Ciclo de vida de un proyecto de IA: de la idea a la retirada

Muchos proyectos de IA fallan por el camino que siguen, no por la tecnología: se empieza por la herramienta en lugar del problema, se prueba con datos reales sin base jurídica, el piloto se alarga sin decidir o la supervisión humana nunca se concreta. Un ciclo de vida con puertas (puntos en los que se comprueba si se puede avanzar) evita casi todos estos errores.

Las siete fases

Fase	Qué se hace	Quién decide	Salida
1. Idea	Describir la necesidad y la finalidad	Promotor	Propuesta de una página
2. Evaluación	Clasificar el uso; revisar datos, riesgos y viabilidad	Responsable funcional, con protección de datos y seguridad	Ficha de registro y preguntas mínimas respondidas
3. Prueba de concepto o piloto	Probar en un entorno acotado, con datos mínimos o ficticios	Responsable técnico	Resultados medidos frente al banco de pruebas
4. Validación	Contrastar con los criterios de aceptación; revisar errores y sesgos	Responsable funcional	Informe de validación
5. Autorización	Revisar el expediente completo y autorizar o denegar	Órgano de gobernanza de IA	Autorización y publicación
6. Operación	Uso con supervisión humana, monitorización y revisión periódica	Responsable funcional	Informe de revisión, al menos anual
7. Retirada	Dar de baja el sistema, recuperar o borrar datos y cerrar accesos	Responsable funcional	Ficha en estado «retirado»

Caminos de vuelta: si la validación no supera los criterios, se vuelve al piloto. Si en operación hay un cambio sustancial (nuevo modelo o proveedor, nuevas fuentes de datos, nueva finalidad, nuevos usuarios o más capacidad de actuar, como pasar de un asistente que responde a un agente que ejecuta acciones), se vuelve a la evaluación.

No todos los usos recorren el ciclo completo: los usos sencillos sin datos personales solo necesitan una herramienta autorizada y formación básica. El ciclo completo es para los usos que tratan datos personales, interactúan con personas o apoyan decisiones.

Cada fase, en detalle

Fase 1. Idea (1–2 semanas). Se describe el problema, a quién afecta y qué se espera conseguir, y se plantea si de verdad hace falta IA o bastaría con mejorar el proceso o automatizarlo con reglas. Entregable: una propuesta de una página con la finalidad, el beneficio esperado y el área afectada. Error típico: partir de la herramienta («queremos usar IA») en lugar del problema.

Fase 2. Evaluación (2–4 semanas). Se clasifica el uso según su riesgo, se descarta que sea una práctica prohibida, se identifican los datos y la base jurídica, se hace un primer análisis de riesgos con protección de datos y seguridad, se valoran alternativas y proveedores con un cuestionario mínimo y se fijan los criterios de aceptación. Se abre la ficha de registro del caso. Error típico: consultar a protección de datos al final o no estimar el coste recurrente.

Fase 3. Prueba de concepto o piloto (1–3 meses). Entorno acotado (un área, pocos usuarios, duración limitada), preferiblemente con datos ficticios, anonimizados o mínimos. Se construye y ejecuta el banco de pruebas y se recoge la opinión de los usuarios. El Reglamento Europeo de IA no se aplica a las pruebas previas a la puesta en servicio, pero la protección de datos y la seguridad sí, siempre. Error típico: probar solo los casos fáciles o alargar el piloto sin decidir.

Fase 4. Validación (2–4 semanas). Se contrastan los resultados con los criterios de aceptación, se revisan errores y sesgos, se completa la evaluación de impacto, se define la supervisión humana (quién revisa, qué, con qué muestra y cómo se revierte), se categoriza la seguridad, se firma el encargo de tratamiento y se prepara la formación.

Fase 5. Autorización (2–4 semanas). El órgano de gobernanza de la IA revisa el expediente, puede pedir condiciones y autoriza o deniega. Si se autoriza, se registra el sistema y se publica cuando proceda. Error típico: empezar a usarlo «en producción» mientras se tramita.

Fase 6. Operación. Supervisión humana, seguimiento de indicadores, gestión de incidencias, repetición del banco de pruebas en cada cambio y revisión al menos anual.

Fase 7. Retirada. Cuando no cumple los indicadores, cambia la norma, termina el contrato, aparece un riesgo inaceptable o ya no hace falta. Plan de salida: comunicar, exportar lo que deba conservarse, exigir el borrado con certificado, revocar accesos y conectores y actualizar el registro.

