Compliment normatiu de la IA: governar els sistemes d'IA i utilitzar la IA en les tasques de compliment normatiu

El compliment normatiu de la IA té dos significats: la feina contínua per garantir que els sistemes d’IA que la vostra organització crea o utilitza compleixen les lleis, els estàndards i les polítiques internes aplicables, i l’ús de la IA per a tasques de compliment rutinàries i de gran volum.

Aquest article tracta tots dos significats: els riscos que aborda el compliment normatiu de la IA, els marcs principals, com crear un programa de compliment, els controls per als agents d’IA i en què ajuda la IA als equips de compliment. Acaba amb les preguntes que cal fer abans de comprar una eina de compliment.

Què és el compliment normatiu de la IA?

El compliment normatiu de la IA fa referència a dues coses: fer que els sistemes d’IA compleixin les normes establertes per la regulació de la IA i utilitzar la IA per fer tasques de compliment.

En el primer sentit, el compliment normatiu de la IA garanteix que un sistema d’IA respecti les lleis, les normatives, els estàndards ètics i les polítiques internes al llarg de tot el cicle de vida de la IA, des de les dades d’entrenament fins al rendiment i l’ús.

Per exemple, la Llei local 144 de la ciutat de Nova York obliga les empreses que utilitzen una eina automatitzada de decisió en l’ocupació a sotmetre-la a una auditoria de biaixos en el termini d’un any des que la comencen a utilitzar, a fer pública la informació sobre l’auditoria i a notificar-ho als treballadors o als candidats.

La feina de compliment normatiu de la IA és contínua perquè les aplicacions d’IA s’actualitzen, les dades amb què treballen canvien i la normativa evoluciona.

En el segon sentit, els equips de compliment utilitzen la IA per a tasques rutinàries i de gran volum, com ara supervisar transaccions, revisar documents i fer el seguiment dels canvis normatius.

Algunes entitats financeres, per exemple, utilitzen la IA per revisar transaccions i reduir els falsos positius de les alertes de supervisió de transaccions abans que els analistes decideixin quines requereixen un informe d’activitat sospitosa.

Compliment normatiu de la IA vs. governança de la IA vs. gestió de riscos de la IA

Els tres termes se superposen, però abasten àmbits diferents: la governança estableix les normes, la gestió de riscos identifica què podria anar malament i el compliment normatiu garanteix que es compleixin les normes.

Per què és important el compliment normatiu de la IA

Assolir el compliment normatiu de la IA limita la vostra exposició a multes, protegeix la privadesa de les persones les dades de les quals tracta la vostra IA i permet que la vostra organització rendeixi comptes de l’ús que fa dels sistemes d’IA en cas d’auditoria.

• Sancions reglamentàries: D’acord amb el Reglament d’IA de la UE, utilitzar una pràctica d’IA prohibida, com ara inferir les emocions dels treballadors a la feina, pot comportar multes de fins a 35 milions d’euros o el 7 % del volum de negocis anual mundial. Els proveïdors i els responsables del desplegament poden rebre multes de fins a 15 milions d’euros o el 3 % per infraccions del Reglament.
• Protecció de dades: Un sistema d’IA que tracta dades personals està subjecte a les lleis de protecció de dades, com ara el RGPD a la UE. Això inclou les dades d’entrenament, les instruccions i els resultats que contenen dades personals.
• Preparació per a auditories: Els registres de quins sistemes d’IA utilitzeu, qui els ha aprovat i com els superviseu us permeten respondre davant dels reguladors, els auditors i els clients.

Els principals riscos que aborda el compliment normatiu de la IA

El compliment normatiu de la IA aborda cinc riscos principals: el biaix algorítmic, la manca d’explicabilitat, les al·lucinacions en processos regulats, la privadesa i la filtració de dades, i la IA a l’ombra.

Amplia

Aquestes són les manifestacions dels principals riscos i alguns exemples de controls per mantenir-los a ratlla:

