Un examinador no te pregunta si tu IA es segura. Te pide que demuestres qué se le dijo al cliente, por qué y de qué fuente procedía esa información. Si no puedes hacerlo, la política que figura en la pared no sirve de nada.
Una lista de verificación de cumplimiento normativo en materia de IA para responsables de la experiencia del cliente es un conjunto de requisitos que debe cumplir cualquier implementación de IA orientada al cliente antes de que pueda justificarse ante un organismo regulador; abarca la trazabilidad, la gobernanza, el tratamiento de datos, la supervisión humana y la validación continua.
Esta lista de comprobación marca la diferencia entre una implementación que supera una revisión y otra que solo supera una demostración.
Puntos clave
- Una lista de comprobación del cumplimiento normativo de la IA recoge la documentación que un organismo regulador o un auditor solicitará realmente: qué dijo la IA, por qué lo dijo, de qué fuente procedía y quién podía anularlo.
- «Seguro» y «auditable» son conceptos distintos. «Seguro» significa que la IA no causará ningún daño. «Auditable» significa que se puede demostrar ante un organismo regulador qué ha ocurrido y por qué.
- La mayoría de los incumplimientos de cumplimiento normativo son de carácter arquitectónico. Una «caja negra» a la que se le haya añadido un registro de auditoría sigue sin poder mostrar el proceso de toma de decisiones que subyace a cualquier respuesta concreta.
- Cuando cada respuesta se puede remontar a una fuente controlada, la precisión y la auditabilidad provienen de la misma fuente, lo que permite combinar una precisión superior al 98 % con un registro completo de la conversación.
- Descubre cómo es una ruta de decisión basada en IA auditable en entorno de producción. Solicita una demostración.
¿Qué es una lista de comprobación de cumplimiento normativo en materia de IA?
Una lista de verificación de cumplimiento normativo en materia de IA es un conjunto estructurado de requisitos que debe cumplir un sistema de IA destinado al público antes de que pueda implementarse y defenderse en un entorno regulado.
Abarca la trazabilidad, la gobernanza, el tratamiento de datos, la supervisión humana y la validación continua.
No se trata de una lista de comprobación sobre la preparación para la IA, que abarca la preparación de la organización: calidad de los datos, gestión del cambio y indicadores de éxito.
La preparación consiste en preguntarse si estás listo para realizar una implementación. El cumplimiento consiste en preguntarse si puedes defender lo que has implementado.
Por qué «seguro» no es el criterio que aplican los reguladores
Los términos «seguro» y «auditable» se utilizan como si significaran lo mismo. Pero no es así.
«Segura» significa que la IA no causará ningún daño. Esa es la intención del diseño.
«Auditable» significa que puedes demostrar ante un organismo regulador qué se dijo y por qué. Se trata de un criterio probatorio, el que se aplica en una inspección.
Un aviso de transparencia en el que se informe a los clientes de que están hablando con una IA es una buena práctica. No constituye una prueba. Solo la ruta de decisión explica por qué se dio una respuesta concreta, y para eso sirve la gobernanza de «caja de cristal ».
El marco normativo del que ahora son responsables los responsables de la experiencia del cliente
Los responsables de CX deben ahora rendir cuentas por marcos normativos que antes eran competencia exclusiva de los departamentos jurídico y de gestión de riesgos. Lo que se necesita es una mentalidad práctica, no un departamento de cumplimiento normativo.
La Ley de IA de la UE establece obligaciones para la IA de mayor riesgo y la dirigida a los clientes, entre las que se incluyen la transparencia y la supervisión. El artículo 30 del RGPD regula los registros de tratamiento y la ubicación de los datos para las operaciones en la UE.
En el sector de los servicios financieros, las expectativas de la CFPB, la OCC y la FDIC abarcan las comunicaciones con los clientes que deben poder auditarse y la coherencia en la divulgación de información, de acuerdo con las directrices de la CFPB sobre las decisiones basadas en la inteligencia artificial. La SR 11-7 establece las expectativas en materia de documentación del riesgo de modelo.
En el caso de las soluciones SaaS B2B dirigidas a clientes sujetos a regulación, los criterios de los servicios de confianza de SOC 2, especialmente la integridad del procesamiento y la confidencialidad, son los más importantes. Esto es solo información contextual, no constituye asesoramiento jurídico.
