La ley n.º 243-FZ sobre IA divide a las empresas en tres roles: qué revisar con antelación

La ley n.º 243-FZ introduce en la regulación rusa de la IA una lógica de roles: las obligaciones de una empresa dependen de lo que haga exactamente con la red neuronal. RB.RU, junto con varios expertos, distingue tres escenarios básicos. Primero: la empresa desarrolla su propio modelo. Segundo: ofrece a sus clientes acceso a un modelo ya hecho. Tercero: sus empleados simplemente usan redes neuronales en su trabajo diario. El anuncio publicado no recoge artículos concretos, plazos ni sanciones, de modo que lo que sigue es un repaso de la estructura del problema y del orden de comprobación, no un resumen de las normas.

Tres roles, tres conjuntos de requisitos

La división por roles resultará familiar a quien haya trabajado con la regulación de datos personales o de seguridad de la información. La ley no evalúa «la IA en general». Pregunta quién ocupa cada eslabón de la cadena: el creador de la tecnología, el intermediario o el usuario final. De la respuesta depende el alcance de las obligaciones.

• Desarrollador del modelo. Entrena o reentrena el sistema y define su arquitectura, sus datos y sus límites. Por lo general, es quien soporta la carga más pesada: documentación, fuentes de datos y evaluación de riesgos.
• Proveedor de acceso. Integra un modelo, propio o ajeno, en un producto y vende el acceso a los clientes: un chatbot de soporte, una API, un asistente dentro de una aplicación. Responde ante el cliente por el funcionamiento del servicio.
• Usuario. Aplica redes neuronales dentro de la empresa para textos, analítica, código o tramitación de solicitudes. Por lo general, tiene menos requisitos, pero no son nulos.

Las fronteras entre roles son difusas. Una empresa que ha reentrenado un modelo abierto con sus propios datos y lo ha llevado a un servicio para clientes puede acabar en dos categorías a la vez.

El tipo de modelo también importa

Los expertos de RB.RU subrayan un segundo factor: además del rol, se tiene en cuenta el modelo utilizado. En la práctica, esto significa que la pregunta «qué red neuronal usan» deja de ser técnica. Un desarrollo propio, un modelo comercial ruso, un servicio extranjero y un modelo abierto con despliegue local ofrecen panoramas distintos en cuanto al origen de los datos, el control sobre el procesamiento y la responsabilidad.

Para los juristas, es un problema de clasificación. Para los desarrolladores, la cuestión es qué artefactos tendrán que conservar y mostrar: descripción de los datos, versiones de los modelos, registros de funcionamiento. Para el negocio, la cuestión está en los contratos: quién responde si el modelo produce un resultado erróneo.

Lo que aún falta

Del anuncio no queda claro qué obligaciones concretas fija la ley para cada rol, cómo se articulará la responsabilidad ni cuándo empezarán a aplicarse las normas. Esos detalles determinarán el coste real del cumplimiento normativo. No conviene fiarse de resúmenes: hace falta el texto de la propia ley y, si están previstos, los reglamentos de desarrollo.

Qué revisar con antelación

Se puede empezar por un inventario interno, que no exige conocer todos los detalles de la ley.

1. Elaborar un registro de herramientas de IA. Qué redes neuronales se usan, en qué departamentos y con las cuentas de quién.

El uso no autorizado por parte de los empleados suele ser mayor de lo que la dirección cree. 2. **Determinar el rol en cada escenario.

** Desarrollo, provisión de acceso o uso interno. El rol puede variar según el producto. 3.

Averiguar el origen de los modelos. Propios, con licencia, abiertos o servicios extranjeros. Dejar constancia de las condiciones de licencia y de tratamiento de datos.

4. Revisar los contratos con clientes y contratistas. Si incluyen un apartado sobre IA y si se reparte la responsabilidad por los resultados del modelo.

5. Designar a un responsable. Una persona o un grupo reducido de legal, TI y seguridad que haga seguimiento de los reglamentos de desarrollo y de las aclaraciones oficiales.

6. Empezar a documentar. Versiones de modelos, conjuntos de datos, prompts y políticas de uso es más fácil recopilarlos ahora que reconstruirlos con carácter retroactivo.

A las empresas que apenas están construyendo productos de IA les conviene incorporar estas prácticas al proceso de desarrollo desde el principio. A quienes usan redes neuronales como herramienta de oficina les basta con una política interna y reglas claras para los empleados. Los requisitos exactos se conocerán tras estudiar el texto de la ley n.º 243-FZ, pero tener en orden los propios procesos de IA resultará útil en cualquier caso.