• Biaix algorítmic: Un model reprodueix patrons de les seves dades d’entrenament que perjudiquen determinats grups. Per exemple, una eina de selecció de personal podria classificar pitjor els candidats a partir d’un indicador indirecte de l’edat o l’ètnia, com l’any de graduació o el codi postal. Les auditories de biaixos, que comparen els resultats entre grups demogràfics, ajuden a detectar aquests patrons.
• Manca d’explicabilitat: L’organització no pot demostrar com un model ha arribat a una decisió. Si una entitat creditícia no pot explicar per què un model ha denegat un préstec, no pot defensar el resultat. Les organitzacions ho eviten documentant les entrades del model i la lògica de decisió, i triant models amb resultats traçables.
• Al·lucinacions en processos regulats: Una eina d’IA generativa afirma amb seguretat una cosa falsa. Per exemple, un advocat podria demanar a una eina d’IA jurisprudència que avali un argument i rebre cites de sentències judicials que no existeixen. Exigir fonts per a cada resultat, i que una persona qualificada les verifiqui, permet detectar aquests errors.
• Privadesa i filtració de dades: Informació confidencial o de clients arriba a una eina que l’organització no controla. Per exemple, un empleat podria enganxar registres de clients en una eina d’IA pública que conserva les entrades per entrenar models futurs. Utilitzar només eines aprovades amb límits contractuals sobre l’entrenament i la conservació de dades redueix el risc.
• IA a l’ombra: Els empleats utilitzen eines d’IA que l’organització no ha aprovat o que no pot veure. En una enquesta de Compliance Week del 2026, el 42 % dels participants van declarar un ús d’IA no gestionat per part dels empleats. Entre les solucions possibles hi ha una llista d’eines aprovades combinada amb un procés àgil d’aprovació d’eines d’IA, i les passarel·les web.

Principals marcs de compliment normatiu de la IA

El compliment normatiu de la IA es basa en marcs de governança de la IA vinculants, com el Reglament d’IA de la UE, i en marcs voluntaris, com el Marc de gestió de riscos de la IA del NIST i la ISO/IEC 42001, que ajuden les organitzacions a complir-los.

Reglament d’IA de la UE

El Reglament d’IA de la UE (Reglament (UE) 2024/1689) adopta un enfocament basat en el risc per regular la IA: algunes pràctiques estan prohibides directament, els sistemes d’alt risc estan sotmesos a restriccions estrictes i la resta només tenen normes de transparència lleus. S’aplica als proveïdors i als responsables del desplegament de qualsevol lloc «quan la informació de sortida generada pel sistema d’IA s’utilitzi a la Unió».

Les obligacions del Reglament d’IA de la UE depenen del rol de l’organització:

• Els qui desenvolupen un sistema d’IA d’alt risc o el comercialitzen amb el seu propi nom (proveïdors) han de dur a terme una avaluació de la conformitat, aplicar el marcatge CE, registrar el sistema, conservar la documentació tècnica i supervisar-lo després de llançar-lo.
• Els qui utilitzen un sistema creat per un altre (responsables del desplegament) han de seguir les instruccions del proveïdor, encomanar la supervisió a persones amb «la competència, la formació i l’autoritat necessàries», conservar els registres durant almenys sis mesos i informar els treballadors i altres persones afectades per les seves decisions.

Amplia

El Reglament s’està aplicant per fases. Les pràctiques prohibides, l’alfabetització en IA i les normes sobre IA d’ús general s’apliquen des del 2025, mentre que les obligacions d’alt risc comencen el 2 de desembre de 2027, i el 2 d’agost de 2028 per a la IA integrada en productes coberts per la legislació de la UE sobre seguretat dels productes.

L’EN 18286:2026, sobre sistemes de gestió de la qualitat, és la primera norma europea que dona suport al Reglament. Es presumeix que els proveïdors que la segueixen compleixen el requisit de gestió de la qualitat del Reglament.

Marc de gestió de riscos de la IA del NIST

El NIST AI RMF (Marc de gestió de riscos de la IA), publicat el gener del 2023, és un marc voluntari dels EUA estructurat entorn de quatre funcions: Governar, Mapar, Mesurar i Gestionar.

El seu Perfil d’IA generativa, publicat el juliol del 2024, aplica el marc als riscos de la IA generativa.

ISO/IEC 42001

La ISO/IEC 42001 és la norma internacional per als sistemes de gestió de la IA i abasta les polítiques, els rols i els processos que regeixen el desenvolupament i l’ús responsables de la IA. La certificació és voluntària i l’atorguen organismes de certificació independents, no la mateixa ISO.

Un certificat cobreix el sistema de gestió de l’organització, no un producte d’IA concret.

Normes dels EUA i sectorials aplicables a la IA

Els EUA no tenen una única llei federal sobre IA. Les normes provenen de ciutats, estats i lleis i reglaments existents que s’apliquen a la IA.

Per exemple, la llei SB26-189 de Colorado, que entra en vigor l’1 de gener de 2027, regula la tecnologia de presa de decisions automatitzada, i les lleis de privadesa, com la California Consumer Privacy Act (CCPA) o la HIPAA, s’apliquen sempre que la IA tracta dades protegides.

Com crear un programa de compliment normatiu de la IA

Crear un programa de compliment normatiu de la IA implica sis passos: inventariar els sistemes d’IA, classificar-los segons el risc, vincular els controls a les normes aplicables, assignar responsables, documentar cada sistema i supervisar-lo amb registres que un auditor pugui comprovar.

