Cumprimento normativo da IA: gobernar os sistemas de IA e usar a IA no traballo de cumprimento normativo

O cumprimento normativo da IA significa dúas cousas: o traballo continuo para garantir que os sistemas de IA que a túa organización desenvolve ou usa cumpran as leis, as normas e as políticas internas aplicables, e o uso da IA para tarefas de cumprimento rutineiras e de gran volume.

Este artigo trata ambos os significados: os riscos que aborda o cumprimento normativo da IA, os principais marcos, como crear un programa de cumprimento, os controis para axentes de IA e en que axuda a IA aos equipos de cumprimento. Remata con preguntas que convén facer antes de mercar unha ferramenta de cumprimento.

Que é o cumprimento normativo da IA?

O cumprimento normativo da IA refírese a dúas cousas: facer que os sistemas de IA cumpran as regras establecidas na regulación da IA e usar a IA para realizar tarefas de cumprimento.

No primeiro sentido, o cumprimento normativo da IA garante que un sistema de IA respecte as leis, as regulacións, as normas éticas e as políticas internas ao longo de todo o ciclo de vida da IA, desde os datos de adestramento ata o rendemento e o uso.

Por exemplo, a Lei local 144 da cidade de Nova York esixe que os empregadores que usan unha ferramenta automatizada de decisión de emprego a sometan a unha auditoría de nesgos nun prazo dun ano respecto do seu uso, fagan pública a información sobre a auditoría e notifiquen aos empregados ou aos candidatos a emprego.

O traballo de cumprimento normativo da IA é continuo porque as aplicacións de IA se actualizan, os datos cos que traballan cambian e a normativa evoluciona.

No segundo sentido, os equipos de cumprimento usan a IA para tarefas rutineiras e de gran volume, como supervisar transaccións, revisar documentos e facer seguimento dos cambios normativos.

Algunhas entidades financeiras, por exemplo, usan a IA para revisar transaccións e reducir os falsos positivos nas alertas de supervisión de transaccións antes de que os analistas decidan cales requiren un informe de actividade sospeitosa.

Cumprimento normativo da IA fronte a gobernanza da IA e xestión de riscos da IA

Os tres termos solápanse, pero abarcan ámbitos distintos: a gobernanza establece as regras, a xestión de riscos detecta o que podería saír mal e o cumprimento garante que se respecten as regras.

Por que é importante o cumprimento normativo da IA

Acadar o cumprimento normativo da IA limita a túa exposición a multas, protexe a privacidade das persoas cuxa información procesa a túa IA e permite que a túa organización renda contas do seu uso de sistemas de IA en caso de auditoría.

• Sancións regulamentarias: Segundo o Regulamento de IA da UE, usar unha práctica de IA prohibida, como inferir as emocións dos empregados no traballo, pode supoñer multas de ata 35 millóns de euros ou o 7 % do volume de negocio anual mundial. Os provedores e os responsables do despregamento poden enfrontarse a multas de ata 15 millóns de euros ou o 3 % por infraccións do Regulamento.
• Protección de datos: Un sistema de IA que procesa datos persoais está suxeito ás leis de protección de datos, como o RXPD na UE. Isto inclúe os datos de adestramento, as instrucións e os resultados que conteñan datos persoais.
• Preparación para auditorías: Os rexistros de que sistemas de IA usas, quen os aprobou e como os supervisas permítenche responder ante os reguladores, os auditores e os clientes.

Os principais riscos que aborda o cumprimento normativo da IA

O cumprimento normativo da IA aborda cinco riscos principais: o nesgo algorítmico, a falta de explicabilidade, as alucinacións en procesos regulados, a privacidade e as fugas de datos, e a IA na sombra.

Ampliar

Estas son as manifestacións dos principais riscos e exemplos de controis que os manteñen a raia:

