Protección para sobrevivir a los ciberataques
Poner una casilla de «revisado» al final no significa que exista control humano. La persona necesita información, tiempo y autoridad para entender los límites, detectar anomalías y detener o cambiar el resultado cuando algo no encaja.
El artículo 14 establece requisitos específicos para los sistemas de alto riesgo. Tras el Reglamento (UE) 2026/1744, las principales obligaciones de las secciones 1 a 3 del capítulo III se aplicarán desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los vinculados al anexo I. Fuera de esos casos, los mismos principios siguen siendo una buena práctica para cualquier uso capaz de afectar a personas, dinero, derechos, seguridad o reputación.
Puntos principales
- La persona supervisora debe ser competente, estar informada y poder intervenir.
- La revisión debe producirse antes del punto en que el daño sea irreversible.
- Automatización y volumen pueden convertir una aprobación humana en un trámite vacío.
- Documenta criterios, decisiones, excepciones e incidencias, no cada clic sin sentido.
Lo que no es una supervisión efectiva
- Aprobar cientos de resultados sin tiempo ni información para revisarlos.
- Asignar la revisión a una persona que no conoce el contexto o los límites del sistema.
- Mostrar una puntuación sin explicar su significado, incertidumbre o datos relevantes.
- Permitir corregir un campo, pero no detener la decisión ni cambiar el proceso.
- Asumir que la presencia de una persona elimina automáticamente el sesgo o el error.
- Responsabilizar al supervisor sin darle formación, autoridad o recursos.
Las cinco condiciones del control humano real
- 01
Competencia: conocimiento de la tarea, del sistema, de sus límites y de los riesgos para las personas.
- 02
Información: acceso a entradas, salida, contexto, fuentes, indicadores y hechos necesarios para decidir.
- 03
Tiempo: carga de trabajo compatible con una revisión significativa, especialmente en excepciones.
- 04
Autoridad: capacidad de ignorar, corregir, escalar, detener o revertir el resultado.
- 05
Independencia: ausencia de incentivos o métricas que castiguen sistemáticamente discrepar del sistema.
Si nunca se cambia una salida, investiga por qué.
Puede significar que el sistema es excelente, pero también automatización del criterio, falta de tiempo, información insuficiente o una interfaz que dificulta discrepar.
Dónde colocar los puntos de control
La supervisión puede intervenir antes, durante y después. Los puntos más eficaces suelen estar donde todavía es posible evitar o limitar el impacto.
- Antes: aprobar finalidad, datos, usuarios, configuración, umbrales y criterios de exclusión.
- Durante: revisar excepciones, baja confianza, cambios de comportamiento y casos con mayor impacto.
- Antes de actuar: validar comunicaciones, pagos, decisiones, publicaciones o cambios irreversibles.
- Después: muestrear resultados, atender reclamaciones, analizar incidentes y comprobar deriva.
Una matriz proporcional de supervisión
La organización puede graduar el control según impacto y reversibilidad. La clasificación debe considerar a las personas afectadas, no solo el coste para la empresa.
- Nivel 1, asistencia: la IA propone y el usuario edita; registro mínimo y revisión del autor.
- Nivel 2, recomendación: una segunda persona valida hechos, criterios y adecuación antes de actuar.
- Nivel 3, decisión sensible: especialista competente, explicación, evidencia y aprobación formal.
- Nivel 4, uso no admisible: se prohíbe o se rediseña cuando no puede existir control efectivo.
Qué conviene documentar
- Finalidad del sistema y decisiones que puede influir.
- Responsable de negocio, propietario técnico y persona supervisora.
- Formación y competencias requeridas para cada rol.
- Información disponible y límites conocidos.
- Criterios de aceptación, rechazo, escalado y parada.
- Frecuencia de revisión, muestreo y seguimiento de incidencias.
- Decisiones relevantes, cambios de criterio y excepciones justificadas.
- Canal para reclamaciones y retroalimentación de personas afectadas.
La persona también puede equivocarse
La supervisión humana no es una garantía automática. Existe el sesgo de automatización: aceptar una recomendación porque parece objetiva o porque discrepar requiere más esfuerzo. También puede aparecer fatiga, exceso de alertas o una confianza basada en resultados anteriores.
El diseño debe ayudar a pensar: mostrar la información necesaria, separar evidencia de recomendación, destacar incertidumbre, evitar opciones preseleccionadas y pedir una justificación solo cuando aporte valor. La formación debe incluir casos en los que el sistema se equivoca de forma convincente.
Preguntas para auditar la supervisión
- ¿La persona sabe cuándo está interactuando con una salida de IA?
- ¿Conoce la finalidad prevista y los usos excluidos?
- ¿Puede acceder a la evidencia necesaria para contrastar?
- ¿Tiene tiempo y capacidad real para discrepar?
- ¿Puede detener una acción y escalar una duda?
- ¿Se analizan las anulaciones, reclamaciones y casos atípicos?
- ¿Se actualiza la supervisión cuando cambia el sistema o el contexto?
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.