El Reglamento de IA de la UE y KIFF Cloud

1. Qué es esta página

Una correspondencia entre funciones concretas de KIFF Cloud y artículos concretos del Reglamento de IA. Cada sección dice qué ofrece KIFF Cloud hoy y también qué no ofrecemos, para que la correspondencia no pueda leerse como una garantía de que el cliente cumple.

Cuando esta página hace referencia al Reglamento de IA, el texto de referencia es el que publica la Unión Europea en EUR-Lex. Si hay diferencias, prevalece EUR-Lex.

2. Para quién es esta página

Proveedores y responsables del despliegue de sistemas de IA de alto riesgo en el sentido del artículo 6 y del anexo III del Reglamento de IA, cuyas obligaciones incluyen un registro de eventos trazable (artículo 12) y una supervisión humana efectiva (artículo 14). KIFF Cloud está diseñado para ayudar a cumplir esas dos obligaciones en concreto; las demás obligaciones del Reglamento de IA siguen siendo responsabilidad del cliente.

3. Artículo 12, Registro de eventos

El artículo 12 del Reglamento de IA exige que los sistemas de IA de alto riesgo permitan «el registro automático de acontecimientos ("archivos de registro") a lo largo de todo el ciclo de vida del sistema», en la medida suficiente para detectar las situaciones que den lugar a un riesgo, y para la trazabilidad y la vigilancia poscomercialización.

Qué ofrece KIFF Cloud

• Registro automático de eventos de cada acción gobernada: event_ingested, state_changed, decision_recorded, action_validated, action_executed, approval_required, approval_granted, approval_denied, action_blocked.
• Atribución en cada registro: cada evento lleva el identificador del actor, la marca de tiempo y el identificador de traza que lo unen a su cadena causal.
• Cadena de auditoría de solo adición en el framework; la reproducción es determinista.
• Hashes de resumen con evidencia de manipulación publicados en un rastro público verificable (cuando el despliegue activa el modo de rastro verificable).
• Recibos firmados por cada acción gobernada, que sirven como prueba fuera de la propia base de datos de KIFF Cloud.

Qué no ofrece KIFF Cloud

• Decisiones sobre qué registrar. La configuración del dominio del cliente y sus contratos de acción determinan qué eventos se emiten.
• Plazos de conservación. Por defecto, los datos se conservan mientras exista el inquilino (tenant) del cliente; la política del cliente determina si eso cumple el criterio de «adecuado para la finalidad prevista» del artículo 26, apartado 6 (al menos seis meses).
• Notificación automática a las autoridades de vigilancia del mercado conforme al artículo 73. El cliente es responsable de cualquier notificación hacia el exterior.
• Una determinación de si el sistema del cliente se considera de alto riesgo conforme al anexo III. Esa clasificación la decide el cliente.

4. Artículo 14, Supervisión humana

El artículo 14 del Reglamento de IA exige que los sistemas de IA de alto riesgo se diseñen y desarrollen «de modo que... puedan ser vigilados de manera efectiva por personas físicas durante el período que estén en uso». Eso incluye que un supervisor designado pueda interpretar los resultados, intervenir en el funcionamiento y detenerlo si hace falta.

Qué ofrece KIFF Cloud

• Requisito de aprobación por acción. Cada ActionContract declara su requisito de aprobación (Required, OptionalIfHigh o None). Las aprobaciones obligatorias detienen la ejecución hasta que una persona designada revisa la propuesta.
• Pantalla de revisión de aprobaciones. El panel y la API muestran las aprobaciones pendientes con todo el contexto causal: los eventos de origen, el estado actual, la acción propuesta y sus parámetros, y la regla que provocó la retención.
• Atribución del revisor. Cada registro approval_granted o approval_denied lleva el identificador del revisor, la marca de tiempo y un campo de texto libre para el motivo.
• Una denegación es definitiva. Una aprobación denegada impide la ejecución posterior de la misma propuesta en el mismo contexto. El cliente no puede esquivar por accidente una decisión de supervisión al reintentar.
• Campos del Recibo. El Recibo de una acción sujeta a aprobación registra la atribución del revisor, lo que hace visible la supervisión para los auditores y reguladores posteriores.

Qué no ofrece KIFF Cloud

• La formación del revisor humano. El artículo 26, apartado 2, exige que las personas encargadas de la supervisión tengan «la competencia, la formación y la autoridad necesarias»; esa competencia la establece el cliente.
• La definición de qué acciones requieren supervisión. La configuración del dominio del cliente fija los requisitos de aprobación; KIFF Cloud aplica lo que la configuración declara.
• La política de la organización. El artículo 14, apartados 2 y 3, impone obligaciones de supervisión a la organización del responsable del despliegue; KIFF Cloud no puede sustituir esas obligaciones.
• Un «botón de parada» a nivel del sistema de IA. KIFF Cloud opera a nivel de acción; detener el sistema en su conjunto requiere los controles propios del cliente.

