Canal de denuncias del AI Act: qué deben saber las empresas y cómo funciona

La aplicación del Reglamento Europeo de Inteligencia Artificial (AI Act) está creando nuevas obligaciones para empresas, proveedores y organizaciones que desarrollan o utilizan sistemas de inteligencia artificial.

Una de las cuestiones que empieza a ganar importancia es el canal de denuncias del AI Act: los mecanismos mediante los que pueden comunicarse posibles infracciones de la normativa europea de inteligencia artificial a las autoridades competentes.

Para departamentos jurídicos, Compliance Officers, DPO, responsables de IA y empresas que utilizan inteligencia artificial, entender cómo funcionan estas reclamaciones será cada vez más importante.

Porque el AI Act no establece simplemente reglas sobre cómo desarrollar inteligencia artificial. También configura un sistema de supervisión, reclamación y enforcement destinado a controlar su cumplimiento.

¿Existe un canal de denuncias específico en el AI Act?

Sí, aunque conviene precisar qué significa. El AI Act reconoce mecanismos para que determinadas personas puedan presentar reclamaciones ante las autoridades de vigilancia del mercado cuando consideren que se han infringido las disposiciones del Reglamento.

Por tanto, no debemos imaginar necesariamente un único “canal de denuncias europeo del AI Act” centralizado para cualquier incidencia. El sistema se articula fundamentalmente a través de las autoridades competentes y de vigilancia encargadas de aplicar el Reglamento. Además, dependiendo de los hechos, una misma situación relacionada con inteligencia artificial podría afectar también a otras normativas y canales de denuncia o reclamación.

¿Qué dice el artículo 85 del AI Act?

El artículo 85 del Reglamento (UE) 2024/1689, conocido como AI Act, regula el derecho a presentar una reclamación ante una autoridad de vigilancia del mercado.

En términos generales, permite que una persona física o jurídica que tenga motivos para considerar que se han infringido las disposiciones del Reglamento pueda presentar una reclamación ante la autoridad correspondiente.

Este artículo es importante porque introduce una vía específica dentro del sistema de supervisión del AI Act. No todo el control dependerá, por tanto, de investigaciones iniciadas de oficio por las autoridades. También podrán existir reclamaciones procedentes de ciudadanos, empresas u organizaciones.

¿Quién puede presentar una reclamación relacionada con el AI Act?

El Reglamento contempla la posibilidad de que personas físicas o jurídicas presenten reclamaciones cuando tengan motivos para considerar que se ha producido una infracción. Esto amplía considerablemente los posibles escenarios.

Podrían surgir reclamaciones relacionadas con sistemas de IA utilizados en ámbitos como:

• Empleo
• Recursos Humanos
• Servicios financieros
• Educación
• Servicios esenciales
• Administraciones públicas
• Sistemas biométricos
• Determinados sistemas considerados de alto riesgo

La cuestión fundamental será determinar qué obligación concreta del AI Act se considera incumplida y qué autoridad resulta competente.

Canal de denuncias interno y reclamación del AI Act: no son exactamente lo mismo

Esta distinción es importante desde el punto de vista SEO, pero también jurídico. El canal interno de denuncias de una empresa y el mecanismo de reclamación previsto por el AI Act no son necesariamente la misma cosa.

Una empresa puede disponer de un sistema interno de información conforme a la normativa de protección de informantes.

A través de ese canal podrían comunicarse internamente determinados incumplimientos relacionados con el uso de inteligencia artificial. Pero, paralelamente, el AI Act establece mecanismos para presentar reclamaciones ante las autoridades responsables de su supervisión.

Por tanto, pueden coexistir: Canal interno de información → organización y Reclamación AI Act → autoridad competente.

Dependiendo de las circunstancias, también podrían intervenir autoridades de protección de datos, organismos sectoriales u otras administraciones.

¿Qué se puede denunciar por incumplimiento del AI Act?

Dependerá de las obligaciones aplicables a cada sistema y operador.

Entre las cuestiones que potencialmente pueden generar problemas de cumplimiento encontramos:

• Utilización de prácticas de IA prohibidas.
• Incumplimientos relacionados con sistemas de IA de alto riesgo.
• Falta de determinadas medidas de transparencia.
• Incumplimiento de obligaciones de información.
• Deficiencias en supervisión humana.
• Problemas relacionados con gestión de riesgos.
• Incumplimientos de determinadas obligaciones documentales.
• Falta de monitorización cuando resulte exigible.
• Incumplimientos relacionados con modelos de IA de propósito general.

No todas las obligaciones afectan a todas las empresas.

El primer paso de cualquier programa de compliance del AI Act debería ser precisamente identificar qué papel ocupa la organización respecto de cada sistema de inteligencia artificial.