Lista de comprobación para el cumplimiento normativo en materia de IA: 10 requisitos
Hay diez requisitos que hacen que la implantación de una IA orientada al cliente sea defendible. Cada uno de ellos aporta pruebas, no solo intenciones.
- Cada respuesta se puede rastrear hasta una fuente concreta y regulada.
- El contenido tiene versiones, por lo que puedes mostrar lo que sabía la IA en ese momento.
- La ruta de decisión de cualquier respuesta concreta se puede reconstruir cuando se desee.
- Las medidas de seguridad se aplican en el nivel de arquitectura, no mediante instrucciones en la línea de comandos.
- La derivación a un agente humano es una decisión planificada, registrada y susceptible de revisión.
- Los cambios en la capa de conocimiento se regulan, se aprueban y se registran.
- Los datos del cliente, los datos de recuperación y el contexto del modelo están claramente separados.
- Las opciones de residencia de datos y de implementación se ajustan al marco normativo en el que opera.
- Una persona puede revisar, anular y corregir cualquier resultado generado por la IA, quedando registrada dicha anulación.
- La precisión se comprueba de forma continua tras el lanzamiento, no se certifica una sola vez en el momento de la puesta en marcha.
Los cuatro grupos que figuran a continuación los desarrollan.
Requisitos 1 a 3: Trazabilidad y procedencia
Las intenciones vinculadas a la fuente son el núcleo del sistema. El contenido se preprocesa y se gestiona mediante ingeniería del conocimiento, de modo que cada respuesta remite a la fuente de la que procede, con un registro completo de la conversación.
El control de versiones del contenido responde a la pregunta que realmente se plantean los examinadores. No se trata de qué dice ahora la IA, sino de qué decía entonces y por qué.
La reconstrucción de la ruta de decisión muestra la intención que coincidió y la fuente que respondió, lo que confirma que no se generó nada en tiempo de ejecución.
Eso es la «Inteligencia Programada», impulsada por la arquitectura dual LLM de Encore, y es la razón por la que la precisión del +98 % y la prevención de alucinaciones están integradas de serie, y no son funciones añadidas a posteriori.
Requisitos 4 a 6: Gobernanza y control
Las barreras de seguridad deben ser de carácter arquitectónico. Una capa de aplicación de políticas limita lo que el sistema puede decir, en lugar de una instrucción del prompt que el modelo puede seguir o no.
La escalación debe ser una decisión regulada, que quede registrada y pueda revisarse, con un traspaso del caso que incluya todo el contexto, para que el cliente no tenga que repetir lo mismo. Ahí es donde entra en juego la asistencia en directo de un agente.
Las modificaciones en los conocimientos deben seguir un proceso de aprobación y auditoría, de modo que quede constancia de quién modificó qué, cuándo y bajo la autoridad de quién.
Aquí es donde suelen fallar los programas de la capa de políticas. La política existe, pero el sistema no puede hacerla cumplir ni demostrar su cumplimiento.
Requisitos 7 y 8: Tratamiento y ubicación de los datos
Los datos de los clientes, los datos de recuperación y el contexto del modelo deben estar claramente separados. Esa separación te permite saber con exactitud dónde ha ido a parar un dato concreto.
La implementación en las propias instalaciones y en VPC, con configuración de residencia por región, resulta importante para las organizaciones sujetas a límites estrictos.
Esto guarda relación con el artículo 30 del RGPD, relativo a los registros de tratamiento en el ámbito de las operaciones de viajes y hostelería en la UE, y con las cuestiones sobre residencia que suelen plantear en primer lugar los responsables de seguridad de la información (CISO).
Requisitos 9 y 10: Supervisión humana y validación continua
La supervisión humana es un requisito de cumplimiento normativo, no un recurso de último momento. Una persona debe poder revisar, anular y corregir cualquier resultado, y la propia anulación debe quedar registrada como prueba.
La autonomía por etapas es la vía regulada. «Read» observa y establece valores de referencia sin actuar. «Recommend» presenta sugerencias para que las apruebe un humano. «Act» ejecuta dentro de unos límites regulados, con registros de auditoría en todo momento.
