EU AI Act en back-office: límits, registres i controls per automatitzacions amb IA tecnologia. AI Act és la primera llei europea sobre intel·ligència artificial que intenta establir què pot fer una IA i com ha de fer-ho.
1. Què és l'AI Act i per què afecta el back-office
El Reglament Europeu d'Intel·ligència Artificial (a continuació, AI Act) és la primera llei europea que regula de forma específica la intel·ligència artificial. El seu objectiu és fixar què pot fer una IA i com ho ha de fer, establint límits clars per a que la seva utilització sigui segura, transparent i controlada, per a empreses i proveïdors.
La norma no se centra només en grans models fundacionals o casos espectaculars d’IA generativa. També afecta moltes eines que ja s’utilitzen en el back-office:
- Classificació i validació automàtica de factures.
- Sistemes d'scoring intern per avaluar riscos o impagaments.
- Automatització de tasques de RR. HH. per donar suport mitjançant el cribratge de CV, avaluació de desenvolupament, planificació de torns.
- Robòtica de processos (RPA + IA) per validar dades comptables, laborals o fiscals.
L’AI Act utilitza un enfocament basat en el risc amb quatre nivells principals: risc inacceptable (prohibit), alt risc, risc limitat i risc mínim.
El grau de compliment de l’AI Act que s'exigeix a cada empresa dependrà de en quina categoria de risc s'aparellen els sistemes de IA que utilitza.
2. IA d’alt risc: quan pot afectar el back-office
La llei considera de alt risc Alguns sistemes d’IA que poden impactar de manera rellevant en la seguretat o en els drets de les persones. Entre d’altres, s’inclouen els que s’usen en:
- Ocupació i gestió laboral: selecció, promoció, avaluació de l’execució, assignació de tasques.
- Accés a serveis essencialsPer exemple, decisions automatitzades de crèdit.
- Processos interns que afectin determinades infraestructures crítiques i decisions empresarials.
Un punt clau per a les empreses és que el risc depèn que la IA sigui visible o no per al públic. Les eines internes de back-office poden entrar en la categoria d’alt risc si o influeixen en decisions amb conseqüències importants per a les persones (ocupats, clients, proveïdors)
Per tant, un motor de scoring intern que determina si es renova un contracte, s’amplia una línia de crèdit o s’assigna un torn pot quedar subjecte a les regles d’alt risc.
3. Obligacions clau de l’AI Act: registres, controls i documentació
Per als sistemes de alt riscL'AI Act estableix una sèrie de requisits mínims que afecten tant el proveïdor com l'empresa que els utilitza (el “deployer”):
- Sistema de gestió de riscos (art. 9)
El sistema de gestió de riscos s'entén com un procés iteratiu, continu, i executat durant tot el cicle de vida d'un sistema IA d'alt risc, que requereix revisions i actualitzacions sistemàtiques periòdiques.- Identificar els riscos que el sistema pot generar (discriminació, errors, impactes laborals, etc).
- Definir mesures de mitigació i revisar-les al llarg del cicle de vida del sistema.
- Governança i qualitat de les dades (art. 10)
Segons l'AI Act, els conjunts de dades d'entrenament, validació i prova se sotmetran a pràctiques de governança i gestió de dades adequades per a la finalitat prevista del sistema d’IA d'alt risc.- Usa dades d’entrenament i operació de qualitat, representatives i sense biaixos injustificats.
- Documentar les fonts de dades i els criteris de tractament.
- Documentació tècnica (art. 11)
La documentació tècnica d'un sistema de IA d'alt risc s'elaboren abans de la seva introducció al mercat o posada en servei, i es manté actualitzada.- Mantenir una descripció clara del sistema, la seva finalitat, arquitectura bàsica, variables clau i limitacions.
- Disposar d'aquesta documentació per a auditories o requeriments d’autoritats.
- Conservació de registres: Registre d'activitats i logs (art. 12)
Els sistemes d’IA d'alt risc permetran tècnicament el registre automàtic d'esdeveniments (en endavant, "fitxers de registre") al llarg de tot el cicle de vida del sistema.- Els sistemes d'alt risc han de registrar automàticament esdeveniments rellevants per permetre la traçabilitat i la supervisió posterior.
- Transparència i instruccions d’ús (art. 13)
Els sistemes de IA d'alt risc es dissenyaran i desenvoluparan de manera que es garanteixi que funcionen amb un nivell de transparència suficient per a que els responsables del desplegament interpretin i usin correctament els seus resultats de sortida.- El proveïdor ha de facilitar instruccions clares.
- L’empresa usuària ha d’entendre com funciona el sistema, en quins supòsits pot fallar i quines dades necessita.
- Supervisió humana (art. 14)
Segons l'AI Act, els sistemes de IA d'alt risc es dissenyaran i desenvoluparan de manera que puguin ser vigilats de manera efectiva per persones físiques durant el període que estiguin en ús, el que inclou dotar-los d'eines d'interfície humào-màquina adequades.- Hi ha d'haver una persona responsable capaç d'intervé, revisar resultats i aturar el sistema quan sigui necessari.
- L'objectiu de la supervisió humana és reduir al mínim els riscos.
- Precisió, solidesa i ciberseguretat (art. 15)
Els sistemes de IA d'alt risc es dissenyaran i desenvoluparan de manera que assoleixin un nivell adequat de precisió, solidesa i ciberseguretat i funcionin de manera uniforme en aquests sentits durant tot el seu cicle de vida.- El sistema ha de ser resistent a errors i atacs (per exemple, manipulació de dades d’entrada).
