El Reglament Europeu d'IA (EU AI Act): què ha de fer la teva empresa

El Reglament Europeu d’IA (EU AI Act) és la primera llei integral del món que regula la intel·ligència artificial, i ja no és un assumpte del futur. Les seves obligacions estan entrant en vigor per etapes, i les parts que afecten la majoria d’empreses ja són vives o arriben aviat. Si la teva empresa crea, ven o simplement usa IA dins de la UE —o atén clients de la UE— t’aplica.

La bona notícia: per a la gran majoria d’empreses, complir és manejable. La dolenta: “no sabíem que ens aplicava” no és una defensa, i les sancions són serioses —fins a 35 milions d’euros o el 7% de la facturació anual global en les infraccions més greus. Això és el que de debò importa, en llenguatge clar.

Funciona per risc, no per tecnologia

El Reglament no regula “la IA” com un bloc. Classifica els sistemes d’IA en nivells segons el dany que podrien causar, i les obligacions creixen amb el nivell.

• Risc inacceptable — prohibit. Coses com el scoring social per part de governs, els sistemes manipuladors que exploten vulnerabilitats i la major part de la identificació biomètrica en temps real en espais públics. Simplement estan prohibits.
• Alt risc — molt regulat. IA usada en contractació, scoring creditici, educació, infraestructura crítica, dispositius mèdics, forces de seguretat i àmbits de conseqüències similars. Aquest nivell concentra el gruix de les obligacions.
• Risc limitat — només transparència. Chatbots, contingut generat per IA i similars. El requisit central és l’honestedat: les persones han de saber que interactuen amb IA o que veuen material generat per IA.
• Risc mínim — pràcticament sense regular. Filtres de spam, motors de recomanació, la majoria de l’automatització interna. La gran majoria de la IA empresarial viu aquí.

El primer pas més important és esbrinar en quin nivell cau cadascun dels teus usos d’IA. La majoria d’empreses descobreixen que estan sobretot en “limitat” o “mínim” —però sovint tenen un o dos sistemes discretament situats en “alt risc” que no havien detectat.

Què exigeix realment l‘“alt risc”

Si operes un sistema d’alt risc, les obligacions són substancials però concretes:

• Un sistema de gestió de riscos mantingut al llarg de tot el cicle de vida.
• Governança de dades: comprovacions de qualitat, rellevància i biaix a les dades d’entrenament i d’entrada.
• Documentació tècnica i registre detallat (logging) del funcionament del sistema.
• Transparència perquè qui el desplega sàpiga usar-lo correctament.
• Supervisió humana dissenyada al sistema, no afegida a posteriori.
• Precisió, robustesa i ciberseguretat apropiades al cas d’ús.
• Una avaluació de conformitat abans que el sistema arribi al mercat.

Aquest és justament el tipus de requisit en què com es construeix el programari importa enormement. Complir surt molt més barat quan la documentació, el logging i la supervisió es dissenyen des del primer dia en lloc d’afegir-se després. És una raó clau per què tractem la governança com a part de l’encàrrec d’enginyeria en la nostra feina de programari a mida, no com a paperassa al final.

Les regles de transparència arriben a gairebé tothom

Encara que res del que facis sigui d’alt risc, les obligacions de transparència del risc limitat són àmplies i fàcils de passar per alt:

• Chatbots i assistents d’IA han de deixar clar que l’usuari parla amb una màquina.
• Contingut generat o manipulat per IA (imatges, àudio, vídeo, textos publicats per informar el públic) s’ha d’etiquetar, i cada cop més portar marques de procedència llegibles per màquina.
• Els deepfakes s’han de revelar com a generats artificialment.

Si has afegit un assistent d’IA al teu web o al teu producte l’últim any, això gairebé segur t’aplica. L’arranjament acostuma a ser petit —etiquetatge i avís clars— però s’ha de fer de debò. Quan construïm integracions d’IA, aquesta capa d’avís forma part de l’estàndard, no és un extra.

El calendari que convé tenir al cap

El Reglament aplica en onades. Les prohibicions dels sistemes de risc inacceptable van arribar primer. Les obligacions per als models d’IA de propòsit general van ser després. El règim complet d’alt risc entra en una finestra més llarga, amb algunes regles de productes integrats arribant al final. Les dates exactes es mouen a mesura que es publiquen guies, així que el consell pràctic és simple: no esperis al termini que aplica al teu sistema de més risc per començar. L’inventari i la classificació porten temps, i la solució en porta més.

Una ruta de compliment pragmàtica

No necessites un departament jurídic dedicat a la IA. Necessites un recorregut estructurat per cinc passos:

1. Inventaria tots els sistemes d’IA que crees o uses —inclosos els que venen integrats en eines que vas comprar.
2. Classifica cadascun per nivell de risc. D’aquí surt la major part de la claredat.
3. Aplica l’etiquetatge de transparència allà on mosseguin les regles de risc limitat —és ràpid i elimina l’exposició més fàcil.
4. Per a allò que sigui d’alt risc, construeix la documentació, el logging, la supervisió i l’avaluació que exigeix el Reglament —idealment millorant com està fet el sistema, no escrivint informes sobre ell.
5. Assigna responsabilitat. Algú ha de mantenir l’inventari al dia a mesura que adoptes més IA, perquè ho faràs.

Per a moltes mitjanes empreses, el difícil no és la feina en si sinó saber per on començar i qui ho ha d’assumir. Aquesta és una de les raons més comunes per què les empreses incorporen lideratge tècnic sènior en format CTO extern —per fer l’inventari, prendre les decisions de risc i muntar la governança perquè segueixi funcionant a mesura que creix la petjada d’IA de l’empresa.

El canvi de mentalitat

És temptador tractar el Reglament d’IA com un impost de compliment —un cost a minimitzar. Les empreses que millor el gestionen ho veuen diferent. Construir IA documentada, auditable, transparent i supervisada per persones no només és més segur legalment; és millor enginyeria. Produeix sistemes en què pots confiar, que pots depurar i explicar als teus clients. Són justament els sistemes que guanyen en mercats regulats.

La regulació ja és aquí. Tractar-la com una excusa per construir IA bé —en comptes de com un obstacle a salvar— és la jugada que surt rendible.

---

No tens clar en quin nivell cauen els teus sistemes d’IA, o per on començar? Contacta amb nosaltres i t’ajudem a mapar la teva exposició i una ruta realista cap al compliment.