• Nesgo algorítmico: Un modelo reproduce patróns dos seus datos de adestramento que prexudican a determinados grupos. Unha ferramenta de contratación, por exemplo, podería clasificar peor os candidatos en función dun indicador indirecto da idade ou da etnia, como o ano de graduación ou o código postal. As auditorías de nesgos, que comparan os resultados entre grupos demográficos, axudan a detectar estes patróns.
• Falta de explicabilidade: A organización non pode demostrar como chegou un modelo a unha decisión. Se unha entidade de crédito non pode explicar por que un modelo denegou un préstamo, non pode defender o resultado. As organizacións evítano documentando as entradas do modelo e a lóxica de decisión, e escollendo modelos con resultados rastrexables.
• Alucinacións en procesos regulados: Unha ferramenta de IA xerativa afirma algo falso con total seguridade. Por exemplo, un avogado podería pedirlle a unha ferramenta de IA xurisprudencia que apoie un argumento e recibir citas de sentenzas xudiciais que non existen. Esixir fontes para cada resultado, e que unha persoa cualificada as verifique, permite detectar este tipo de erros.
• Privacidade e fugas de datos: Información confidencial ou de clientes chega a unha ferramenta fóra do control da organización. Por exemplo, un empregado podería pegar rexistros de clientes nunha ferramenta de IA pública que conserva as entradas para adestrar futuros modelos. Usar só ferramentas aprobadas con límites contractuais sobre o adestramento e a conservación de datos reduce o risco.
• IA na sombra: Os empregados usan ferramentas de IA que a organización non aprobou ou que non pode ver. Nunha enquisa de Compliance Week de 2026, o 42 % dos participantes informou de uso non xestionado da IA por parte dos empregados. Entre as posibles solucións están unha lista de ferramentas aprobadas combinada cun proceso áxil de aprobación de ferramentas de IA, e as pasarelas web.

Principais marcos de cumprimento normativo da IA

O cumprimento normativo da IA baséase en marcos de gobernanza da IA vinculantes, como o Regulamento de IA da UE, e en marcos voluntarios, como o Marco de xestión de riscos da IA do NIST e a ISO/IEC 42001, que axudan ás organizacións a cumprilos.

Regulamento de IA da UE

O Regulamento de IA da UE (Regulamento (UE) 2024/1689) adopta un enfoque baseado no risco para a regulación da IA: algunhas prácticas están directamente prohibidas, os sistemas de alto risco enfróntanse a restricións estritas e outros só teñen normas de transparencia lixeiras. Aplícase aos provedores e aos responsables do despregamento de calquera lugar “cando a información de saída xerada polo sistema de IA se utilice na Unión”.

As obrigas segundo o Regulamento de IA da UE dependen do papel da organización:

• Quen desenvolve un sistema de IA de alto risco ou o comercializa co seu propio nome (provedores) debe completar unha avaliación da conformidade, aplicar o marcado CE, rexistrar o sistema, manter a documentación técnica e supervisalo despois do seu lanzamento.
• Quen usa un sistema creado por outros (responsables do despregamento) debe seguir as instrucións do provedor, encomendar a supervisión a persoas coa “competencia, formación e autoridade necesarias”, conservar os rexistros durante polo menos seis meses e informar os traballadores e as demais persoas afectadas polas súas decisións.

Ampliar

O Regulamento estase aplicando por fases. As prácticas prohibidas, a alfabetización en IA e as normas sobre IA de uso xeral aplícanse desde 2025, mentres que as obrigas para os sistemas de alto risco comezan o 2 de decembro de 2027, e o 2 de agosto de 2028 para a IA integrada en produtos cubertos pola lexislación da UE sobre seguridade dos produtos.

A EN 18286:2026 sobre sistemas de xestión da calidade é a primeira norma europea que dá soporte ao Regulamento. Presúmese que os provedores que a seguen cumpren o requisito de xestión da calidade do Regulamento.

Marco de xestión de riscos da IA do NIST

O NIST AI RMF (Marco de xestión de riscos da IA), publicado en xaneiro de 2023, é un marco voluntario estadounidense construído arredor de catro funcións: Gobernar, Mapear, Medir e Xestionar.

O seu Perfil de IA xerativa, publicado en xullo de 2024, aplica o marco aos riscos da IA xerativa.

ISO/IEC 42001

A ISO/IEC 42001 é a norma internacional para sistemas de xestión da IA e abrangue as políticas, as funcións e os procesos que rexen o desenvolvemento e o uso responsables da IA. A certificación é voluntaria e outórgana organismos de certificación independentes, non a propia ISO.

Un certificado abrangue o sistema de xestión da organización, non un produto de IA concreto.

Normas estadounidenses e sectoriais aplicables á IA

Os EUA non teñen unha única lei federal sobre IA. As normas proceden de cidades, estados e leis e regulacións existentes que se aplican á IA.

Por exemplo, a SB26-189 de Colorado, que entra en vigor o 1 de xaneiro de 2027, regula a tecnoloxía de toma de decisións automatizada, e as leis de privacidade, como a California Consumer Privacy Act (CCPA) ou a HIPAA, aplícanse sempre que a IA procese datos protexidos.

Como crear un programa de cumprimento normativo da IA

Crear un programa de cumprimento normativo da IA implica seis pasos: inventariar os teus sistemas de IA, clasificalos segundo o risco, vincular os controis coas normas aplicables, asignar responsables, documentar cada sistema e supervisalo con rexistros que un auditor poida comprobar.