A aquests requisits se sumen les obligacions específiques dels desplegadors (deployer): usar el sistema segons les instruccions, assegurar que les dades d’entrada són adequades, monitorar el funcionament, informar els treballadors afectats i conservar els logs generats almenys sis mesos.
4. Què significa tot això en un back-office real
Aplica l’AI Act al back-office implica tractar la IA com un element subjecte a controls de compliment, supervisió humana, traçabilitat i documentació. Alguns exemples:
- Un sistema que proposa la classificació comptable automàtica de factures no serà necessàriament alt risc, però ha d'estar documentat, amb llindars clars i canals per a la revisió humana.
- Una IA que avalua el rendiment d’empleats o recomana acomiadaments, promocions o canvis de torn s'acosta clarament als supòsits d'alt risc en l'àmbit laboral i exigeix una supervisió i registres reforçats.
- Un model que atorga o denega línies de crèdit a clients Pot ser considerat alt risc per impactar en l'accés a serveis essencials, d'acord amb l'annex III.
En tots aquests casos, l'empresa ha de poder respondre a preguntes com:
- Quines decisions pren o prepara exactament la IA?
- Quines dades utilitza i d'on procedeixen?
- Qui revisa i valida els resultats?
- Durant quant de temps es conserven els registres automatitzats?
- Com s'introdueix aquest sistema en el mapa global de riscos de l'organització?
5. Full de ruta d’AI Act acompliment per a empreses amb back-office automatitzat
Per a les organitzacions que ja utilitzen o volen implantar IA en el seu back-office, és recomanable seguir un full de ruta estructurat que permeti complir amb les obligacions de l’AI Act:
5.1. Inventari i classificació de sistemes IA
El primer pas consisteix a identificar quins sistemes utilitzen IA:
- Inventar totes les eines que incorporen IA, incloent mòduls dins d’ERP, CRM, sistemes de RR. HH., RPA, etc.
- Classificar-les segons l’esquema de l’AI Act: risc mínim, limitat o alt, revisant els supòsits de l’art. ~ ~ ~ 6 i l’Annex III.
5.2. Política interna d’ús de IA i governança
Una implementació correcta de l'AI Act requereix un marc de governança clar, en què hi hagi tant normes internes com estructures de supervisió.
- Aprovar-ne una política d’IA que defineixi rols (propietaris de procés, responsables de compliment, IT, legal, RR. HH.)
- Estableix un Comitè o responsable d’IA que supervisi nous projectes i revisi riscos de forma periòdica.
5.3. Registres i traçabilitat
L'AI Act exigeix que els sistemes generin documentació i una traçabilitat suficient per poder dur a terme la supervisió, l’auditoria de les decisions i l'anàlisi posterior de les mateixes.
- Configura els sistemes per a que generin logs automàtics suficients: entrades, sortides, regles aplicades, correccions humanes.
- Dissenya un registre de decisions automatitzades rellevants, especialment en àmbits laboral, financer o d’accés a serveis.
- Estableix els temps de conservació alineats amb AI Act, RGPD i normativa sectorial.
5.4. Controls i supervisió humana
S'ha de garantir que la IA no opera de manera autònoma en decisions que puguin generar riscos significatius.
- Estableix punts de control on sempre existeix revisió humana (per exemple, imports superiors a cert llindar, decisions de no renovació de contractes, canvis de categoria professional).
- Documentar quins perfils poden anul·lar o corregir la decisió de la IA i com es registren aquestes intervencions.
5.5. Contractes amb proveïdors i due diligence
L'AI Act exigeix una revisió contractual del repartiment de responsabilitats.
- Revisar contractes amb proveïdors de programari per incorporar clàusules específiques de:
- Responsabilitats de proveïdor vs deployer.
- Accés a documentació tècnica.
- Actualitzacions per canvis normatius de l’AI Act.
Exigir evidències de compliment (conformity assessment, CE marking, documentació de riscos).
6. Integrar l’AI Act amb RGPD, complet i control intern
L’AI Act no substitueix el RGPD ni a la normativa de prevenció de riscos laborals, laboral, mercantil o sectorial. Totes aquestes normes coexisteixen i s'ha d'avaluar la IA des de les diferents perspectives.
S'ha de tractar la IA com un component més del seu sistema de control intern, amb obligacions de traçabilitat, supervisió humana, registre d'activitats, gestió de riscos i governança, tal i com s'ha desenvolupat en aquest document.
En la pràctica, un enfocament sòlid d'ai actuar compliment en el back-office implica:
- Coordinar a Legal, Laboral, Fiscal, Tecnologia i Compliance.
Això evita situacions freqüents com decisions automatitzades sense base jurídica i l'ús de dades no adequades.
- Integrar els sistemes d’IA en els mapes de riscosmatrius de control i plans d’auditoria interna.
- Revisar periòdicament l'impacte en drets fonamentals i, quan escaigui, documentar avaluacions específiques.
El compliment no es verifica només en el desplegament inicial, sinó que s'ha de realitzar durant tot el cicle de vida del sistema.
7. Com pot ajudar Afianza
En Afianza acompanyem a les empreses que ja estan automatitzant el seu back-office o volen donar aquest pas, combinant:
- Assessorament en classificació de sistemes d’IA segons l’AI Act.
- Disseny polítiques internes, registres i controls alineats amb la normativa.
- Revisió de contractes amb proveïdors de tecnologia.
- Integració de l’AI Act en el sistema global de compliment (laboral, fiscal, comptable, RGPD, PRL).
L'AI Act no pretén frenar la innovació, sinó assegurar que la IA s'utilitza amb límits clars, traçabilitat i supervisió humana. Preparar el back-office avui és la millor garantia per seguir automatitzant processos amb seguretat jurídica en els propers anys.
