"Necesitamos registros del artículo 12 antes de la revisión". ¿Qué pruebas pertenecen al proveedor y cuáles al implementador?
Separe el diseño de registro automático del artículo 12 de la Ley de IA de la UE del control y retención de registros del implementador antes de determinar el alcance de una solicitud de evidencia de registro de IA.
Señales que conviene observar
- Un sistema de IA con nombre se acerca a la revisión de conformidad, adquisición o implementación y el equipo solo dice que faltan registros del Artículo 12
- El diseño de eventos del lado del proveedor y la retención del lado del implementador se asignaron a un proveedor sin confirmar quién controla cada registro.
- La solicitud indica una fecha de revisión, pero deja sin resolver la clasificación de alto riesgo, el propósito previsto y los eventos registrados exactos.
Una solicitud de registro del Artículo 12 tiene dos propietarios de pruebas diferentes. El proveedor debe mostrar cómo un sistema de IA de alto riesgo técnicamente registra eventos automáticamente y por qué esos eventos admiten la trazabilidad para el propósito previsto. El implementador debe mostrar qué registros generados automáticamente están bajo su control y cómo los guarda. Una solicitud que dice sólo “necesitamos los registros del Artículo 12” aún no ha definido el trabajo.
Esa es la primera respuesta que necesita un líder de desarrollo empresarial de un proveedor de observabilidad o gobernanza de IA al leer los grupos Telegram de proveedores de modelos autorizados, IA empresarial e industria regulada. El mensaje adquiere relevancia comercial cuando nombra un sistema, un evento de revisión y una brecha concreta en el registro, exportación, integridad, acceso o retención. Después de que el equipo de conformidad o de adquisiciones selecciona una arquitectura, es posible que el propietario del registro ya no pueda cambiar la ruta de evidencia antes de la revisión.
Definición: El artículo 12 es un requisito de diseño de sistemas de alto riesgo
Reglamento (UE) 2024/1689, la Ley de Inteligencia Artificial de la UE, no impone el artículo 12 a cada pieza de software comercializado como IA. El artículo 12 se encuentra en los requisitos para sistemas de IA de alto riesgo. La clasificación depende del sistema y del propósito previsto en virtud del artículo 6 y los anexos y normas pertinentes de la Ley.
El artículo 12 exige que los sistemas de inteligencia artificial de alto riesgo permitan técnicamente el registro automático de eventos (llamados registros) durante la vida útil del sistema. La capacidad de registro debe permitir registrar eventos relevantes para identificar situaciones que puedan crear un riesgo o una modificación sustancial, facilitar el seguimiento posterior a la comercialización y monitorear el funcionamiento de sistemas específicos de alto riesgo. El grado de trazabilidad debe ser adecuado al fin previsto.
Por qué esto es importante: un registro de infraestructura genérico puede ser útil desde el punto de vista operativo sin demostrar que el sistema de alto riesgo registra los eventos necesarios para su contexto legal y de seguridad. Por el contrario, el artículo 12 no dice que todos los acontecimientos internos deban conservarse para siempre.
Primer propietario: el proveedor diseña el registro automático
El proveedor controla la definición del sistema, el propósito previsto y la evidencia del diseño. Su expediente del Artículo 12 debería conectar cuatro capas.
Límite del sistema. ¿Qué sistema y versión publicados se están evaluando? Un punto final modelo, un flujo de trabajo que combina varios componentes y una herramienta de decisión humana pueden tener diferentes límites de eventos. “Nuestra plataforma” no es lo suficientemente precisa.
Catálogo de eventos. ¿Qué eventos se registran automáticamente? Las entradas útiles pueden incluir versión, ruta de entrada, identificador de salida o decisión, intervención de supervisión humana, estado de error y cambio de configuración del material. El catálogo correcto depende del propósito previsto; Esta lista es un ejemplo, no un mínimo legal.
Finalidad de la trazabilidad. Para cada evento, indique qué pregunta de investigación, monitoreo o riesgo ayuda a responder. Una larga lista de campos sin un propósito de trazabilidad es un inventario, no un diseño de registro razonado.
Integridad y acceso. Muestra cómo los eventos reciben marcas de tiempo e identificadores, cómo se controlan los cambios, cómo las personas autorizadas los recuperan y qué limitaciones persisten. Una captura de pantalla de un panel puede demostrar visibilidad pero no exportar integridad o integridad.
