Els papers de la IA, fets amb dades reals
Quan el DPD, un client o una inspecció pregunti com feu servir la IA, tindreu la resposta per escrit: quines eines, amb quines dades, què s'ha protegit i qui ha acceptat la política. Acotia ho prepara amb el que ja registra, sense llegir cap conversa.
Actualitzat
Per què ara
Si el teu equip fa servir la IA amb dades de clients o de pacients, ja hi ha obligacions en marxa. El RGPD demana portar un registre de les activitats de tractament (article 30) i, quan el risc és alt, una avaluació d'impacte (article 35). I des del febrer de 2025 l'article 4 del Reglament europeu d'IA (AI Act) demana que l'empresa prengui mesures perquè el seu personal sàpiga fer servir la IA amb criteri. Gairebé cap pime no té aquests papers al dia, i fer-los a mà costa setmanes.
Estat: què teniu i què falta
Un semàfor de vuit punts: política d'ús publicada, quantes persones l'han acceptada, quantes han fet la formació, registre d'activitats, avaluació d'impacte, contractes d'encàrrec amb els proveïdors, perímetre de dades actiu i dades que surten de la UE. Cada punt en verd, ambre o vermell, amb un botó que porta on s'arregla.
Informe per al DPD o per a una inspecció
Trieu el període i Acotia redacta l'informe en Word o PDF, en català, castellà o anglès. Inclou quines eines i models s'han fet servir i on són allotjats (dins o fora de la UE), quantes peticions, quins tipus de dades personals s'han detectat i què se n'ha fet (emmascarades, bloquejades o enviades a un model de la UE), les alertes i bloquejos del període, els canvis de política, les mesures tècniques, els proveïdors que hi intervenen i qui ha acceptat la política i fet la formació.
Registre d'activitats (article 30 del RGPD)
El tractament «ús d'assistents d'IA» arriba ja emplenat amb el que Acotia sap: categories de dades vistes en el període, proveïdors, transferències fora de la UE, terminis de conservació i mesures de seguretat. El reviseu, completeu el que falti, marqueu quins contractes d'encàrrec estan signats i el deseu.
Avaluació d'impacte (AIPD)
Un esborrany amb dotze riscos típics de l'ús de la IA. Els que Acotia ja cobreix segons la vostra configuració (per exemple, dades de salut que s'emmascaren o models allotjats a la UE) es marquen sols. La resta la completeu vosaltres amb la probabilitat, l'impacte i les mesures, i tanqueu amb la conclusió i l'aprovació.
Política d'ús amb acceptació i formació
Una plantilla de política d'ús de la IA que podeu editar i publicar per versions. Cada persona la veu en obrir Acotia i no pot continuar fins que l'accepta; si publiqueu una versió nova, es torna a demanar (un canvi menor, com una errata, no). A més, una formació de cinc minuts amb cinc lliçons i sis preguntes: queda qui l'ha feta, quan i amb quin resultat, mai les seves respostes. És la manera més senzilla de demostrar que heu actuat sobre l'article 4.
Mai no llegeix les converses
Tot surt del registre d'evidències: qui, quan, amb quin model, quines categories de dades s'han detectat i què s'ha fet. El text dels xats no es guarda al servidor i no entra en cap document. El registre d'activitats i l'avaluació d'impacte només contenen el que escriu qui administra l'empresa.
El que no fa
No és assessorament jurídic: són plantilles orientatives que ha de revisar el vostre DPD o la vostra assessoria, i així ho diu cada document. Només cobreix la IA que passa per Acotia; si algú fa servir altres eines pel seu compte, no hi apareixen. I no fa l'empresa «conforme» per si sol: us dona les evidències i els esborranys, però les decisions, les signatures i les obligacions dels proveïdors dels models o dels sistemes d'alt risc queden fora. També ho expliquem a Confiança.
En quin pla és
El mòdul de compliment és del pla Profesional (veure preus). Si una empresa passa a Esencial, no s'esborra res: la política, les acceptacions, la formació, el registre i l'avaluació es conserven i tornen a estar disponibles en tornar a Profesional. Mentrestant, no es demana a ningú que accepti la política.
Preguntes freqüents
Què demana l'article 4 de l'AI Act a una pime?
Que prengui mesures perquè les persones que fan servir IA a l'empresa tinguin prou coneixements, segons el seu lloc i l'ús que en fan. No exigeix cap títol ni cap nivell concret. Una política d'ús acceptada per cada persona i una formació documentada són una base raonable, i és just el que deixa registrat aquest mòdul.
Substitueix el meu DPD o la meva assessoria?
No. Els estalvia la feina de recollir dades i redactar esborranys, però ells revisen i decideixen. Cada document ho indica.
Acotia veu el que escriu el meu equip?
No. Els documents es generen amb metadades (qui, quan, model, categoria de dada i acció), mai amb el text de les converses.
Què passa si algú no accepta la política?
Mentre no l'accepta, Acotia li mostra la política en obrir-la i no pot continuar fent-la servir. A l'estat de compliment veieu qui l'ha acceptada i qui no.
Està inclòs al pla Esencial?
No, és del pla Profesional. Durant un pilot el podem activar fins al final del pilot.