Amplia

Cadascun dels passos següents acaba amb el registre que genera:

1. Inventarieu tots els sistemes d’IA. Enumereu els sistemes que la vostra organització crea, compra o utilitza, incloses les funcions d’IA integrades en programari existent i les eines que els empleats han adoptat sense aprovació. Registreu què fa cadascun, qui l’utilitza i amb quines dades treballa.
   Resultat: Un inventari d’IA.
2. Classifiqueu cada cas d’ús segons el risc. Valoreu cada sistema segons el dany que podria causar, amb un esquema com els nivells de risc del Reglament d’IA de la UE. Per exemple, una eina que fixa les primes d’assegurances de vida és d’alt risc segons el Reglament, mentre que una que resumeix reunions internes no ho és.
   Resultat: Un registre de riscos.
3. Vinculeu els controls a les normes aplicables. Enumereu les lleis, els estàndards i les polítiques internes que s’apliquen a cada sistema, i el control que satisfà cada requisit de compliment. Per exemple, una revisió humana documentada ajuda a complir els requisits de supervisió humana del Reglament d’IA de la UE per als sistemes d’alt risc i la recomanació del NIST AI RMF de disposar de processos de supervisió humana documentats.
   Resultat: Un mapa de controls.
4. Assigneu responsables i punts de supervisió humana. Designeu un responsable per a cada sistema i decidiu en quin punt una persona en revisa els resultats. Per exemple, els equips jurídic i de compliment són responsables de les obligacions; el de seguretat, dels controls tècnics; els responsables de negoci, dels seus casos d’ús, i un directiu n’és el responsable final. Assegureu-vos que les persones de tota l’organització n’estiguin al corrent i establiu canals de comunicació clars.
   Resultat: Responsables designats per a cada sistema.
5. Documenteu cada sistema. Registreu la finalitat, les dades d’entrenament, les proves i les limitacions conegudes de cada sistema en formats com les fitxes de model i les avaluacions d’impacte. Els proveïdors de sistemes d’alt risc també han de preparar la documentació tècnica prevista a l’annex IV del Reglament d’IA de la UE.
   Resultat: Un conjunt de documentació del sistema.
6. Superviseu, registreu i conserveu proves. Dissenyeu els registres com a proves d’auditoria des del principi per demostrar què ha fet un sistema i qui l’ha revisat. El Reglament d’IA de la UE exigeix que els sistemes d’alt risc registrin esdeveniments automàticament durant tota la seva vida útil. Una pista d’auditoria hauria de recollir:
   • El model i la versió que s’utilitzen
   • Les entrades i els resultats, o una mostra definida d’aquests
   • Les dades d’entrenament o d’ajust fi
   • Els punts de revisió humana i els seus resultats
   • Les accions que ha dut a terme un agent i els permisos que ha utilitzat
   • Quant de temps es conserva cada registre

Resultat: Registres de supervisió i una pista d’auditoria.

Les eines especialitzades en compliment normatiu de la IA, com IBM watsonx.governance i OneTrust AI Governance, poden assumir parts d’aquest programa, com ara l’inventari d’IA, les avaluacions de riscos segons el Reglament d’IA de la UE i la documentació.

Com aprovar les eines d’IA que poden utilitzar els empleats

Abans d’aprovar una eina d’IA, comproveu quatre aspectes:

• Accés a les dades: Quins fitxers, sistemes i bases de coneixement connectades pot llegir l’eina, i si contenen dades personals que podria exposar.
• Entrenament amb les entrades: Si el proveïdor utilitza les instruccions, els fitxers o els resultats per entrenar els seus models, i si el vostre contracte amb el proveïdor ho prohibeix.
• Conservació: Quant de temps conserva el proveïdor les instruccions, els fitxers i l’historial de converses, i si podeu escurçar aquest termini.
• Allotjament i transferències: On emmagatzema i tracta les dades el proveïdor, incloses les transferències fora de la vostra regió.

Controls de compliment per als agents d’IA

Els agents d’IA necessiten més controls que les eines de xat perquè decideixen ells mateixos els passos que fan i actuen mitjançant les eines i els permisos que se’ls concedeixen. Hi ha tres controls que els mantenen a ratlla:

• Accés amb privilegis mínims: Doneu a un agent només les eines i els permisos que necessita per a la seva tasca. L’agència excessiva (Excessive Agency), quan un agent pot fer més del que requereix la seva tasca, és un dels principals riscos de seguretat segons l’OWASP Top 10 for LLM Applications 2026.
• Un registre de cada acció: Registreu cada crida a eines, les dades consultades i els permisos utilitzats, per traçar què ha fet un agent i per a qui.
• Aprovació humana per a les accions d’alt impacte: Exigiu que una persona confirmi els passos que envien dades fora de l’organització, mouen diners o no es poden desfer.

