Su SaaS integra IA sin saberlo? Las obligaciones que aplican.
Un SaaS que utiliza una API de IA para recomendaciones o puntuación se convierte automáticamente en proveedor según el AI Act. Estas son las etapas concretas para lograr el cumplimiento y evitar exclusiones en licitaciones.
Por qué su SaaS está afectado por el AI Act, incluso sin IA propia
Un editor SaaS que integra una API de IA para recomendaciones, puntuación o automatización se convierte automáticamente en proveedor según el AI Act.
El artículo 3(3) del Reglamento es claro: en cuanto un sistema de IA se integra en un producto y se comercializa bajo el nombre o marca del editor, este se convierte en su proveedor. No importa si el modelo subyacente proviene de OpenAI, Mistral o Anthropic. Lo que cuenta es el uso final comercializado.
Ejemplos concretos:
- Un SaaS de gestión de proyectos que utiliza la API de OpenAI para generar resúmenes automáticos de reuniones.
- Una herramienta de marketing que integra un modelo de puntuación de leads mediante una biblioteca de terceros.
- Una plataforma de RRHH que ofrece un módulo de recomendación de formaciones basado en un modelo de lenguaje.
En estos casos, el editor SaaS debe cumplir con las obligaciones del proveedor, especialmente la clasificación del sistema de IA y la documentación técnica si el sistema se considera de alto riesgo.
Las 3 etapas para lograr el cumplimiento con el AI Act
El cumplimiento del AI Act para un SaaS B2B se basa en tres pilares: clasificación, documentación y transparencia.
1. Clasificar su sistema de IA
La primera etapa consiste en determinar si el sistema de IA integrado se considera de alto riesgo. El Anexo III del AI Act enumera los casos afectados, entre ellos:
- Gestión de recursos humanos (puntuación de candidatos, evaluación del desempeño).
- Acceso a servicios esenciales (puntuación crediticia, seguros).
- Educación y formación profesional (calificación automática).
Si el sistema entra en una de estas categorías, el editor debe elaborar una documentación técnica conforme al Anexo IV.
2. Elaborar la documentación técnica
Para los sistemas de alto riesgo, el Anexo IV exige una documentación detallada que incluya:
- Una descripción de las funcionalidades del sistema y sus límites.
- Los datos de entrenamiento utilizados y su procedencia.
- Las medidas de ciberseguridad y robustez implementadas.
- Los procedimientos de supervisión tras la puesta en servicio.
Esta documentación debe estar disponible para las autoridades competentes a petición.
3. Cumplir con las obligaciones de transparencia
El artículo 50 del AI Act obliga a los proveedores de sistemas de IA a informar a los usuarios finales cuando interactúan con una IA. Para un SaaS B2B, esto significa:
- Informar a los clientes de que ciertas funcionalidades utilizan IA.
- Describir las capacidades y límites del sistema en el folleto informativo (artículo 13).
- Indicar si el sistema se considera de alto riesgo.
Caso práctico: un SaaS de RRHH con puntuación de candidatos
Un editor de software de RRHH integra una API de IA para calificar los CV. Así debe cumplir con el AI Act.
Escenario: un SaaS de RRHH ofrece una funcionalidad de puntuación automática de candidatos, basada en la API de OpenAI. Esta funcionalidad se comercializa como un módulo premium.
Etapa 1: Clasificación del sistema
La puntuación de candidatos está incluida en la gestión de recursos humanos, enumerada en el Anexo III del AI Act. Por lo tanto, el sistema se considera de alto riesgo.
Etapa 2: Documentación técnica
El editor debe elaborar una documentación conforme al Anexo IV, que incluya:
- Una descripción de los criterios de puntuación y sus pesos respectivos.
- Los datos de entrenamiento utilizados para el modelo (ej.: CV históricos, ofertas de empleo).
- Las medidas de protección contra sesgos discriminatorios.
- Los procedimientos de supervisión tras el despliegue (ej.: auditorías periódicas).
Etapa 3: Transparencia con los clientes
El editor debe:
- Informar a los clientes de que la puntuación utiliza IA.
- Proporcionar un folleto informativo que describa las capacidades y límites del sistema (artículo 13).
- Indicar que el sistema se considera de alto riesgo.
Artículo 50: lo que sus clientes realmente esperan
Los clientes B2B, especialmente las grandes empresas, exigen cada vez más transparencia sobre los sistemas de IA utilizados en los SaaS.
El artículo 50 del AI Act obliga a los proveedores a informar a los usuarios finales cuando interactúan con una IA. Para un SaaS B2B, esto se traduce en:
- Una mención clara en las condiciones generales o la documentación técnica.
- Un folleto informativo accesible que describa:
- Las funcionalidades de IA utilizadas.
- Los límites del sistema (ej.: tasa de error, sesgos potenciales).
- Las medidas de protección implementadas.
- Un canal de contacto para preguntas relacionadas con la IA.
