Normas y control de ejecución de la IA: una perspectiva infraestructural.

Planos distintos, mismo problema.

El AI Act, la NIS2 y los estándares ISO y NIST operan en planos diferentes: jurídico, organizativo, de gestión del riesgo. Aun siendo heterogéneos, convergen en un conjunto restringido de requisitos clave.

Leídos por principios y no por artículos, estos requisitos se reducen a cuatro propiedades recurrentes: control preventivo de la invocación de la IA, trazabilidad documentada y verificable de las decisiones, auditabilidad técnica y responsabilidad atribuible a sujetos identificables.

El plano jurídico define obligaciones; el plano organizativo define procesos; el plano de la gestión del riesgo define métodos. Falta, en esta estratificación, una definición explícita de los mecanismos técnicos mediante los cuales tales requisitos pueden hacerse observables en los sistemas que ejecutan efectivamente la IA.

El denominador común que falta.

Los requisitos enumerados en los marcos de referencia se expresan en términos de qué debe garantizarse. Su traducción operativa se delega hoy a instrumentos heterogéneos — reglas textuales, documentación, controles aplicativos, registros posteriores — pocas veces reconducidos a un mismo plano arquitectónico.

En particular, falta un punto de control técnico que presente, conjuntamente, las cuatro propiedades siguientes.

• No eludible La autorización del uso de la IA no puede ser ignorada, reescrita ni omitida por el código que la solicita.
• Independiente El punto de control está desacoplado de las aplicaciones: no depende de su cooperación ni de su correcta configuración.
• Sub-aplicativo Reside por debajo del nivel aplicativo, en una posición que las aplicaciones no pueden modificar.
• Evidencias técnicas Produce, como efecto de su propio funcionamiento, registros verificables de las decisiones adoptadas.

La ausencia de tal punto de control no es una laguna de las normas: es una laguna de la arquitectura de los sistemas. Es, en otros términos, un problema arquitectónico.

Dónde se sitúa AIKNOCK.

AIKNOCK explora un posible punto de control técnico ex-ante, a nivel de sistema, coherente con los requisitos de control de ejecución, auditabilidad y gestión del riesgo planteados por normas y marcos, sin sustituirlos ni interpretarlos.

Las normas y los estándares definen obligaciones. AIKNOCK opera en el plano de los mecanismos técnicos. El sistema opera de manera independiente de los marcos normativos o de estándar externos y mantiene un comportamiento técnico coherente a nivel de la ejecución. Los dos planos son complementarios: lo que el derecho y los estándares prescriben como propiedades del sistema, un mecanismo como el descrito puede contribuir a hacerlo observable y verificable.

Qué no hace AIKNOCK respecto a las normas.

Para evitar la confusión entre planos distintos, conviene enunciar explícitamente el ámbito que AIKNOCK no ocupa.

• NO HACE no interpreta la ley,
• NO HACE no garantiza el cumplimiento,
• NO HACE no sustituye procesos organizativos o legales,
• NO HACE no elimina las responsabilidades de los deployers,
• NO HACE no gobierna conjuntos de datos ni procesos de training.

La observancia de las normas sigue siendo responsabilidad de los operadores, los implementadores y las autoridades competentes. AIKNOCK no traslada esa responsabilidad: describe un plano técnico distinto.

Conclusión.