Registro de decisiones automatizadas

Cómo usar este documento

• Para qué sirve. Es un estándar y una plantilla para registrar las decisiones relevantes sobre personas que se toman total o parcialmente con IA o con otros procesos automatizados: con qué datos, con qué versión del sistema, qué resultado dio, qué hizo la persona que revisó, qué se comunicó al interesado y cómo se resolvieron sus solicitudes de explicación o revisión. Sirve para explicar decisiones, atender reclamaciones, demostrar la supervisión humana y auditar el sistema.
• Quién debe ser su dueño. Normalmente el Delegado de protección de datos (o el rol equivalente del país) junto con Legal, y el dueño del sistema de cada proceso de decisión. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida qué procesos de decisión entran en el registro (sección 2), si el registro se genera automáticamente desde cada sistema o se centraliza (sección 6), qué plazos de conservación aplican a cada proceso (sección 10) y quién puede consultar el registro (sección 11).
• Campos a completar. Complete una ficha del proceso (sección 4) por cada proceso de decisión y configure los campos de la sección 5 en el sistema que genera el registro. Las columnas «Ejemplo» muestran un caso ficticio completo de decisión de crédito.
• Variantes por país. Este documento no tiene variantes por país. Los derechos de las personas se describen en el «Anexo de derechos de las personas frente a la IA» y su tramitación en la «Política de transparencia y explicación al usuario» y el «Procedimiento de revisión de decisiones automatizadas». Los plazos de conservación varían por país y por sector: la tabla de la sección 10 incluye filas para la Unión Europea, Estados Unidos (Colorado, California y empleo federal) y Colombia (salud); conserve las que apliquen y complete los campos 4.9 y 4.10.
• Revisión. Pida a privacidad y legal que revisen las secciones 2, 7 y 10, y a seguridad que valide la sección 11. Si el registro contiene datos personales, inclúyalo en su registro de actividades de tratamiento.
• Aprobación. Haga que lo apruebe el [COMITÉ DE IA] o la dirección, registre la aprobación en «Control de versiones» y comunique el estándar a los dueños de sistemas y a los equipos técnicos que deben implementarlo.

Registro de decisiones automatizadas

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable del registro	[RESPONSABLE]
Aprobado por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Ubicación del registro	[COMPLETAR: sistema o repositorio]
Contacto de privacidad	[EMAIL DE PRIVACIDAD]

1. Objeto

1.1 [NOMBRE DE LA ORGANIZACIÓN] mantiene un registro completo, íntegro y consultable de las decisiones individuales relevantes que se toman total o parcialmente mediante sistemas de IA o procesos automatizados.

1.2 El registro permite:

a) explicar a cada persona afectada, de forma específica, cómo se llegó a la decisión que le afecta;
b) atender las solicitudes de intervención humana, revisión, oposición o impugnación;
c) demostrar que la supervisión humana prevista existe y funciona;
d) reconstruir y auditar decisiones tras una reclamación, un incidente o una inspección;
e) detectar en el conjunto de decisiones errores, deriva o efectos discriminatorios.

2. Ámbito

2.1 Entran en el registro las decisiones sobre personas identificadas o identificables que:

a) se toman sin intervención humana significativa; o
b) se toman con intervención humana, pero en las que el resultado de un sistema de IA o de una puntuación automatizada, propia o de un tercero, es determinante o influye de forma significativa;

y que producen efectos jurídicos o les afectan de modo similarmente significativo, por ejemplo en:

• concesión, condiciones o límites de crédito, seguros o servicios financieros;
• selección, contratación, asignación de tareas, evaluación, promoción, sanción o despido de personas trabajadoras o candidatas, incluida la gestión por plataformas digitales;
• precios o condiciones personalizadas con efecto significativo;
• acceso a servicios esenciales, vivienda, educación, salud o prestaciones;
• suspensión, restricción o cierre de cuentas;
• detección de fraude que bloquee operaciones o servicios.

2.2 [OPCIONAL] La organización registra también, con los campos mínimos, las recomendaciones automatizadas de menor impacto que se usan en procesos sensibles, aunque no cumplan la condición del apartado 2.1.

2.3 Cada proceso de decisión incluido se identifica en la lista de la sección 4 y en el registro de sistemas de IA.