Reglamento de IA de la UE, Artículo 10: gobernanza de datos para sistemas de IA de alto riesgo

Requisitos fundamentales del Artículo 10

El Artículo 10(2) exige que los conjuntos de datos de entrenamiento, validación y prueba estén sujetos a prácticas de gobernanza y gestión de datos. Dichas prácticas deben abordar: las decisiones de diseño y los supuestos adoptados, los procesos de recopilación de datos, las operaciones de preparación de datos (anotación, etiquetado, limpieza, enriquecimiento y agregación), el examen de sesgos, la identificación de lagunas o deficiencias en los datos, y la formulación de medidas de mitigación. El Artículo 10(3) exige que los conjuntos de datos sean pertinentes, suficientemente representativos, libres de errores y completos en función del fin previsto.

El requisito de representatividad

El Artículo 10(3) exige que los conjuntos de datos sean suficientemente representativos. Para los SaaS que se comercializan en la UE, esto implica habitualmente: representación demográfica de la población de la UE en los sistemas que afectan a personas físicas (edad, género, geografía e idioma), representación del ámbito del caso de uso específico, y equilibrio entre los distintos subgrupos que previsiblemente interactuarán con el sistema. El estándar exacto depende de los hechos concretos: se exige una mayor representatividad cuanto mayor sea el nivel de riesgo del uso.

Examen y mitigación de sesgos

El Artículo 10(2)(f) exige el examen de los posibles sesgos que puedan afectar a la salud, la seguridad o los derechos de las personas físicas, incluidos los sesgos que refuercen operaciones futuras. Pruebas de sesgo en la práctica: desgloses de rendimiento demográfico (precisión, tasa de falsos positivos y tasa de falsos negativos por característica protegida), análisis causal de los sesgos identificados y mitigaciones documentadas. La profundidad del examen de sesgos es proporcional al nivel de riesgo del caso de uso.

Datos de categorías especiales

El Artículo 10(5) permite el tratamiento de categorías especiales de datos personales (origen racial o étnico, opiniones políticas, etc., en virtud del Artículo 9 del RGPD) con fines de supervisión y corrección de sesgos, pero únicamente en la medida estrictamente necesaria. Esto significa que se pueden recopilar datos demográficos específicamente para realizar pruebas de sesgo sin necesidad de obtener el consentimiento por separado conforme al Artículo 9 del RGPD, siempre que se documente la necesidad, se apliquen medidas de seguridad reforzadas y se supriman los datos una vez cumplida la finalidad de las pruebas de sesgo.

Cumplimiento práctico para SaaS

Elabore el paquete de documentación del Artículo 10 como parte de la documentación técnica más amplia prevista en el Artículo 11. Elementos obligatorios: documentación de los conjuntos de datos (fuente, licencia, tamaño y composición), procedimientos de preparación de datos, metodología y resultados de las pruebas de sesgo, análisis de representatividad, e identificación de lagunas y medidas de mitigación. Para los sistemas de aprendizaje continuo, añada documentación de proceso que muestre cómo se mantienen los requisitos del Artículo 10 a medida que evolucionan los datos de entrenamiento. Consulte a un asesor de cumplimiento normativo para los sistemas del Anexo III: la metodología de pruebas de sesgo requiere conocimientos tanto técnicos como jurídicos.

Frequently asked questions

¿Cuándo entra en vigor el Artículo 10?

El 2 de agosto de 2026 para los sistemas de IA de alto riesgo.

¿Se aplica el Artículo 10 a la IA que no es de alto riesgo?

Solo como buena práctica: el Artículo 10 vincula a la IA de alto riesgo en virtud del Capítulo III. Los sistemas que no son de alto riesgo se benefician de seguir los principios, pero no están jurídicamente obligados a ello.

¿Puedo recopilar datos demográficos para realizar pruebas de sesgo?

Sí. El Artículo 10(5) permite el tratamiento de datos de categorías especiales específicamente con fines de supervisión y corrección de sesgos, en la medida estrictamente necesaria. Documente la necesidad y aplique medidas de seguridad reforzadas.

¿Cuál es la sanción por incumplimiento del Artículo 10?

Hasta 15 000 000 EUR o el 3 % del volumen de negocios anual mundial, de conformidad con el Artículo 99(4), por incumplimiento de las obligaciones relativas a sistemas de alto riesgo.

¿Exige el Artículo 10 una auditoría externa?

No directamente. El Artículo 10 establece los requisitos; la evaluación de la conformidad prevista en el Artículo 43 los verifica (internamente para la mayoría de las categorías del Anexo III y externamente a través de un organismo notificado en el caso de los sistemas biométricos).

Sources

• https://eur-lex.europa.eu/eli/reg/2024/1689/oj