La validación continua lo garantiza. La precisión no se certifica de una sola vez en el momento de la puesta en marcha, ya que los conocimientos evolucionan y las preguntas cambian.
Las pruebas de regresión, la evaluación de la precisión y la integración de la gobernanza y el cumplimiento normativo garantizan que se mantenga actualizado. La capa de mantenimiento autónomo de Encore analiza los patrones de escalado para subsanar las lagunas de contenido.
Por qué el cumplimiento falla en el nivel de arquitectura, y no en el de políticas
Las organizaciones redactan la política de transparencia, llevan a cabo la revisión jurídica y establecen el registro de auditoría. Posteriormente, durante una inspección, descubren que el sistema no puede mostrar por qué se generó una respuesta concreta.
Un registro de auditoría recoge que se produjo una respuesta. No reconstruye el razonamiento. Eso es lo único que satisface a un examinador.
La solución está en dar prioridad al conocimiento. Cuando el conocimiento, bien gestionado y estructurado, ocupa el primer lugar y el modelo está al servicio de este, la precisión y la auditabilidad provienen de la misma fuente.
El cumplimiento normativo pasa a ser una característica intrínseca de la arquitectura, y no una capa añadida posteriormente.
Por eso también resulta difícil incorporar el cumplimiento a posteriori. Un diseño basado en «los modelos primero» tiene que reconstruir la explicabilidad a posteriori, y la explicabilidad a posteriori es precisamente lo que no se sostiene.
Si tu implementación actual no permite reconstruir una sola ruta de decisión, ahí está la carencia. Descubre en qué consiste la auditabilidad.
Aplicación de la lista de comprobación por sectores
Servicios financieros. Dar prioridad a la trazabilidad y al control de versiones. Las respuestas que puedan rastrearse hasta las intenciones originales reguladas son defendibles en las inspecciones de la CFPB, la OCC y la FDIC.
La coherencia en la divulgación se mantiene en el chat, la voz y la búsqueda, ya que los tres se basan en el mismo conjunto de conocimientos regulado.
La documentación del modelo se genera sin necesidad de instrumentación específica.
BBVA transformó su servicio de atención al cliente con la IA de Inbenta, reduciendo las escalaciones de incidencias en un 84 %.
Sector de los viajes y la hostelería. Priorizar la gestión y la residencia de los datos. Registros de tratamiento según el artículo 30 del RGPD, configuración de la residencia por región y registros de interacciones auditables en más de 90 idiomas y con grandes volúmenes de datos.
GOL Airlines gestiona más de 10 millones de consultas al año en un mercado naturalmente multilingüe, y Travel Club mantiene registros auditables en todos los canales.
Apuestas y juegos de azar en línea, y soluciones SaaS B2B con clientes sujetos a regulación. Dar prioridad a la auditabilidad heredada.
Un proveedor de SaaS que opera en sectores regulados asume los requisitos de auditoría de sus clientes, y las intenciones vinculadas a la fuente cumplen con esa exigencia.
Los criterios de integridad y confidencialidad del procesamiento según SOC 2 se corresponden con los controles arquitectónicos. La explicabilidad en un entorno multicliente significa que cada cliente solo ve su propia información.
Cómo cumple Encore con los requisitos de la lista de comprobación
Inbenta Encore se ha diseñado para sectores regulados como una plataforma unificada de IA basada en agentes, por lo que la lista de verificación se ajusta a la arquitectura, no a los complementos.
- Trazabilidad y control de versiones. Cada respuesta se deriva de una intención de origen regulada y con control de versiones, con un registro de auditoría completo de cómo se generó. La defendibilidad ante las autoridades reguladoras está integrada de forma nativa, no se añade posteriormente.
- Barreras de seguridad arquitectónicas. Una capa de aplicación de políticas limita lo que el sistema puede decir, de modo que el control y la evidencia son una sola cosa.
- Aislamiento de datos. Los datos de los clientes, los datos de recuperación y el contexto del modelo permanecen separados, con opciones de ubicación en las instalaciones, en VPC y por región.
- Escalación controlada. La asistencia en directo de un agente garantiza que el traspaso se realice con todo el contexto, quede registrado y sea revisable, de modo que la supervisión humana quede demostrada, y no se dé por sentada.