Proveedor y responsable del despliegue: una diferencia fundamental

El AI Act distribuye obligaciones dependiendo del papel que ocupa cada organización.

Una empresa puede ser, entre otras categorías previstas por el Reglamento:

• Proveedor
• Responsable del despliegue o deployer
• Importador
• Distribuidor

Esta clasificación es esencial. No tiene las mismas obligaciones una empresa que desarrolla y comercializa un sistema de inteligencia artificial que una organización que utiliza una solución desarrollada por un tercero.

Por eso, ante cualquier reclamación relacionada con IA, una de las primeras preguntas debería ser: ¿Qué papel ocupa nuestra organización dentro del AI Act?

¿Qué ocurre si un trabajador detecta un uso irregular de inteligencia artificial?

Imaginemos una empresa que utiliza diferentes herramientas de IA. Un trabajador detecta que uno de los sistemas podría estar utilizándose de forma contraria a las políticas internas o a la normativa aplicable.

La organización debería disponer de mecanismos que permitan:

1. Comunicar la incidencia
2. Identificar el sistema afectado
3. Determinar quién es responsable
4. Analizar qué normativa resulta aplicable
5. Conservar las evidencias
6. Investigar el incidente
7. Adoptar medidas correctoras cuando corresponda

Aquí el canal interno de denuncias puede convertirse también en una herramienta relevante dentro de la gobernanza de IA de la empresa.

Cómo adaptar un canal de denuncias al AI Act

Las empresas que ya disponen de sistemas internos de información no necesariamente necesitan crear desde cero un segundo canal exclusivamente dedicado a inteligencia artificial.

Puede resultar más eficiente integrar las incidencias relacionadas con IA dentro de la estructura de compliance existente. Por ejemplo, creando una categoría específica: “Inteligencia artificial y sistemas automatizados”.

El formulario podría solicitar:

• Sistema de IA afectado
• Departamento que lo utiliza
• Descripción de los hechos
• Fecha
• Personas afectadas
• Documentación disponible
• Posibles consecuencias
• Evidencias

Después, el sistema debería dirigir la comunicación hacia las personas responsables de analizarla.

El Compliance Officer tendrá un papel cada vez más importante

El AI Act y compliance van a estar cada vez más relacionados. Hasta ahora, la gobernanza de inteligencia artificial podía considerarse principalmente una cuestión tecnológica. Eso está cambiando.

El Compliance Officer puede participar en:

• Inventario de sistemas de IA
• Clasificación de riesgos
• Elaboración de políticas
• Formación
• Evaluación de proveedores
• Gestión de incidencias
• Investigación de denuncias
• Conservación de evidencias
• Seguimiento regulatorio

La inteligencia artificial empieza así a incorporarse al mapa general de riesgos regulatorios de las organizaciones.

Cómo investigar internamente una denuncia relacionada con IA

Cuando una empresa recibe una comunicación sobre un posible incumplimiento relacionado con inteligencia artificial, conviene evitar conclusiones automáticas.

Puede seguirse una metodología estructurada.

1. Identificar el sistema

¿Qué herramienta de inteligencia artificial está involucrada?

2. Determinar su función

¿Para qué se utiliza realmente?

3. Identificar el papel de la empresa

¿Es proveedor, responsable del despliegue, importador, distribuidor u otro operador?

4. Clasificar el sistema

¿Estamos ante un sistema prohibido, de alto riesgo o sometido a otras obligaciones específicas?

5. Identificar la obligación supuestamente incumplida

No basta con afirmar que “la IA funciona mal”. Debe analizarse qué disposición podría resultar aplicable.

6. Conservar evidencias

Por ejemplo:

• Logs
• Documentos
• Instrucciones
• Políticas
• Evaluaciones
• Comunicaciones
• Contratos con proveedores

7. Analizar el impacto

Debe estudiarse qué personas pueden haberse visto afectadas y qué consecuencias ha tenido el incidente.

8. Adoptar medidas

Cuando proceda, pueden ser necesarias medidas técnicas, organizativas, contractuales o jurídicas.

¿Puede utilizarse IA para investigar una denuncia sobre IA?

Aquí aparece una paradoja interesante. La propia inteligencia artificial puede ayudar a los equipos de compliance a investigar incidencias relacionadas con sistemas de IA.

Por ejemplo, una IA jurídica especializada puede ayudar a:

• Analizar documentación
• Organizar evidencias
• Crear cronologías
• Comparar políticas
• Investigar normativa
• Identificar obligaciones
• Preparar informes internos

La decisión sobre la existencia de un incumplimiento debe permanecer bajo supervisión profesional.

