Política de transparencia I.A.

Política de transparencia para el uso de la Inteligencia Artificial

Directrices que rigen cómo Inari GRC gestiona el uso de sistemas con inteligencia artificial y protege la información que trata y los servicios que presta.

1. Objeto

La presente política establece los principios y compromisos de transparencia que rigen el uso de sistemas de inteligencia artificial (en adelante, «IA») en el desarrollo de las actividades profesionales de Inari GRC. Como consultora especializada en gobernanza, riesgo y cumplimiento (GRC) y ciberseguridad —con servicios sobre marcos como ISO/IEC 27001, ENS, TISAX, ISO/IEC 42001 y el Reglamento de IA, entre otros—, Inari GRC aplica a su propia operativa las mismas exigencias de uso responsable, seguro y transparente de la IA que recomienda a sus clientes: predicar con el ejemplo es parte de nuestra propuesta de valor y de nuestra credibilidad profesional.

Son objetivos de esta política:

• garantizar un uso de la IA honesto, verificable y bajo supervisión humana
• preservar la confidencialidad de la información de los clientes y la protección de los datos personales
• asegurar el cumplimiento del marco normativo aplicable
• generar confianza en clientes y partes interesadas mediante la divulgación adecuada del uso de IA
• preservar la calidad y la responsabilidad profesional de los entregables.

2. Alcance

El alcance comprende:

• Comprende todos los sistemas de IA empleados en cualquier fase de la actividad de Inari GRC, incluyendo la elaboración y revisión de entregables, la investigación y síntesis documental, la generación y revisión de código, la traducción entre español y francés, las comunicaciones, el marketing y la gestión interna.
• En la fecha de aprobación, la única herramienta de IA utilizada es Claude (Anthropic). La política es plenamente extensible a cualquier herramienta de IA —generativa o no— que se incorpore en el futuro, cuya alta requerirá su inclusión previa en el inventario de activos.
• A efectos del Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial, en adelante «RIA»), Inari GRC actúa como responsable del despliegue (deployer / déployeur) de sistemas de IA de terceros, y no como proveedor. En consecuencia, no le corresponden las obligaciones propias de los proveedores de sistemas o de modelos de IA de uso general (Capítulo V del RIA), sino las obligaciones aplicables a los responsables del despliegue, señaladamente el deber de alfabetización en IA (art. 4) y, cuando resulten de aplicación por el tipo de uso, las obligaciones de transparencia del art. 50.

3. Principios de transparencia

El uso de la IA en Inari GRC se rige por los siguientes principios, que orientan todas las secciones operativas de esta política:

• Divulgación. Inari GRC informa a sus clientes y partes interesadas del uso de herramientas de IA, en la forma y con el alcance descritos.
• Honestidad y no engaño. No se presenta el trabajo asistido por IA de un modo que induzca a error sobre su origen o su fiabilidad; la autoría intelectual y la responsabilidad profesional siguen siendo humanas.
• Supervisión humana significativa. Toda salida de IA se revisa y valida antes de su uso o entrega. La IA es una herramienta de apoyo, nunca un sustituto del juicio profesional.
• Veracidad y verificación. Los hechos, datos y, en especial, las referencias legales, normativas y jurisprudenciales generadas o sugeridas por IA se verifican en fuentes oficiales antes de incorporarse a cualquier entregable. No se citan referencias legales o jurisprudenciales sin verificación previa.
• Confidencialidad y minimización de datos. No se introduce información confidencial de clientes ni datos personales en herramientas de IA.
• Explicabilidad y trazabilidad. Inari GRC puede explicar, cuando sea requerido, qué herramientas de IA se han empleado y con qué finalidad.
• Proporcionalidad. El uso de la IA se adecúa a la finalidad perseguida y al nivel de sensibilidad de la información tratada.
• Responsabilidad. La consultora responde en todo caso de la exactitud, la legalidad y la calidad de los entregables, con independencia de las herramientas empleadas.
• Legalidad y respeto de derechos. El uso de la IA respeta la normativa aplicable, los derechos de propiedad intelectual y la protección de datos, y excluye cualquier práctica prohibida por la legislación.

