- La pregunta ya no es solo si podemos hacerlo, sino cómo debemos hacerlo para que sea jurídicamente viable
Este artículo ha sido publicada en el número 1033 de Actualidad Jurídica Aranzadi (AJA), regístrarte una vez en este enlace y recibirás una comunicación con cada número desde la que podrás acceder a la revista en Legalteca.
La incorporación de la inteligencia artificial en las organizaciones está obligando a revisar no solo la tecnología, sino también la forma en la que se toman decisiones sobre ella. Durante años, el esquema ha sido relativamente sencillo: negocio identifica una necesidad, tecnología propone una solución y, en algún momento antes de su puesta en producción, se solicita la validación de las áreas de cumplimiento (Legal, Compliance, Protección de Datos o Ciberseguridad).
Con la IA, este modelo llega tarde. Muchas de las decisiones que determinan el riesgo jurídico de un sistema se adoptan precisamente durante su diseño, como qué finalidad tendrá, qué datos utilizará, el grado de autonomía permitido, quién revisará los resultados, qué decisiones podrá apoyar, cómo se garantizará la trazabilidad o qué proveedor y arquitectura tecnológica se utilizarán. Intentar resolver todas estas cuestiones cuando el proyecto ya está construido no solo incrementa el riesgo, sino que además puede obligar a rediseñar o descartar la solución, con el consiguiente coste económico y la frustración de los equipos que ven cómo un proyecto en el que llevan tiempo trabajando se paraliza en el último momento. Y es en ese momento cuando el área jurídica queda señalada como el stopper de la innovación, cuando en realidad el problema no es quién frena, sino cuándo se le pregunta.
El abogado entra antes
El compliance by design propone invertir esa lógica. Legal y Compliance deben participar desde el momento en que se concibe el caso de uso, trabajando con el negocio, los equipos de IT, datos y ciberseguridad para diseñar una solución que sea viable también desde el punto de vista regulatorio.
Esto exige un cambio en el papel del abogado en este tipo de proyectos. Ya no basta con conocer la norma y determinar si algo puede o no hacerse. Es necesario entender el proceso y la tecnología para convertir obligaciones jurídicas en decisiones concretas de diseño.
La pregunta deja de ser únicamente “¿podemos hacerlo?” para incorporar otra mucho más útil, “¿cómo debemos hacerlo para que sea jurídicamente viable?”.
Diseñar desde el riesgo, no desde la prohibición
Esta forma de trabajar encaja con una característica que cada vez vemos más presente en la regulación digital europea: el enfoque basado en riesgos.
El Reglamento de Inteligencia Artificial exige, para los sistemas de alto riesgo, un sistema de gestión concebido como un proceso iterativo durante todo su ciclo de vida y, en determinados supuestos, una evaluación de impacto sobre los derechos fundamentales. Por su parte, el RGPD lleva años familiarizándonos con conceptos como la responsabilidad proactiva, la protección de datos desde el diseño o las evaluaciones de impacto. Y DORA, en el sector financiero, construye igualmente buena parte de su modelo sobre la identificación, gestión y mitigación del riesgo TIC y sobre el principio de proporcionalidad. Los tres marcos comparten una misma lógica, anticipar el riesgo en lugar de solucionarlo a posteriori.
Existen oportunidades claras para buscar eficiencia jurídica. No tiene sentido analizar un mismo caso de uso en compartimentos estancos mediante revisiones independientes. Una metodología integrada de análisis de impacto permite identificar desde el inicio qué normas resultan aplicables, qué riesgos concurren y qué controles permiten mitigarlos.
No todos los casos de uso necesitan los mismos controles ni la misma intensidad de revisión. Precisamente ahí está una de las claves, establecer circuitos de aprobación proporcionales al riesgo que permitan concentrar los recursos jurídicos y de cumplimiento allí donde realmente aportan valor.
Hacer camino mientras andamos
Existe, sin embargo, una dificultad evidente. Estamos diseñando estos modelos de gobierno mientras una parte importante del marco regulatorio todavía está aterrizando.
El Reglamento de IA contiene conceptos y obligaciones cuya aplicación práctica seguirá concretándose mediante actos de desarrollo, estándares armonizados, códigos, guías de las autoridades y demás instrumentos interpretativos. Esto obliga a las organizaciones a avanzar sin esperar a disponer de todas las respuestas.
Esperar a que exista certeza absoluta no parece una alternativa realista. La tecnología y los casos de uso avanzan a una velocidad distinta a la regulación. El reto consiste en construir metodologías suficientemente sólidas para cumplir hoy y suficientemente flexibles para evolucionar mañana.
Del cumplimiento a la ventaja competitiva
En ocasiones se contrapone el modelo regulatorio europeo, más protector, con otros entornos en los que la innovación tecnológica encuentra aparentemente menos restricciones. Pero la verdadera cuestión será cómo se desarrolle y aplique ese marco en los próximos años.
Una regulación excesivamente compleja, fragmentada o formalista puede convertirse efectivamente en una barrera. Pero un marco que permita innovar sobre reglas comprensibles, criterios homogéneos y metodologías proporcionadas puede producir el efecto contrario: generar confianza y proporcionar un terreno seguro sobre el que desarrollar y escalar soluciones de IA.
Ahí existe también una oportunidad para las asesorías jurídicas. El objetivo no debería ser construir una capa adicional de burocracia alrededor de la inteligencia artificial, sino integrar el cumplimiento en sus procesos de ideación, desarrollo y despliegue.
Si conseguimos hacerlo, el papel del abogado será más relevante. Estará más cerca de la estrategia, del negocio y de la tecnología. Y el cumplimiento dejará de aparecer al final del camino para convertirse en una de las condiciones que permiten recorrerlo.