Com s’utilitza la IA en la feina de compliment

Els equips de compliment i de gestió de riscos utilitzen la IA per supervisar controls, avaluar riscos, fer el seguiment dels canvis normatius, revisar documents i classificar alertes de delictes financers.

En una enquesta de Compliance Week del 2026 a 193 líders de compliment, ètica, riscos i auditoria, més del 83 % van dir que utilitzen la IA i gairebé el 40 % van afirmar que les seves empreses l’han desplegat per a l’avaluació i la supervisió de riscos.

Els casos d’ús habituals de la IA en el compliment normatiu són:

• Supervisió contínua del compliment i recopilació de proves: La IA executa comprovacions i recopila proves que en demostren el funcionament (p. ex., inspeccions de seguretat d’equips endarrerides en una planta).
• Avaluació i priorització de riscos: La IA classifica unitats de negoci o tercers segons el risc (p. ex., proveïdors amb noves sancions o exposició a litigis).
• Seguiment dels canvis normatius: La IA fa el seguiment de les publicacions dels reguladors i en resumeix els canvis (p. ex., una guia anticorrupció revisada que redueix el límit dels obsequis a la política de despeses).
• Revisió de documents i polítiques: La IA compara contractes i polítiques amb els requisits (p. ex., contractes amb proveïdors sense clàusula de dret d’auditoria).
• Detecció de delictes financers: La IA prioritza les alertes de supervisió de transaccions i de verificació de clients (p. ex., coincidències de noms amb llistes de sancions que resulten correspondre a una altra persona).

La IA utilitzada per al compliment normatiu necessita la mateixa governança que altres sistemes d’IA. Tal com va declarar l’octubre del 2026 la Financial Conduct Authority del Regne Unit, «les empreses són responsables dels sistemes d’IA que desenvolupen, adquireixen i despleguen, inclosos els seus resultats i conseqüències», i va advertir que la revisió humana no s’havia de convertir en «un exercici de “marcar caselles”».

A la pràctica, les eines d’IA poden encarregar-se de tasques rutinàries, com recopilar proves o assenyalar canvis normatius, però no de decisions que comporten responsabilitat legal, com decidir si cal informar d’una activitat sospitosa o com dissenyar les polítiques.

Controls de dades a Perplexity Enterprise

Perplexity Enterprise ofereix als administradors els controls relatius a l'entrenament amb les dades introduïdes, l'accés a les dades i la retenció:

• Sense entrenament amb les vostres dades: Perplexity mai no utilitza el contingut empresarial per entrenar els seus models d'IA, i els seus acords amb proveïdors de models externs els prohibeixen utilitzar-lo per a l'entrenament.
• Control d'accés: SSO, SCIM i els permisos basats en rols determinen qui pot pujar fitxers i compartir respostes.
• Retenció i registres d'auditoria: Els fitxers adjunts a les sessions s'eliminen al cap de set dies. Les organitzacions amb 50 llicències o més, o amb almenys una llicència d'Enterprise Max, també poden configurar la retenció de les sessions i rebre registres d'auditoria de l'activitat dels usuaris.
• Certificacions: Perplexity té la certificació SOC 2 Type II, compleix el RGPD i només permet treballar amb informació sanitària protegida en virtut d'un acord d'associat comercial (Business Associate Agreement) signat.

Si voleu conèixer aquests controls en detall, poseu-vos en contacte amb el nostre equip de vendes per reservar una demostració personalitzada.

Preguntes freqüents

Què és el compliment de la normativa de la UE sobre IA?

El compliment de la normativa de la UE sobre IA consisteix a complir les obligacions que el Reglament d'IA de la UE estableix per al vostre rol (proveïdor o responsable del desplegament) i per al nivell de risc de cada sistema. Les obligacions s'apliquen per etapes, i les relatives als sistemes d'alt risc comencen a aplicar-se el 2 de desembre de 2027.

Què és una IA conforme amb la HIPAA?

Una IA conforme amb la HIPAA és una eina que s'utilitza dins de les salvaguardes que la HIPAA estableix per a la informació sanitària protegida. Si el proveïdor emmagatzema o tracta aquesta informació, el Departament de Salut i Serveis Humans dels EUA exigeix primer un acord d'associat comercial signat.

El Reglament d'IA de la UE s'aplica a les empreses dels EUA?

Sí. El Reglament d'IA inclou les empreses dels EUA que introdueixen sistemes d'IA al mercat de la UE i aquelles els resultats d'IA de les quals s'utilitzen a la UE.

La IA pot substituir els responsables de compliment normatiu?

La IA no pot substituir els responsables de compliment normatiu. Les organitzacions són responsables de la seva feina i les tecnologies d'IA poden cometre errors, de manera que els responsables de compliment normatiu continuen havent d'examinar i aprovar els resultats de la IA.