5. Otros artículos relevantes

Más allá de los artículos 12 y 14, KIFF Cloud toca de forma más ligera varias obligaciones más. Cada nota de abajo nombra el artículo y el límite de nuestra aportación.

Artículo 9, Gestión de riesgos

El campo risk_score del Recibo está reservado para datos estadísticos previos agregados entre inquilinos. En la v0.1 es nulo porque el conjunto de datos aún no se ha construido. Los clientes no pueden basarse hoy en este campo.

Artículo 10, Datos y gobernanza de datos

Fuera del alcance. Los datos de entrenamiento, validación y prueba del cliente son responsabilidad del cliente.

Artículo 13, Transparencia hacia los responsables del despliegue

El formato del Recibo da a quienes lo reciben después un registro estructurado de la decisión que pueden leer y auditar; algunos responsables del despliegue lo consideran suficiente como prueba de transparencia hacia los usuarios finales, según su caso.

Artículo 15, Precisión, solidez y ciberseguridad

La postura de ciberseguridad de KIFF Cloud está documentada en /es/security. La precisión y la solidez del sistema de IA del cliente son responsabilidad del cliente; KIFF Cloud es una capa de gobernanza, no un modelo.

Artículo 17, Gestión de la calidad

Fuera del alcance. El sistema de gestión de la calidad del cliente es responsabilidad del cliente.

Artículo 26, Obligaciones de los responsables del despliegue

Muchas obligaciones de los responsables del despliegue exigen pruebas de seguimiento y supervisión. La cadena de auditoría y los Recibos de KIFF Cloud están diseñados para ser esas pruebas.

6. Lo que no está en esta lista

KIFF Cloud es una capa de gobernanza para las acciones que realizan los sistemas de IA. No se ocupa de las obligaciones que derivan del propio modelo (procedencia de los datos de entrenamiento, pruebas de sesgo, documentación del modelo), de las políticas de la organización del responsable del despliegue (procedimientos de notificación de incidentes, registro del responsable del despliegue) ni de la infraestructura de vigilancia poscomercialización que vaya más allá de los eventos registrados.

Si tu evaluación de la conformidad identifica obligaciones que aquí no se cubren, KIFF Cloud no es la herramienta adecuada para ellas. Lo diremos en una llamada comercial en lugar de dar a entender otra cosa.

7. El Recibo como prueba

Un solo Recibo de KIFF reúne, para una acción gobernada:

• la cadena causal: los eventos, el estado, la decisión y la validación de la acción que produjeron el resultado (prueba del registro de eventos del artículo 12);
• la atribución del revisor cuando se requirió la aprobación de una persona (prueba de la supervisión del artículo 14);
• la versión de la política con la que se tomó la decisión (trazabilidad del ciclo de vida conforme al artículo 12, apartado 2, letra b);
• una atestación criptográfica sobre la cadena, verificable con independencia de la base de datos de la nube (integridad conforme al artículo 15).

Un regulador que inspecciona una acción presenta un Recibo; un regulador que inspecciona un sistema a lo largo del tiempo presenta el conjunto de recibos. La forma JSON estable del Recibo busca que ese intercambio sea mecánico y no discursivo.

8. Limitaciones

No somos un organismo notificado, ni un evaluador de la conformidad acreditado, ni un representante autorizado en el sentido del Reglamento de IA. No certificamos los sistemas de los clientes. La evaluación de la conformidad conforme al artículo 43 del Reglamento de IA sigue siendo responsabilidad del cliente. El papel de KIFF Cloud es aportar pruebas en las que pueda apoyarse la evaluación de la conformidad del cliente.

Cuando se actualice la legislación derivada del Reglamento de IA (actos delegados, actos de ejecución, normas armonizadas), esta correspondencia puede ir con retraso. Actualizamos esta página a medida que evolucionan el texto normativo y las directrices pertinentes de la Comisión.

9. Versiones

Esta correspondencia tiene versiones. La v0.1 refleja el texto consolidado del Reglamento de IA publicado en el DO L de 12 de julio de 2024 y las directrices de la Comisión disponibles en la fecha del encabezado.

10. Contacto

Preguntas sobre cumplimiento: legal@kiff.dev. Preguntas sobre privacidad: privacy@kiff.dev. Avisos de seguridad: security@kiff.dev.

Versión del documento: v0.1.
Última actualización: 24 de mayo de 2026.