoria d’empreses, complir-lo és assumible. La dolenta: “no sabíem que ens afectava” no serveix de defensa, i les sancions són serioses: fins a 35 milions d’euros o el 7% de la facturació anual mundial en les infraccions més greus. Aquí tens el que importa de debò, explicat amb paraules clares.

Es classifica per risc, no per tecnologia

El Reglament no regula “la IA” en bloc. Classifica els sistemes d’IA en nivells segons el dany que podrien causar, i les obligacions augmenten com més alt és el nivell.

• Risc inacceptable: prohibit. Coses com la puntuació social per part dels governs, els sistemes manipuladors que s’aprofiten de vulnerabilitats i la major part de la identificació biomètrica en temps real en espais públics. Senzillament, estan prohibits.
• Risc alt: molt regulat. IA utilitzada en la selecció de personal, la puntuació de crèdit, l’educació, les infraestructures crítiques, els dispositius mèdics, els cossos de seguretat i àmbits amb conseqüències similars. Aquest nivell concentra el gruix de les obligacions.
• Risc limitat: només transparència. Chatbots, contingut generat per IA i similars. El requisit central és la sinceritat: les persones han de saber que parlen amb una IA o que el material que veuen l’ha generat una IA.
• Risc mínim: pràcticament sense regulació. Filtres de correu brossa, motors de recomanació, la majoria de l’automatització interna. Aquí és on hi ha la gran majoria de la IA empresarial.

El primer pas, i el més important, és esbrinar en quin nivell entra cadascun dels usos d’IA que fas. El més habitual és que la majoria quedin a “limitat” o “mínim”, però convé revisar si algun sistema entra a “alt risc” sense que ningú se n’hagi adonat.

Què exigeix de veritat l‘“alt risc”

Si fas servir un sistema d’alt risc, les obligacions són importants, però concretes:

• Un sistema de gestió de riscos mantingut durant tot el cicle de vida.
• Governança de dades: controls de qualitat, pertinència i biaix de les dades d’entrenament i d’entrada.
• Documentació tècnica i un registre detallat (logging) del funcionament del sistema.
• Transparència, perquè qui el posa en funcionament sàpiga fer-lo servir correctament.
• Supervisió humana integrada en el disseny del sistema, no afegida a posteriori.
• Precisió, robustesa i ciberseguretat adequades al cas d’ús.
• Una avaluació de la conformitat abans que el sistema arribi al mercat.

En aquesta mena de requisits, la manera com es construeix el programari és determinant. Complir surt molt més barat quan la documentació, el logging i la supervisió es dissenyen des del primer dia en lloc d’afegir-se al final. És una de les raons per les quals, en la nostra feina de programari a mida, tractem la governança com a part de l’encàrrec d’enginyeria i no com a paperassa d’última hora.

Les normes de transparència afecten gairebé tothom

Encara que cap dels teus sistemes no sigui d’alt risc, les obligacions de transparència del risc limitat són àmplies i fàcils de passar per alt:

• Els chatbots i els assistents d’IA han de deixar clar que l’usuari parla amb una màquina.
• El contingut generat o manipulat per IA (imatges, àudio, vídeo, textos publicats per informar el públic) s’ha d’etiquetar i, cada cop més, ha de portar marques de procedència llegibles per màquina.
• Els deepfakes s’han d’identificar com a contingut generat artificialment.

Si durant l’últim any has afegit un assistent d’IA a la teva web o al teu producte, gairebé segur que això t’afecta. Normalment la solució és senzilla (un etiquetatge i un avís clars), però s’ha de fer bé. Quan fem integracions d’IA, aquest avís hi va inclòs de sèrie; no és un extra.

El calendari que convé tenir present

El Reglament s’aplica per fases. Primer van arribar les prohibicions dels sistemes de risc inacceptable. Després, les obligacions per als models d’IA d’ús general. El règim complet d’alt risc s’aplica en un termini més llarg, i algunes normes sobre productes que integren IA són les últimes a arribar. Les dates exactes van canviant a mesura que es publiquen guies, així que el consell pràctic és senzill: no esperis que arribi el termini del teu sistema de més risc per començar. Fer l’inventari i la classificació requereix temps, i resoldre el que en surti, encara més.

Un camí pràctic per complir

No et cal un departament jurídic dedicat a la IA. Et cal un procés ordenat en cinc passos:

1. Fes l’inventari de tots els sistemes d’IA que desenvolupes o fas servir, inclosos els que porten integrats les eines que has comprat.
2. Classifica cadascun per nivell de risc. Aquest és el pas que més coses aclareix.
3. Aplica l’etiquetatge de transparència allà on s’apliquin les normes de risc limitat: és ràpid i elimina el risc més fàcil d’evitar.
4. Per a tot el que sigui d’alt risc, prepara la documentació, el logging, la supervisió i l’avaluació que exigeix el Reglament, idealment millorant el sistema en si i no només redactant-ne informes.
5. Assigna un responsable. Algú ha de mantenir l’inventari al dia a mesura que incorporis més IA, perquè n’incorporaràs.

Per a moltes empreses mitjanes, el difícil no és la feina en si, sinó saber per on començar i qui se n’ha d’encarregar. És una bona raó per incorporar lideratge tècnic sènior en format de CTO extern: algú que faci l’inventari, prengui les decisions de risc i munti una governança que continuï funcionant a mesura que l’empresa fa servir més IA.

El canvi de mentalitat

És temptador veure el Reglament d’IA com un peatge normatiu, un cost que cal reduir al mínim. Les empreses que el gestionen millor ho veuen d’una altra manera. Construir una IA documentada, auditable, transparent i supervisada per persones no només és més segur des del punt de vista legal; és millor enginyeria. En surten sistemes en què pots confiar, que pots depurar i que pots explicar als teus clients. Són justament els que guanyen en els mercats regulats.

La regulació ja és aquí. Prendre-la com una excusa per construir bé la IA, en lloc de com un obstacle que cal esquivar, és l’aposta que surt a compte.

---

No tens clar en quin nivell entren els teus sistemes d’IA, o per on començar? Contacta amb nosaltres i t’ajudarem a analitzar, des del vessant tècnic, fins a quin punt t’afecta i quin camí realista pots seguir per complir-lo.