Ampliar

Cada un dos pasos seguintes remata co rexistro que produce:

1. Inventaría todos os sistemas de IA. Enumera os sistemas que a túa organización desenvolve, compra ou usa, incluídas as funcións de IA integradas en software existente e as ferramentas que os empregados adoptaron sen aprobación. Rexistra que fai cada un, quen o usa e con que datos traballa.
   Resultado: Un inventario de IA.
2. Clasifica cada caso de uso segundo o risco. Avalía cada sistema polo dano que podería causar, usando un esquema como os niveis de risco do Regulamento de IA da UE. Por exemplo, unha ferramenta que fixa as primas dos seguros de vida é de alto risco segundo o Regulamento, mentres que unha que resume reunións internas non o é.
   Resultado: Un rexistro de riscos.
3. Vincula os controis coas normas aplicables. Enumera as leis, as normas e as políticas internas que se aplican a cada sistema, e o control que satisfai cada requisito de cumprimento. Por exemplo, unha revisión humana documentada axuda a cumprir os requisitos de supervisión humana do Regulamento de IA da UE para os sistemas de alto risco e a esixencia do NIST AI RMF de contar con procesos documentados de supervisión humana.
   Resultado: Un mapa de controis.
4. Asigna responsables e puntos de supervisión humana. Designa un responsable para cada sistema e decide en que punto unha persoa revisa os seus resultados. Por exemplo, os departamentos xurídico e de cumprimento encárganse das obrigas, o de seguridade dos controis técnicos, os responsables de negocio dos seus casos de uso, e un directivo ten a responsabilidade xeral. Asegúrate de que as persoas de toda a organización estean informadas e establece canles de comunicación claras.
   Resultado: Responsables designados para cada sistema.
5. Documenta cada sistema. Rexistra a finalidade, os datos de adestramento, as probas e as limitacións coñecidas de cada sistema en formatos como as fichas de modelo e as avaliacións de impacto. Os provedores de sistemas de alto risco tamén deben elaborar a documentación técnica prevista no anexo IV do Regulamento de IA da UE.
   Resultado: Un conxunto de documentación do sistema.
6. Supervisa, rexistra e conserva evidencias. Deseña os rexistros como evidencias de auditoría desde o principio para demostrar que fixo un sistema e quen o revisou. O Regulamento de IA da UE esixe que os sistemas de alto risco rexistren eventos automaticamente ao longo de toda a súa vida útil. Unha pista de auditoría debería recoller:
   • O modelo e a versión en uso
   • As entradas e os resultados, ou unha mostra definida deles
   • Os datos de adestramento ou de axuste fino
   • Os puntos de revisión humana e os seus resultados
   • As accións que realizou un axente e os permisos que usou
   • Canto tempo se conserva cada rexistro

Resultado: Rexistros de supervisión e unha pista de auditoría.

As ferramentas especializadas de cumprimento normativo da IA, como IBM watsonx.governance e OneTrust AI Governance, poden encargarse de partes deste programa, como o inventario de IA, as avaliacións de riscos respecto do Regulamento de IA da UE e a documentación.

Como aprobar as ferramentas de IA que poden usar os empregados

Antes de aprobar unha ferramenta de IA, comproba catro cousas:

• Acceso aos datos: Que ficheiros, sistemas e bases de coñecemento conectadas pode ler a ferramenta, e se conteñen datos persoais que podería expoñer.
• Adestramento coas entradas: Se o provedor usa instrucións, ficheiros ou resultados para adestrar os seus modelos, e se o teu contrato co provedor o prohibe.
• Conservación: Canto tempo conserva o provedor as instrucións, os ficheiros e o historial de conversas, e se podes acurtalo.
• Aloxamento e transferencias: Onde almacena e procesa os datos o provedor, incluídas as transferencias fóra da túa rexión.

Controis de cumprimento para axentes de IA

Os axentes de IA necesitan máis controis que as ferramentas de chat porque deciden os seus propios pasos e actúan mediante as ferramentas e os permisos que se lles conceden. Tres controis mantéñenos a raia:

• Acceso co mínimo privilexio: Dálle a un axente só as ferramentas e os permisos que necesita a súa tarefa. A axencia excesiva (Excessive Agency), na que un axente pode facer máis do que require a súa tarefa, é un dos principais riscos de seguridade segundo o OWASP Top 10 for LLM Applications 2026.
• Un rexistro de cada acción: Rexistra cada chamada a ferramentas, os datos aos que se accedeu e os permisos usados, para rastrexar que fixo un axente e para quen.
• Aprobación humana para accións de alto impacto: Esixe que unha persoa confirme os pasos que envían datos fóra da organización, moven diñeiro ou non se poden desfacer.

