Una señal no es una infracción
Indica que existe una situación que merece contexto o comprobación.
Problema / Riesgo
Señales de riesgo jurídico que conviene revisar antes de que se conviertan en un problema
El riesgo no siempre empieza con una sanción o una reclamación. Puede empezar con una herramienta que nadie ha revisado, datos utilizados fuera del proceso previsto, una decisión difícil de explicar o un control que existe pero no puede acreditarse. Estas situaciones son señales preventivas; no demuestran por sí solas un incumplimiento.
Antes de interpretar
Tres reglas antes de interpretar una señal
Un documento no demuestra por sí solo que el control funcione
Política, contrato, registro o procedimiento ayudan a acreditar, pero deben corresponder con la práctica real.
No saber todavía es un resultado válido
Cuando falta información o evidencia, la conclusión correcta puede ser PENDIENTE DE CONFIRMAR.
Mapa preventivo
Situaciones que conviene poder identificar y explicar
Una señal no implica automáticamente una infracción. Su relevancia depende del uso real, las personas afectadas, el contexto y la evidencia disponible.
Señales sobre reglas, visibilidad y control organizativo de los usos reales de IA.
IA sin política interna
Los equipos utilizan IA sin criterios suficientemente claros sobre usos permitidos, datos, revisión, responsabilidades o escalado.
- Qué conviene comprobar
- Herramientas, procesos, reglas comunicadas, supervisión y respuesta ante dudas.
- Evidencia útil
- Política interna, instrucciones, formación, comunicaciones y responsables.
- Límite
- La ausencia de una política formal no permite concluir automáticamente que todos los usos estén descontrolados; debe analizarse la práctica real.
Shadow AI
Pueden existir herramientas, cuentas o usos de IA que la organización no conoce o no ha incorporado a sus controles.
- Qué conviene comprobar
- Herramientas reales, cuentas personales, extensiones, SaaS, APIs y usos departamentales.
- Evidencia útil
- Inventarios, encuestas internas, proveedores, políticas y aplicaciones autorizadas.
- Límite
- Detectar una herramienta no aprobada no determina por sí solo la gravedad jurídica del uso.
IA generativa sin límites definidos
Prompts, documentos u outputs pueden utilizarse sin reglas proporcionadas de confidencialidad, revisión o uso posterior.
- Qué conviene comprobar
- Información introducida, finalidad, proveedor, revisión, reutilización y almacenamiento.
- Evidencia útil
- Política de IA generativa, formación, procedimientos, condiciones y registros de revisión.
- Límite
- El mero uso de IA generativa no constituye por sí solo una práctica ilícita.
Falta de visión del parque y de los usos de IA
La organización no puede describir con suficiente precisión qué sistemas o usos existen, quién los utiliza y para qué.
- Qué conviene comprobar
- Sistemas, finalidades, procesos, responsables, proveedores, datos y personas afectadas.
- Evidencia útil
- Inventario, mapa de aplicaciones, catálogo de proveedores y registros de responsables.
- Límite
- Disponer de un inventario no demuestra automáticamente que los usos estén correctamente clasificados o controlados.
Señales relacionadas con la información que entra en herramientas y flujos tecnológicos.
Datos personales en herramientas IA
Información de clientes, empleados, pacientes, alumnos u otras personas puede estar utilizándose en herramientas de IA.
- Qué conviene comprobar
- Naturaleza y necesidad de los datos, finalidad, proveedor, roles, transferencias, conservación y acceso.
- Evidencia útil
- Registro de tratamientos, contratos o DPA, análisis de proveedor, procedimientos y evaluaciones.
- Límite
- La presencia de datos personales exige análisis contextual; no implica automáticamente que el tratamiento sea ilícito.
Información confidencial fuera del perímetro previsto
Información interna, contractual, estratégica o profesional puede trasladarse a cuentas o servicios ajenos al flujo autorizado.
- Qué conviene comprobar
- Tipo de información, herramienta, cuenta, condiciones, almacenamiento, reutilización y controles.
- Evidencia útil
- Clasificación de información, política, confidencialidad, controles técnicos y catálogo autorizado.
- Límite
- Una herramienta externa no equivale automáticamente a herramienta insegura o jurídicamente inadecuada.
Señales sobre diligencia, continuidad y dependencia en servicios externos.