4. Inventario y clasificación de los sistemas de IA

Toda herramienta de IA utilizada por Inari GRC debe estar registrada en el inventario de activos del SGSI. La clasificación de cada sistema atiende, además de las dimensiones CITAD a otros tres criterios:

• Por finalidad: apoyo a la redacción, investigación, desarrollo de código, traducción, etc.
• Por tipo de información tratada: pública, interna, confidencial, de cliente o con datos personales.
• Por nivel de riesgo según el RIA: riesgo inaceptable, alto riesgo, riesgo de transparencia o riesgo mínimo.

Evaluación del uso actual. El uso de Claude como asistente generativo de apoyo a la actividad de consultoría se clasifica como uso de riesgo mínimo / limitado: no constituye una práctica prohibida por la legislación ni un uso de alto riesgo, y no implica, en el modelo de trabajo de Inari GRC, decisiones automatizadas sobre personas.

Alta de nuevas herramientas. La incorporación de cualquier nueva herramienta de IA exige, con carácter previo:

• evaluar sus condiciones contractuales y de tratamiento de datos (incluida la posibilidad de suscribir un contrato de encargado del tratamiento y la ubicación de los datos)
• valorar su nivel de riesgo
• registrarla en el inventario
• configurar sus opciones de privacidad y seguridad antes del primer uso con información real

5. Usos permitidos, condicionados y prohibidos

5.1 Usos permitidos

• Apoyo a la redacción, estructuración, resumen y revisión de documentos y entregables.
• Investigación y síntesis documental, siempre sujeta a verificación posterior en fuentes oficiales.
• Generación, revisión y depuración de código y de artefactos técnicos.
• Traducción y adaptación de contenidos entre español y francés.
• Elaboración de borradores de comunicaciones y materiales de marketing.

5.2 Usos condicionados (requieren salvaguardas)

• Tratamiento de información de clientes: permitido únicamente previa anonimización o seudonimización, o bien en un entorno con garantías contractuales adecuadas (contrato de encargo del tratamiento).
• Tratamiento de datos personales: exige base jurídica, minimización y cumplimiento de las condiciones de la sección “Protección de datos y confidencialidad”

5.3 Usos prohibidos

• Introducir credenciales, secretos, claves criptográficas, datos personales de categorías especiales o información confidencial de clientes en herramientas sin garantías contractuales suficientes.
• Delegar en la IA decisiones profesionales finales sin validación humana.
• Incorporar salidas de IA sin verificar, en particular referencias legales, normativas o jurisprudenciales.
• Cualquier uso que incurra en las prácticas prohibidas por la legislación o que vulnere derechos de propiedad intelectual o de terceros.

6. Transparencia y divulgación a los clientes

Inari GRC adopta un estándar de transparencia superior al mínimo legalmente exigible, coherente con los principios de la norma ISO/IEC 42001 y con su propuesta de valor como consultora de confianza.

6.1 Aplicabilidad de las obligaciones legales de transparencia

La mayor parte de los entregables de Inari GRC son documentos profesionales de carácter privado, y no contenido «publicado con el fin de informar al público sobre asuntos de interés público». Por ello, la obligación de divulgación del RIA no resulta, con carácter general, directamente exigible a dichos entregables. No obstante, si en el futuro Inari GRC desplegara, por ejemplo, un asistente conversacional de cara al público (p. ej., en su sitio web), sería de aplicación informar de que se interactúa con una IA; y si generara o difundiera imágenes, audio o vídeo sintéticos, sobre marcado de contenidos. Al margen de la exigibilidad estricta, Inari GRC opta voluntariamente por divulgar el uso de IA.

6.2 Enfoque escalonado de divulgación

• Nivel 1 — Divulgación general. A partir de la vigencia de esta política, Inari GRC incorpora en sus propuestas, contratos y/o en su sitio web una declaración informando de que puede emplear herramientas de IA como apoyo a su trabajo, siempre bajo supervisión humana y con estrictas garantías de confidencialidad.
• Nivel 2 — Divulgación específica. Cuando la IA haya contribuido de forma material a un entregable concreto, se hace constar mediante una nota en el propio documento o en la comunicación al cliente.
• Nivel 3 — Divulgación a petición. A solicitud del cliente, Inari GRC detalla qué herramientas se han empleado y de qué manera.

