El deure d'alfabetització després de l'Òmnibus
L'article 4, aplicable des del 2 de febrer de 2025, obligava en la seva redacció original proveïdors i responsables del desplegament a garantir, en la mesura més gran possible, un nivell suficient d'alfabetització en IA del seu personal i dels qui fan funcionar els sistemes en nom seu.
El Reglament (UE) 2026/1744 el reescriu: ara han d'adoptar mesures per donar suport a la promoció d'aquesta alfabetització, tenint en compte coneixements, experiència, context d'ús i persones afectades, i s'aclareix que no han de garantir un nivell concret en cap persona. La Comissió publicarà exemples pràctics i els estats membres donaran suport a les pimes (art. 4.2).
El deure continua existint, tot i que més flexible. La manera raonable d'acreditar-lo és un pla de formació per perfils —qui supervisa un sistema d'alt risc no necessita el mateix que qui fa servir un assistent de redacció— amb registre de qui l'ha rebut.
Governança interna mínima
El Reglament no exigeix un comitè d'IA, però diverses obligacions el pressuposen: saber quins sistemes hi ha, qui els supervisa, quines dades reben i a qui s'avisa si fallen. Un inventari viu, una política d'ús acceptable i un responsable per sistema en cobreixen la major part.
La governança enllaça amb la protecció de dades. El nou article 4 bis permet tractar excepcionalment categories especials de dades per detectar i corregir biaixos, amb garanties estrictes —pseudonimització, accés controlat, supressió en acabar— i deixant constància del motiu al registre d'activitats de tractament.
On encaixa ISO/IEC 42001
ISO/IEC 42001:2023 és una norma internacional de requisits per a un sistema de gestió de la intel·ligència artificial, amb l'estructura comuna de les normes de sistemes de gestió. La seva certificació és voluntària.
Ajuda a ordenar l'inventari, l'avaluació de riscos, els rols, el control de proveïdors i la millora contínua, i pot servir d'esquelet del sistema de gestió de la qualitat que l'article 17 exigeix als proveïdors d'alt risc. Però no substitueix l'avaluació de la conformitat de l'article 43: la presumpció de conformitat la donen les normes harmonitzades les referències de les quals es publiquen al Diari Oficial de la UE (art. 40.1).
El que sol demanar l'auditor
- Pla de formació en IA per perfils, amb registre d'assistència
- Política d'ús acceptable d'eines d'IA aprovada i comunicada
- Responsable designat per a cada sistema de l'inventari
- Tractaments de dades per corregir biaixos justificats al registre d'activitats
- Decisió presa sobre si adoptar ISO/IEC 42001 com a marc de gestió
Com abordar-ho a la pràctica
- 1Defineix dos o tres perfils de formació segons l'ús real de la IA i registra qui completa cadascun.
- 2Integra l'inventari de sistemes d'IA a l'anàlisi de riscos que ja mantinguis per a seguretat de la informació o protecció de dades.
- 3Si ja tens un sistema certificat en ISO/IEC 27001 o ISO 9001, valora ampliar-lo amb els requisits d'ISO/IEC 42001 en lloc de crear-ne un a part.
La ciberseguretat que l'article 15 exigeix als sistemes d'alt risc es recolza en els mateixos controls que ISO/IEC 27001.
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- Reglament (UE) 2024/1689 d'Intel·ligència Artificial EUR-Lex · DO L 2024/1689 · 12 de juliol de 2024
- Reglament (UE) 2026/1744 (Òmnibus digital sobre IA), que modifica el Reglament (UE) 2024/1689 EUR-Lex · DO L 2026/1744 · 24 de juliol de 2026
- Reglament (UE) 2024/1689, text consolidat EUR-Lex · CELEX 02024R1689-20260727 · Versió de 27 de juliol de 2026
- ISO/IEC 42001:2023 — Tecnologies de la informació. Intel·ligència artificial. Sistema de gestió ISO · Ed. 2023