Los clientes empresariales, especialmente en sectores regulados (banca, seguros, salud), incluyen cada vez más cláusulas del AI Act en sus RFP. Un SaaS sin documentación del AI Act será sistemáticamente descartado.
Obligaciones si su SaaS utiliza un modelo base (GPAI)
Si su SaaS integra un modelo de lenguaje como GPT-4 o Mistral, se aplican obligaciones adicionales.
El artículo 25(4) del AI Act obliga a los proveedores de sistemas que integran un modelo GPAI (General-Purpose AI) a:
- Informar a los responsables del despliegue aguas abajo (sus clientes) de que el sistema utiliza un modelo GPAI.
- Proporcionar una documentación técnica sobre el modelo utilizado, que incluya:
- Las capacidades y límites del modelo.
- Los datos de entrenamiento (si están disponibles).
- Las medidas de ciberseguridad.
- Cumplir con las obligaciones de transparencia del artículo 50.
Ejemplo: un SaaS de generación de contenido que utiliza la API de Mistral debe informar a sus clientes de que el sistema se basa en un modelo GPAI y proporcionar documentación sobre los límites del modelo (ej.: riesgos de sesgos, alucinaciones).
El cumplimiento del AI Act como argumento comercial
Los editores SaaS pueden convertir el cumplimiento en una ventaja competitiva, especialmente en licitaciones.
Según varios estudios, las grandes empresas (CAC40, ETI) incluyen cada vez más cláusulas del AI Act en sus RFP. Los editores SaaS sin documentación del AI Act son sistemáticamente descartados.
Estrategias para valorar el cumplimiento:
- Opción premium: Ofrecer la documentación del AI Act como una opción de pago para clientes empresariales.
- Nivel enterprise: Reservar las funcionalidades conformes para clientes del segmento premium.
- Argumento comercial: Destacar el cumplimiento en los pitches y materiales de marketing (ej.: « Nuestro SaaS cumple con el AI Act, garantizando transparencia y seguridad para sus datos »).
- Certificación: Obtener una certificación de terceros para reforzar la credibilidad (ej.: sello CNIL, certificación ISO 42001).
Ejemplo: un SaaS de puntuación crediticia puede ofrecer documentación del AI Act conforme como opción premium, con un recargo del 20% sobre el precio estándar. Los clientes empresariales, sujetos a obligaciones regulatorias estrictas, pagarán este sobrecoste para evitar riesgos.
Identifique sus obligaciones en 3 minutos
Nuestro diagnóstico gratuito le indica si su SaaS está afectado por el AI Act y qué pasos seguir para lograr el cumplimiento.
Preguntas frecuentes
Respuestas a las preguntas más comunes de los editores SaaS sobre el AI Act.
Sí. En cuanto integra una funcionalidad de IA en su SaaS y la comercializa bajo su nombre o marca, se convierte en proveedor según el AI Act. Esto se aplica incluso si utiliza una API de terceros como OpenAI o Mistral. El artículo 3(3) del Reglamento es explícito al respecto.
Las sanciones pueden llegar hasta 35 millones de euros o el 7% de la facturación mundial, según la cantidad más alta. Para las PYMES, las multas están limitadas a 15 millones de euros o el 3% de la facturación. Las autoridades competentes también pueden ordenar la retirada del sistema del mercado.
Consulte el Anexo III del AI Act, que enumera los casos considerados de alto riesgo. Las categorías más comunes para los SaaS incluyen la gestión de recursos humanos, el acceso a servicios esenciales (crédito, seguros) y la educación. También puede utilizar nuestro diagnóstico gratuito para verificar si su sistema está afectado.
Un proveedor es una entidad que desarrolla o comercializa un sistema de IA bajo su propio nombre o marca. Un responsable del despliegue es una entidad que utiliza un sistema de IA en el marco de sus actividades, sin comercializarlo. Por ejemplo, un editor SaaS que integra una IA es un proveedor, mientras que una empresa que utiliza ese SaaS es un responsable del despliegue.
Sí. El artículo 50 del AI Act obliga a los proveedores a informar a los usuarios finales cuando interactúan con una IA. Para un SaaS B2B, esto significa informar a sus clientes de que ciertas funcionalidades utilizan IA y describir las capacidades y límites del sistema en un folleto informativo (artículo 13).
Si su SaaS integra un modelo GPAI (General-Purpose AI), debe informar a sus clientes de que el sistema utiliza dicho modelo y proporcionar una documentación técnica sobre sus capacidades y límites. El artículo 25(4) del AI Act detalla estas obligaciones, que se suman a las del artículo 50 sobre transparencia.
Puede ofrecer la documentación del AI Act como una opción premium o un nivel enterprise, con un recargo. Destaque el cumplimiento en sus presentaciones comerciales y materiales de marketing para tranquilizar a los clientes empresariales, cada vez más exigentes en este aspecto. Una certificación de terceros (ej.: sello CNIL) también puede reforzar su credibilidad.