Hay un reloj corriendo. EU AI Act tiene fechas de aplicación escalonadas,
y para 2026 ya hay capítulos vinculantes. Si tu organización opera en la UE, ya
estás dentro del scope. Y Copilot, tal y como lo usas, probablemente cae en
categorías que tienen requisitos.
Voy a contar qué hago, no qué dice la ley en abstracto. Para eso ya hay
miles de artículos.
Mi secuencia
Primero, clasifiqué cada uso de Copilot por categoría de riesgo del Act.
La mayoría caen en “limited risk” (transparencia hacia usuarios) o “minimal
risk” (sin requisitos específicos). Pero algunos casos cayeron en “high risk” —
análisis de CVs en procesos de selección, evaluación de empleados, soporte en
decisiones de crédito. Esos tienen obligaciones serias.
Segundo, documenté. EU AI Act exige documentación de sistemas. Para
Copilot empresarial estándar, Microsoft te da buena parte. Pero para tus
agentes custom (los que creas en Copilot Studio con conectores a tus sistemas),
la documentación la haces tú. Cada agente custom tiene su ficha: propósito,
datos que usa, modelo subyacente, límites, supervisión humana, métricas de
calidad.
Tercero, transparencia. Marqué a usuarios cuándo están hablando con un
agente y cuándo con un humano. Suena obvio. No lo era. Tenía agentes en Teams
que respondían sin marca clara. Lo cambié en Q1.
Cuarto, supervisión humana donde toca. Para los casos high-risk, ningún
agente decide sin revisión. La revisión es real, no rubber-stamp. Métricas:
porcentaje de decisiones revisadas vs aprobadas automáticamente. Si la revisión
es 100% aprobar, no es revisión.
Quinto, evaluación de impacto. Los Fundamental Rights Impact Assessments
para sistemas high-risk son nuevo trabajo. No es opcional. Mi equipo de legal
trabaja con seguridad para producirlos. La primera vez tomó tres semanas. La
segunda, una.
Lo que me ayudó
In-country processing en EU. Cuando Microsoft anunció procesamiento
dentro de territorio europeo, marcó una casilla importante de cumplimiento. No
la única, pero importante.
Microsoft Purview Compliance Manager. Tiene templates específicos para EU
AI Act que dan la línea base de controles. Útil como punto de partida, no como
punto de llegada.
Lo que no me ayudó
Los proveedores que prometen “compliance EU AI Act in a box”. No existe
la caja. Compliance es proceso, no producto.
¿Recomendación si estás empezando? No esperes. La documentación de
sistemas existentes es lo más lento. Si arrancas hoy, llegas. Si arrancas en
seis meses, no.
No hay comentarios.:
Publicar un comentario