«Para lo del Reglamento ya montaremos la gobernanza cuando toque.» Lo he oído en equipos que, sin saberlo, ya tenían media conformidad montada —y en otros a los que ninguna capa de gobernanza colgada encima les iba a salvar—. Porque la conformidad de la IA de alto riesgo no empieza por colgar una capa de gobernanza sobre lo que ya tienes: empieza por que tus prácticas de MLOps dejen trazada la cadena de punta a punta.
No es una capacidad nueva que el Reglamento de IA invente. Tiene nombre y tu equipo ya lo practica a diario: MLOps, la disciplina que llevó los modelos al mismo flujo donde se construye y se opera el software —entrenar el modelo, versionarlo, llevarlo a producción y vigilar que no se tuerza una vez allí—. Es el siguiente paso de algo que ya conoces: DevOps acercó la operación al desarrollo; MLOps trajo ahí los modelos. Y, leída como especificación de ingeniería, esa disciplina describe casi lo que pide la ley: cuando el Reglamento te exige demostrar cómo se construyó tu sistema y cómo se comporta, te está pidiendo, casi palabra por palabra, lo que unas prácticas de MLOps maduras producen como subproducto.
La pregunta que lo resume es incómoda y concreta: para una decisión cualquiera que tu modelo tomó en producción —digamos, hace ocho meses—, ¿puedes decir con qué versión de código, de modelo y de datos se tomó? —y, cada vez más, con qué versión de código que ni siquiera escribiste tú, sino un agente; esa cadena tendrá que decir también qué agente lo escribió y quién lo aceptó, pero esa es otra historia—. Esa terna —código, modelo, datos— atada a cada decisión es el corazón de la trazabilidad. Si no la tienes, no hay capa de gobernanza que la fabrique después.
Y no es una práctica suelta, es una cadena. Cada una produce una propiedad que el Reglamento nombra:
- Versionado de datos — poder reconstruir con qué datos exactos se entrenó. Es el gobierno del dato del artículo 10.
- Registro de modelos — qué modelo, con qué configuración, está detrás de cada decisión. Alimenta la documentación técnica del artículo 11.
- Seguimiento de experimentos — qué métricas y qué decisiones de diseño hubo por el camino. La materia prima de la exactitud y la robustez del artículo 15.
- Orquestación de procesos — que el camino datos → entrenamiento → despliegue sea reproducible, no un guion que solo corre en tu portátil.
- Registro automático de eventos — qué hizo el sistema, cuándo y con qué entrada. Es el registro del artículo 12.
- Detección de deriva — avisar cuando el modelo, ya en producción, se aleja de lo que validaste. Es la vigilancia poscomercialización del artículo 72, no un lujo de equipos grandes.
Si quieres ponerte al día con estas prácticas, la referencia que recomendaría a cualquier equipo que empiece es Made With ML, de Goku Mohandas.
Aquí está el bisturí. Tener esas seis prácticas no es lo mismo que poder responder a la pregunta de los ocho meses. Muchos equipos versionan el código y el modelo, pero no el dato —o los tienen en tres sistemas que no se hablan—. Versionas el modelo y, aun así, no reconstruyes la decisión, porque te falta el dato que la alimentó. El valor no está en tener cada práctica por separado: está en encadenarlas, de modo que cada decisión cuelgue de su terna.
Por eso unas prácticas de MLOps maduras son condición necesaria, no suficiente. Te ponen a medio camino: tienes de dónde sacar la evidencia. Falta cerrar el bucle —llevar la conformidad al mismo flujo donde ya vive el modelo, eso que llamo GovOps— para que esa evidencia salga sola, firmada, sin que nadie la reconstruya a mano. Pero eso es harina de otro capítulo.
Un matiz que casi todos dejan para el final y es de los primeros: la trazabilidad no termina el día que despliegas. El artículo 72 te pide vigilar el sistema en producción y registrar cuándo se desvía. Un modelo conforme el día del lanzamiento puede dejar de serlo tres meses después sin que toques una línea, solo porque el mundo cambió. Si no lo vigilas y no lo registras, no te enteras tú —ni te va a creer el auditor—.
Tener la cadena trazable te dice cómo reconstruir cualquier decisión. No te dice qué riesgos de tu sistema concreto deberías estar vigilando. Esa es la siguiente pregunta, y la siguiente pieza.
Pruebas, no promesas: la trazabilidad no se declara, se construye —eslabón a eslabón—. Si construyes IA que decide sobre personas, suscríbete y seguimos.
— Rodrigo