Ciertos sistemas de identificación biométrica remota tienen requisitos de contenido adicionales del Artículo 12(3), incluido el registro del período de uso, la base de datos de referencia, los datos de entrada que llevaron a una coincidencia y las personas involucradas en la verificación. Ese párrafo especializado no debe copiarse en un sistema crediticio o laboral de alto riesgo no relacionado.
Segundo propietario: el implementador controla el uso y la retención.
El artículo 19 confiere al desplegador un deber diferente. Los implementadores de sistemas de IA de alto riesgo deben mantener registros generados automáticamente por el sistema en la medida en que esos registros estén bajo su control. El período debe ser adecuado al fin previsto y al menos seis meses, a menos que la legislación nacional o de la Unión aplicable, en particular la legislación sobre datos personales, disponga lo contrario.
La frase “bajo su control” impide que un consultor asuma que el implementador puede recuperar todos los eventos del lado del proveedor. El traspaso debe mostrar:
- qué flujos de registros llegan al entorno del implementador;
- que permanecen controlados por el proveedor u otro procesador;
- quién puede acceder y exportar cada flujo;
- cuando comienza el reloj de retención;
- qué configuración de retención está activa, en lugar de simplemente disponible;
- qué razón legal u operativa cambia el período; y
- cómo el implementador conecta un registro a un evento de uso real.
El proveedor también puede tener sus propios deberes de documentación y mantenimiento de registros en otras partes de la Ley. No reemplace el análisis de roles con el lema “seis meses para todos”.
El mapa de evidencia de dos propietarios
La contribución original aquí es un pequeño mapa con una fila por pregunta de prueba:
| Pregunta de prueba | evidencia del proveedor | Evidencia del implementador | Aún desconocido |
|---|---|---|---|
| ¿Qué sistema está dentro del alcance? | Finalidad prevista, versión y límites. | Configuración implementada y contexto de uso. | Si el uso cambia la clasificación |
| ¿Qué se registra? | Implementación y catálogo automático de eventos. | Transmisiones realmente recibidas | Brechas entre eventos diseñados y disponibles |
| ¿Por qué está grabado? | Justificación de la trazabilidad y el seguimiento | Necesidad de investigación operativa | Si cada evento es suficiente |
| ¿Quién lo controla? | Diseño de acceso y exportación. | Roles, permisos y ruta del procesador. | Brechas de control contractual y técnico |
| ¿Cuánto tiempo se conserva? | Capacidad y límites del producto | Política de retención activa y evidencia. | Otros requisitos legales aplicables |
Este mapa impide que el proveedor de observabilidad acepte una conclusión jurídica que no puede llegar a alcanzar. También produce un alcance práctico: instrumentación de eventos, mapeo de exportación, integridad de marca de tiempo, revisión de control de acceso o configuración de retención.
Ejemplo: revisión de un viernes, faltan dos propietarios
Considere este hilo compuesto ilustrativo; no es una conversación con el cliente:
“Risk quiere registros del Artículo 12 antes del viernes. El proveedor dice que el registro está habilitado”.
“Podemos ver las decisiones en la pantalla de administración. Los eventos sin procesar tal vez se reúnan con su equipo de nube”.
“La retención es predeterminada. Aquí nadie sabe el número”.
Los fragmentos revelan una revisión con nombre y tres posibles lagunas: la evidencia del proveedor se está reduciendo a una característica habilitada, el control del implementador sobre los eventos sin procesar no está claro y la retención no está verificada. No prueban que el sistema sea de alto riesgo, que se aplique el artículo 12, que la “decisión” visible sea el evento requerido, o que seis meses sea el período final correcto.
La primera pregunta comercial no es “¿Cuántos gigabytes por día?” Es: ¿Quién ha clasificado el sistema y el propósito previsto, y qué prueba de registro falta en la columna del proveedor versus en la columna del implementador? Si ninguno de los propietarios puede proporcionar los límites del sistema, el alcance honesto comienza con el descubrimiento de evidencia.
Un registro de alfabetización en IA se refiere a las personas que operan en el sistema, no a su historial de eventos; consulte el Artículo 4 entrega de pruebas de alfabetización. El Artículo 50 Solicitud de preparación para la transparencia aborda avisos y divulgaciones de resultados sintéticos, no registros del Artículo 12. Precios y acceso describe el producto de descubrimiento.