AI Act y protección de denunciantes

Existe además otra cuestión importante. Las reclamaciones y comunicaciones relacionadas con inteligencia artificial no deben analizarse únicamente desde la perspectiva del propio AI Act.

Dependiendo del caso pueden interactuar diferentes normas europeas y nacionales.

Especialmente relevantes pueden ser:

• Normativa sobre protección de informantes
• Protección de datos
• Normativa laboral
• Regulación sectorial
• Obligaciones de confidencialidad

Por ello, las empresas deberían evitar construir un sistema de AI compliance completamente separado de su estructura general de cumplimiento.

¿Quién supervisa el AI Act en España?

La aplicación del AI Act se integra en una arquitectura europea y nacional de autoridades competentes y vigilancia del mercado.

En España, Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) ocupa un papel central en la supervisión de la inteligencia artificial, junto con las autoridades que puedan resultar competentes según la materia.

Esto significa que una cuestión relacionada con IA puede requerir determinar primero qué autoridad tiene competencia sobre el supuesto concreto.

Las empresas deberían prepararse antes de recibir la primera denuncia

Este es probablemente el mensaje más importante para los departamentos de compliance. La peor estrategia consiste en diseñar el procedimiento cuando llega la primera reclamación.

Antes debería existir al menos: inventario de IA → clasificación → responsables → políticas → canal de incidencias → protocolo de investigación → evidencias → medidas correctoras.

Así, cuando se produzca una comunicación, la organización sabrá quién debe gestionarla y cómo hacerlo.

Preguntas frecuentes sobre el canal de denuncias del AI Act

¿El AI Act permite presentar reclamaciones?

Sí. El Reglamento contempla el derecho a presentar reclamaciones ante las autoridades de vigilancia del mercado cuando existan motivos para considerar que se han infringido sus disposiciones.

¿Existe un único canal europeo para denunciar cualquier incumplimiento del AI Act?

No debe entenderse así. El Reglamento establece un sistema de autoridades competentes y mecanismos de reclamación. La autoridad adecuada dependerá del supuesto y de cómo se implemente el marco de supervisión.

¿Una empresa necesita crear un canal de denuncias específico para IA?

No necesariamente por el mero hecho de utilizar IA. Una opción organizativa puede ser integrar las incidencias relacionadas con inteligencia artificial dentro de los sistemas internos de compliance ya existentes, atendiendo a las obligaciones concretas que resulten aplicables.

¿Puede un trabajador comunicar internamente un uso irregular de IA?

Sí, cuando el supuesto encaje en el ámbito del sistema interno correspondiente. La empresa debería definir procedimientos para identificar, investigar y escalar incidencias relacionadas con sistemas de inteligencia artificial.

¿Qué debe hacer una empresa ante una denuncia relacionada con IA?

Debe identificar el sistema, conservar evidencias, determinar su papel bajo el AI Act, analizar las obligaciones aplicables, investigar los hechos y valorar las medidas correctoras necesarias.

Cómo puede ayudar Prudencia en el compliance del AI Act

La entrada progresiva en aplicación del Reglamento europeo de inteligencia artificial significa que los departamentos jurídicos y de compliance tendrán que interpretar una normativa extensa y relacionarla con situaciones empresariales muy concretas.

Con una IA jurídica especializada como Prudencia, los profesionales pueden utilizar inteligencia artificial para investigar normativa, analizar documentación, comparar políticas internas, estudiar incidencias y preparar informes jurídicos.

Por ejemplo: “Analiza esta incidencia relacionada con nuestro sistema de IA, identifica qué obligaciones del AI Act podrían resultar relevantes y prepara una lista de cuestiones que debemos investigar antes de emitir una conclusión.”

La IA puede acelerar la investigación. Pero la decisión sobre cumplimiento y las medidas que debe adoptar la empresa siguen correspondiendo a los profesionales responsables.

Conclusión: el canal de denuncias será otra pieza del compliance de inteligencia artificial

La aplicación del AI Act no termina cuando una empresa clasifica sus sistemas de inteligencia artificial. El verdadero reto empieza después.

Hay que supervisarlos, documentarlos, detectar incidencias y disponer de mecanismos para reaccionar cuando algo no funciona correctamente. Las reclamaciones previstas por el Reglamento y los canales internos de las organizaciones formarán parte de ese nuevo ecosistema de compliance de inteligencia artificial. Por eso, las empresas deberían empezar a integrar la IA dentro de sus estructuras tradicionales de cumplimiento.

No se trata únicamente de preguntarse: “¿Podemos utilizar esta inteligencia artificial?” También habrá que estar preparados para responder: “¿Qué hacemos si alguien denuncia que la estamos utilizando incorrectamente?” Y esa segunda pregunta puede acabar siendo tan importante como la primera.