Como se usa a IA no traballo de cumprimento

Os equipos de cumprimento e de xestión de riscos usan a IA para supervisar controis, avaliar riscos, facer seguimento dos cambios normativos, revisar documentos e priorizar alertas de delitos financeiros.

Nunha enquisa de Compliance Week de 2026 a 193 responsables de cumprimento, ética, riscos e auditoría, máis do 83 % afirmou que usa a IA, e case o 40 % dixo que as súas empresas a despregaron para a avaliación e a supervisión de riscos.

Entre os casos de uso habituais da IA no cumprimento normativo están:

• Supervisión continua do cumprimento e recollida de evidencias: A IA executa comprobacións e reúne probas de que funcionan (p. ex., inspeccións de seguridade de equipamentos atrasadas nunha planta).
• Avaliación e priorización de riscos: A IA clasifica as unidades de negocio ou os terceiros segundo o risco (p. ex., subministradores con novas sancións ou exposición a litixios).
• Supervisión dos cambios normativos: A IA fai seguimento das publicacións dos reguladores e resume os cambios (p. ex., unha guía anticorrupción revisada que reduce o límite de agasallos na política de gastos).
• Revisión de documentos e políticas: A IA compara contratos e políticas cos requisitos (p. ex., contratos con subministradores sen cláusula de dereito de auditoría).
• Control de delitos financeiros: A IA prioriza as alertas de supervisión de transaccións e de verificación de clientes (p. ex., coincidencias de nomes en listas de sancións que resultan ser doutra persoa).

A IA que se usa para o cumprimento normativo necesita a mesma gobernanza que outros sistemas de IA. Como afirmou a Financial Conduct Authority do Reino Unido en outubro de 2026, “as empresas son responsables dos sistemas de IA que desenvolven, adquiren e despregan, incluídos os seus resultados e consecuencias” e advertiu de non converter a revisión humana en “un exercicio de ‘marcar casiñas’”.

Na práctica, as ferramentas de IA poden encargarse de tarefas rutineiras, como recompilar evidencias ou sinalar cambios normativos, pero non de decisións que implican responsabilidade legal, como decidir se se debe comunicar unha actividade sospeitosa ou como deseñar políticas.

Controis de datos en Perplexity Enterprise

Perplexity Enterprise ofrece aos administradores controis sobre o adestramento cos datos de entrada, o acceso aos datos e a retención:

• Sen adestramento cos teus datos: Perplexity nunca usa o contido empresarial para adestrar os seus modelos de IA, e os seus acordos cos provedores de modelos de terceiros prohíbenlles adestrar con el.
• Control de acceso: SSO, SCIM e os permisos baseados en roles determinan quen pode subir ficheiros e compartir respostas.
• Retención e rexistros de auditoría: Os ficheiros anexados ás sesións elimínanse aos sete días. As organizacións con 50 postos ou máis, ou con polo menos un posto de Enterprise Max, tamén poden configurar a retención das sesións e recibir rexistros de auditoría da actividade dos usuarios.
• Certificacións: Perplexity conta coa certificación SOC 2 Type II, cumpre o RGPD e só permite traballar con información de saúde protexida baixo un acordo de asociado comercial (Business Associate Agreement) asinado.

Para coñecer estes controis en detalle, contacta co noso equipo de Vendas e reserva unha demostración personalizada.

Preguntas frecuentes

Que é o cumprimento normativo da UE en materia de IA?

O cumprimento normativo da UE en materia de IA consiste en cumprir as obrigas que a Lei de IA da UE establece para o teu papel (provedor ou responsable do despregamento) e para o nivel de risco de cada sistema. As obrigas aplícanse por fases, e as relativas aos sistemas de alto risco comezan o 2 de decembro de 2027.

Que é unha IA que cumpre a HIPAA?

Unha IA que cumpre a HIPAA é unha ferramenta que se usa dentro das salvagardas da HIPAA para a información de saúde protexida. Se o provedor almacena ou procesa esa información, o Departamento de Saúde e Servizos Humanos dos EUA esixe primeiro un acordo de asociado comercial (Business Associate Agreement) asinado.

A Lei de IA da UE aplícase ás empresas estadounidenses?

Si. A Lei de IA abrangue as empresas estadounidenses que introducen sistemas de IA no mercado da UE e aquelas cuxos resultados de IA se usan na UE.

Pode a IA substituír os responsables de cumprimento normativo?

A IA non pode substituír os responsables de cumprimento normativo. As organizacións responden polo seu traballo e as tecnoloxías de IA poden cometer erros, polo que os responsables de cumprimento normativo seguen tendo que examinar e aprobar os resultados da IA.