TOP Prospect puede filtrar, fusionar, deduplicar y clasificar fragmentos relevantes de grupos Telegram a los que un usuario se conecta deliberadamente y al que está autorizado a acceder. Puede conservar mensajes originales, fuentes, horas, resúmenes y razones de clasificación para que una persona los examine. No puede clasificar el sistema de IA, inspeccionar la infraestructura de registro privada, decidir la ley de retención, certificar la conformidad o contactar al autor del mensaje.
Hechos clave
- El artículo 12 se aplica a los sistemas de IA de alto riesgo, no a todos los sistemas de IA.
- Técnicamente, el sistema debe permitir el registro automático de eventos a lo largo de su vida útil.
- La tala debe permitir una trazabilidad adecuada al fin previsto y a las funciones de seguimiento e investigación descritas en el artículo 12.
- La evidencia del proveedor explica los límites del sistema, el diseño del evento, el propósito, la integridad y el acceso.
- El artículo 19 exige que los implementadores mantengan bajo su control los registros generados automáticamente durante un período apropiado de al menos seis meses, a menos que otra ley aplicable disponga lo contrario.
- Un panel visible y una configuración habilitada no prueban por sí solos la integridad, el control o la retención del evento.
FAQ
¿Se aplica el artículo 12 a todos los sistemas de IA?
No. El artículo 12 es un requisito para los sistemas de IA de alto riesgo. El sistema y el propósito previsto deben evaluarse primero según las reglas de clasificación de la Ley de IA.
¿Qué exige el artículo 12 en el diseño del sistema por parte del proveedor?
Los sistemas de IA de alto riesgo deben permitir técnicamente el registro automático de eventos a lo largo de su vida. La capacidad de registro debe respaldar la trazabilidad adecuada al propósito previsto y permitir el seguimiento y la investigación de riesgos específicos y modificaciones sustanciales.
¿Quién guarda registros durante al menos seis meses?
El artículo 19 exige que quienes implementen sistemas de IA de alto riesgo mantengan bajo su control los registros generados automáticamente durante un período adecuado al fin previsto de al menos seis meses, a menos que otra legislación nacional o de la Unión aplicable disponga lo contrario.
¿Puede un proveedor de observabilidad certificar el cumplimiento del Artículo 12 a partir de una solicitud Telegram?
No. El proveedor puede determinar el alcance del trabajo de diseño, exportación, integridad o retención de eventos, pero la clasificación legal, la asignación de roles, las pruebas de conformidad y las conclusiones de cumplimiento requieren una revisión humana autorizada.
La solicitud está lista para una llamada de alcance técnico cuando la fuente de clasificación de alto riesgo, el propietario del registro del proveedor, el propietario del registro del implementador y la prueba faltante puedan nombrarse en un solo registro.
Preguntas frecuentes
¿Se aplica el artículo 12 a todos los sistemas de IA?
No. El artículo 12 es un requisito para los sistemas de IA de alto riesgo. El sistema y el propósito previsto deben evaluarse primero según las reglas de clasificación de la Ley de IA.
¿Qué exige el artículo 12 en el diseño del sistema por parte del proveedor?
Los sistemas de IA de alto riesgo deben permitir técnicamente el registro automático de eventos a lo largo de su vida. La capacidad de registro debe respaldar la trazabilidad adecuada al propósito previsto y permitir el seguimiento y la investigación de riesgos específicos y modificaciones sustanciales.
¿Quién guarda registros durante al menos seis meses?
El artículo 19 exige que quienes implementen sistemas de IA de alto riesgo mantengan bajo su control los registros generados automáticamente durante un período adecuado al fin previsto de al menos seis meses, a menos que otra legislación nacional o de la Unión aplicable disponga lo contrario.
¿Puede un proveedor de observabilidad certificar el cumplimiento del Artículo 12 a partir de una solicitud Telegram?
No. El proveedor puede determinar el alcance del trabajo de diseño, exportación, integridad o retención de eventos, pero la clasificación legal, la asignación de roles, las pruebas de conformidad y las conclusiones de cumplimiento requieren una revisión humana autorizada.
Fuentes y lecturas adicionales
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