- Validación continua. Los marcos de pruebas de IA abarcan pruebas de regresión, evaluación de la precisión e integración de la gobernanza y el cumplimiento normativo, y una capa de mantenimiento autónomo subsana las lagunas de contenido tras el lanzamiento.
- Cobertura en todos los canales. El kit de herramientas de experiencia del cliente (CX) basado en IA ofrece las mismas respuestas reguladas en el chat, la atención telefónica y el buscador, lo que garantiza la coherencia en la información facilitada en todos los canales.
- Precisión basada en el conocimiento. La inteligencia programada, impulsada por la arquitectura dual LLM de Encore, alcanza una precisión superior al 98 % en más de 90 idiomas y más de 850 integraciones empresariales, con una implementación un 75 % más rápida.
Nada de esto garantiza por sí solo que una organización cumpla con la normativa. Te proporciona la estructura y las pruebas necesarias para justificar lo que implementas.
Inbenta Encore es una plataforma unificada de IA basada en agentes que ha sido galardonada con el premio TSIA Star Award en la categoría de «Innovador del año en éxito digital del cliente».
Es más fácil integrar el cumplimiento normativo desde el principio que añadirlo a posteriori. Consulta el proceso de toma de decisiones auditable en entorno de producción.
Preguntas frecuentes
¿Qué debería incluir una lista de verificación de cumplimiento normativo en materia de IA para la experiencia del cliente?
Debe abarcar las pruebas que solicite un organismo regulador: trazabilidad hasta una fuente regulada, control de versiones del contenido, reconstrucción de la cadena de decisiones, medidas de protección arquitectónicas, registro de escalaciones, cambios regulados en los conocimientos, separación y residencia de datos, registro de intervenciones manuales y validación continua. Cada elemento debe generar pruebas.
¿Cuál es la diferencia entre una IA segura y una IA auditable?
«Seguro» significa que la IA no causará ningún daño, lo cual es un objetivo de diseño. «Auditable» significa que se puede demostrar ante un organismo regulador qué se dijo y por qué, lo cual es un criterio probatorio. Un sistema puede ser seguro y, aun así, no superar una auditoría si no es capaz de reconstruir el proceso de toma de decisiones que subyace a una respuesta.
¿Se aplica la Ley de IA de la UE a la IA utilizada en la atención al cliente?
Sí, dependiendo de cómo se utilice el sistema y de su clasificación de riesgo. La IA orientada al cliente conlleva obligaciones en materia de transparencia y supervisión humana, y los usos de mayor riesgo conllevan aún más. Se trata de un contexto general, no de asesoramiento jurídico; tu equipo de cumplimiento normativo debería analizar tu implementación para determinar las obligaciones pertinentes.
¿Cómo se demuestra a una autoridad reguladora lo que ha dicho una IA y por qué?
Con un proceso de toma de decisiones, no solo un registro de auditoría. Se muestra la intención que coincidió, la fuente versionada que dio la respuesta, si una persona la revisó o la modificó, y qué recibió el cliente. Esto es posible cuando las respuestas se obtienen de un conocimiento regulado y vinculado a la fuente, en lugar de generarse en tiempo de ejecución.
¿Quién es el responsable del cumplimiento normativo en materia de IA en un centro de atención al cliente: el equipo de experiencia del cliente (CX) o el equipo de cumplimiento normativo?
Ambos, y por eso esta lista de comprobación se ha elaborado para compartirla. CX se encarga de la implementación; los departamentos de riesgo y cumplimiento normativo se encargan de la norma a la que debe ajustarse. Los requisitos aquí expuestos constituyen el punto de encuentro, de modo que la arquitectura genera las pruebas que necesita el departamento de cumplimiento normativo.
¿Es posible adaptar una implementación de IA ya existente para que cumpla con la normativa?
En parte, pero resulta complicado cuando el sistema se basa en el enfoque «modelos primero», ya que la explicabilidad tiene que reconstruirse a posteriori y las explicaciones a posteriori rara vez se sostienen. Una arquitectura basada en el enfoque «conocimiento primero» convierte el cumplimiento normativo en una propiedad del diseño, algo más fácil de integrar desde el principio que de añadir a posteriori.
Artículos relacionados