6.3 Restricciones del cliente

Inari GRC respeta las cláusulas contractuales de los clientes que limiten o prohíban el uso de IA con su información. Antes de introducir cualquier dato de un cliente en una herramienta de IA, se verifica la inexistencia de tales restricciones. Estas restricciones se recogen en el Registro legislativo, normativo y contractual.

7. Protección de datos y confidencialidad

No se introduce información confidencial de clientes ni datos personales en herramientas de IA, salvo que concurra alguna de las siguientes condiciones:

• la información esté anonimizada o seudonimizada de forma efectiva
• exista base jurídica y garantías contractuales adecuadas —contrato de encargado del tratamiento (art. 28 RGPD), ausencia de uso de los datos para el entrenamiento de modelos, y control de la ubicación de los datos y de las eventuales transferencias internacionales—

7.1 Configuración y contrato de uso de herramientas

Las condiciones de tratamiento de datos deben verificarse y documentarse para cada herramienta.

• Claude:
• o Permitir que Claude use metadatos de ubicación aproximada (ciudad/región) para mejorar las experiencias del producto.
• Permitir el uso de tus chats y sesiones de programación para entrenar y mejorar los modelos de IA de Anthropic
• Condiciones de privacidad en: https://www.anthropic.com/legal/data-processing-addendum

8. Supervisión humana y validación de resultados

Toda salida de IA se somete a revisión humana antes de su uso o entrega. La revisión verifica, como mínimo: la exactitud, la coherencia interna, la ausencia de sesgos manifiestos, la conformidad normativa y —de forma especialmente rigurosa— las referencias legales, normativas y jurisprudenciales, que se contrastan en fuentes oficiales (EUR-Lex, BOE, Légifrance, u otras según corresponda). La autoría intelectual y la responsabilidad profesional finales recaen siempre en la consultora.

9. Gestión de riesgos y limitaciones de la IA

Inari GRC reconoce y gestiona las limitaciones inherentes a los sistemas de IA generativa::

• Alucinaciones y confabulaciones, incluidas referencias o datos inexistentes.
• Obsolescencia derivada de la fecha de corte de conocimiento del modelo.
• Sesgos en los resultados y variabilidad entre respuestas.

Los incidentes relacionados con el uso de IA se registran y tratan en el marco del SGSI.

10. Alfabetización y competencia en IA

En cumplimiento de la legislación, Inari GRC garantiza un nivel adecuado de alfabetización en materia de IA de quienes operan o se ven afectados por los sistemas de IA que utiliza. A tal fin, mantiene una actualización continua sobre las capacidades, las limitaciones, los riesgos y el marco normativo de la IA, y documenta dicha competencia como evidencia ante clientes y, en su caso, autoridades.

11. Incumplimientos

El incumplimiento de esta política por parte de colaboradores o subcontratistas podrá conllevar las medidas contractuales previstas en sus acuerdos con Inari GRC. Todo incumplimiento se analiza para determinar sus causas y adoptar las acciones correctivas oportunas en el marco del SGSI.

12. Revisión, aprobación y publicidad de la política

Esta Política será revisada, al menos, con periodicidad anual, y siempre que se produzcan cambios normativos, organizativos o alta de nuevas herramientas de IA que le afecten o se detecten incongruencias o ineficiencias. La Política siempre será aprobada por la Dirección y estará disponible en la web de Inari GRC.

13. Marco normativo de referencia

Este procedimiento formaliza los puntos de norma o medidas exigidas por:

• Esquema Nacional de Seguridad (ENS) — Real Decreto 311/2022, para el sector público español y sus proveedores.
• ISO 27001
• Reglamento de Inteligencia Artificial (AI Act) – Reglamento (UE) 2024/1689

16.1 Referencias específicas

Este documento se crea para formalizar lo indicado en las siguientes referencias:

Firmado por La Dirección de Inari GRC