Proveedor IA no suficientemente revisado
Una API, SaaS, chatbot, CRM o modelo externo se integra en un proceso relevante sin suficiente conocimiento documental de su papel.
- Qué conviene comprobar
- Contrato, condiciones, seguridad, datos, ubicación, subproveedores, cambios y responsabilidades.
- Evidencia útil
- Contrato, DPA, anexos, documentación técnica, revisión del proveedor y registro de decisión.
- Límite
- No disponer todavía de toda la documentación no permite afirmar automáticamente incumplimiento; puede requerir completar la diligencia.
Dependencia crítica de un tercero
Un proceso relevante depende de un proveedor cuya indisponibilidad, cambio o limitación afectaría significativamente al servicio.
- Qué conviene comprobar
- Criticidad, alternativas, salida, continuidad, SLA, dependencia de datos y reversibilidad.
- Evidencia útil
- SLA, plan de continuidad, cláusulas de salida, matriz de proveedores y pruebas de contingencia.
- Límite
- La dependencia tecnológica no constituye por sí sola una infracción jurídica.
Señales sobre el peso real del sistema, sus consecuencias y la capacidad efectiva de revisión.
Decisiones automatizadas o asistidas insuficientemente documentadas
Un sistema interviene materialmente en una decisión y no está claro qué peso tiene realmente.
- Qué conviene comprobar
- Finalidad, peso de la IA, datos, reglas, personas afectadas, consecuencias y revisión.
- Evidencia útil
- Descripción del proceso, documentación del sistema, registros, criterios y procedimientos de revisión.
- Límite
- La intervención de IA no determina automáticamente que exista una decisión exclusivamente automatizada ni el régimen aplicable.
Supervisión humana meramente formal
Existe una persona responsable, pero puede no tener información, tiempo, capacidad o autoridad para cuestionar el resultado.
- Qué conviene comprobar
- Conocimiento, autoridad, posibilidad de corrección, tiempos, escalado y formación.
- Evidencia útil
- Procedimientos, logs de revisión, formación, responsabilidades y registros de override.
- Límite
- La calidad de la supervisión no puede inferirse únicamente por la existencia o ausencia de una firma.
Señales de sesgo o impacto desigual
Aparecen diferencias relevantes entre grupos, resultados inesperados o reclamaciones que justifican revisar el funcionamiento.
- Qué conviene comprobar
- Datos, población, variables, métricas, contexto, criterios y revisión humana.
- Evidencia útil
- Pruebas, métricas, validaciones, incidencias y análisis de resultados.
- Límite
- Una diferencia estadística aislada no permite concluir por sí sola discriminación jurídica.
Algunos riesgos se manifiestan por cómo se usa el sistema y cómo responde la organización cuando algo falla.
Uso de IA en relaciones laborales sin suficiente gobernanza
Herramientas de IA intervienen en selección, evaluación, organización, productividad, vigilancia o decisiones laborales.
- Qué conviene comprobar
- Finalidad, información, impacto, transparencia, supervisión, derechos y participación interna.
- Evidencia útil
- Procedimiento, evaluación, comunicaciones, política y registros de revisión.
- Límite
- El uso de IA en un contexto laboral no determina por sí solo qué obligaciones concretas resultan aplicables.
Uso contractual no reflejado en documentación
La prestación real incorpora IA, automatización o terceros no suficientemente reflejados en la documentación contractual.
- Qué conviene comprobar
- Alcance, proveedor, condiciones, responsabilidad, datos e información facilitada.
- Evidencia útil
- Contrato, anexos, términos, DPA, SLA y documentación del servicio.
- Límite
- Una discrepancia documental requiere analizar materialidad y contexto antes de extraer una conclusión jurídica.
Incidente sin procedimiento claro de respuesta
Un error, filtración, output problemático, indisponibilidad o reclamación carece de un proceso claro de respuesta.
- Qué conviene comprobar
- Detección, responsables, clasificación, conservación de evidencia, notificación y corrección.
- Evidencia útil
- Protocolo, registro de incidente, tickets, logs, comunicaciones y medidas adoptadas.
- Límite
- La existencia de un incidente no implica automáticamente incumplimiento; la respuesta y el contexto forman parte del análisis.
Señales sobre la capacidad de reconstruir y acreditar controles, revisiones y decisiones.
Controles difíciles de acreditar
La organización afirma que existen controles o revisiones, pero no puede reconstruir fácilmente cuándo, cómo o por quién se aplicaron.
- Qué conviene comprobar
- Documentos, fecha, responsable, alcance, aplicación real y revisiones.
- Evidencia útil
- Logs, actas, checklists, tickets, decisiones y documentos versionados.
- Límite
- La ausencia de una evidencia concreta no prueba por sí sola que el control nunca existiera.
Trazabilidad insuficiente
No puede reconstruirse qué sistema, proveedor, versión, input, output o persona intervino en un proceso relevante.
- Qué conviene comprobar
- Sistemas, versiones, datos, registros, decisiones y responsables.
- Evidencia útil
- Logs, registros técnicos, expedientes, historial de cambios y documentación de decisiones.
- Límite
- La trazabilidad técnica no determina por sí sola la conclusión jurídica.
Qué puede hacer visible el problema
El problema no siempre empieza con una sanción
La prevención permite reconstruir el contexto y responder con información suficiente antes de extraer conclusiones.
Reclamación o conflicto
Una persona, cliente, empleado o contraparte puede cuestionar un uso, una decisión o el tratamiento de información.
Inspección o requerimiento
Puede ser necesario explicar procesos, responsabilidades, documentación y controles con mayor precisión.
Problema contractual o de proveedor
Un cambio, incidencia o cláusula insuficiente puede hacer visible una dependencia antes considerada técnica.
Incidente o imposibilidad de reconstruir lo ocurrido
Un incidente, error o reclamación puede exigir reconstruir qué ocurrió, qué sistema intervino, qué información existía y qué medidas se adoptaron.
Qué puede demostrarse
Una evidencia ayuda a sostener una conclusión, pero rara vez la demuestra por sí sola
Lex Digitalis distingue entre lo declarado, lo documentado y lo que continúa PENDIENTE DE CONFIRMAR. La falta de una evidencia puede exigir revisión; no se transforma automáticamente en incumplimiento.
EvidenciaQué ayuda a explicarQué no permite concluir por sí sola
Inventario de sistemas y usosQué herramientas existen, quién las utiliza y para qué procesos.Un inventario no demuestra por sí solo que cada uso esté correctamente clasificado o controlado.
Políticas, instrucciones y formaciónQué reglas fueron comunicadas y qué comportamiento se esperaba.Una política no acredita automáticamente su aplicación efectiva.
Contratos y revisión de proveedoresCondiciones, responsabilidades, tratamiento de datos y controles acordados.Un contrato no sustituye la comprobación del uso y los flujos reales.
Registros de revisión y decisionesQué se revisó, quién intervino y qué acción se adoptó.Un registro aislado puede no explicar la calidad real de la supervisión.
Trazas y documentación técnicaQué sistema, versión, entrada, salida o integración participó.La trazabilidad técnica no determina por sí sola la conclusión jurídica.
Evaluaciones y análisis previosQué riesgos, impactos o decisiones se consideraron antes de implantar o modificar un uso.Una evaluación no demuestra por sí sola que siga actualizada ni que todas sus medidas se aplicaran.
Registro de incidencias y medidas correctivasQué ocurrió, cómo se detectó, quién intervino y qué se hizo después.La existencia de incidencias no permite concluir automáticamente que el sistema sea inadecuado.
Cómo priorizamos
No todas las señales requieren la misma respuesta
La prioridad depende del contexto, las posibles consecuencias, las personas afectadas, el papel real del sistema y la evidencia disponible. Lex Digitalis no convierte incertidumbre en una puntuación de certeza jurídica artificial.
Personas y datos afectados
Qué información interviene y qué impacto potencial puede tener sobre personas o colectivos.
Peso de la decisión
No se trata igual una ayuda de redacción que un sistema con influencia relevante en una decisión.
Dependencia y contexto operacional
Proveedores, integraciones, continuidad y organización pueden introducir límites y puntos ciegos.
Evidencia y capacidad de explicación
Se distingue entre lo declarado, documentado, PENDIENTE DE CONFIRMAR y sujeto a revisión.
Del riesgo a la acción
Primero identifica la señal; después decide cuánto necesitas profundizar
El Diagnóstico Express permite realizar un resultado preliminar y una primera lectura estructurada. Si aparecen cuestiones que requieren más contexto, documentación o contraste, el recorrido puede continuar con análisis avanzado o revisión humana cuando proceda.