El semáforo de evidencias

Antes de autorizar el paso a producción, la ficha del caso debe acreditar todas estas evidencias. Si falta alguna, el expediente no se aprueba:

Evidencia	✓
Finalidad y competencia o justificación de negocio
Responsable funcional con nombre
Clasificación según el Reglamento Europeo de IA
Categoría de seguridad
Base jurídica, si hay datos personales
Evaluación de impacto y, si es de alto riesgo, la de derechos fundamentales
Encargo de tratamiento firmado
Proveedor y subproveedores identificados
Ubicación del tratamiento
Banco de pruebas superado
Supervisión humana definida
Plan de incidentes
Plan de salida o reversibilidad
Registro actualizado

Quién hace qué

Tarea	Responsable último	Ejecuta	Consultados
Proponer el caso	Promotor	Promotor	Responsable funcional
Clasificar y abrir la ficha	Responsable funcional	Responsable funcional	Técnico, seguridad, protección de datos
Base jurídica y evaluación de impacto	Responsable funcional	Responsable funcional	Protección de datos, seguridad
Seguridad y análisis de riesgos	Responsable de seguridad	Responsable de seguridad	Técnico
Piloto y banco de pruebas	Responsable funcional	Responsable técnico y supervisor	Seguridad, protección de datos
Autorizar producción	Órgano de gobernanza de IA	Órgano de gobernanza de IA	Todos los anteriores
Supervisión en operación	Responsable funcional	Supervisor humano	—
Gestión de incidentes	Responsable de seguridad	Técnico y supervisor	Protección de datos

Dos reglas: protección de datos asesora y supervisa, pero no aprueba ni ejecuta, para evitar conflictos de interés; y quien supervisa no aprueba lo que supervisa.

Preguntas mínimas antes de empezar

Si alguna queda sin respuesta, el caso no avanza:

1. ¿Qué problema concreto resuelve y para quién?
2. ¿Hace falta IA, o bastaría con mejorar el proceso o automatizarlo con reglas?
3. ¿En qué categoría de riesgo encaja? ¿Podría ser de alto riesgo o una práctica prohibida?
4. ¿Qué datos necesita, de qué fuentes, y con qué base jurídica?
5. ¿Tienen los datos calidad suficiente y son representativos?
6. ¿Interactuará con personas o influirá en decisiones?
7. ¿Quién es el responsable funcional y quién supervisará los resultados?
8. ¿Qué proveedor, dónde se procesan los datos y si los usa para entrenar?
9. ¿Cómo se medirá el éxito y qué se considerará un fallo?
10. ¿Se ha consultado a protección de datos y a seguridad?
11. ¿Se ha elegido el modelo de tamaño adecuado?

El banco de pruebas

Es la comprobación objetiva y repetible de que el sistema funciona. Un conjunto de casos con la respuesta correcta conocida, preparado por el área que usará el sistema, que incluye:

• casos habituales, en número suficiente;
• casos límite y ambiguos;
• preguntas que la IA no debe responder;
• intentos de manipulación;
• casos de distintos colectivos, para detectar sesgos.

Los criterios de aceptación se fijan antes del piloto, no después. Por ejemplo: al menos un 90 % de respuestas correctas, ninguna referencia normativa inventada y cero respuestas con datos de otra persona. El banco se ejecuta en la validación, tras cada cambio de modelo o de instrucciones y periódicamente en operación. Un caso típico: el proveedor actualiza el modelo, se repite el banco y la extracción de fechas cae del 96 % al 88 %; la actualización se suspende hasta corregirla.

Guardarraíles

Son los controles técnicos que mantienen al sistema dentro de su finalidad:

• Filtros de entrada: bloquean datos que no deben entrar e instrucciones maliciosas ocultas.
• Filtros de salida: detectan contenido ofensivo, datos que el usuario no debe ver o respuestas sin fuente.
• Límites de tema: el sistema responde solo sobre su ámbito y deriva a una persona lo demás.
• Límites de acciones en los agentes: lista cerrada de acciones, confirmación humana antes de enviar, modificar, borrar o pagar, y topes de volumen y coste.
• Instrucciones del sistema documentadas y versionadas.

Se aplican en tres capas (proveedor del modelo, plataforma y aplicación propia), se prueban antes de producción, se registra cada activación y se busca el equilibrio: demasiado estrictos empujan a la gente a herramientas no autorizadas.

Preguntas mínimas antes de producción

Si alguna respuesta es «no» o «no se sabe», no se pasa a producción:

• ¿Se han cumplido los criterios del banco de pruebas y están documentados los errores?
• ¿Se han probado valores extremos y usos fuera de ámbito, y el sistema rechaza, avisa o deriva en lugar de inventar?
• ¿Los guardarraíles están configurados y probados contra manipulaciones?
• ¿Están hechas la evaluación de impacto y, si es de alto riesgo, la de derechos fundamentales?
• ¿Están la seguridad categorizada y el encargo de tratamiento firmado?
• ¿Está definida y probada la supervisión humana: quién, cuándo y cómo revierte?
• ¿Se informa a las personas de que interactúan con una IA?
• ¿Se puede explicar en lenguaje claro cómo influye el sistema en el resultado?
• ¿Se guardan registros para reconstruir qué entrada produjo qué salida?
• ¿Hay formación, plan de monitorización, canal de incidencias y criterios de retirada?

Operación y retirada

En operación se mide la tasa de aciertos en el muestreo, la tasa de correcciones del supervisor (si cae a cero, la supervisión se ha convertido en un trámite), las incidencias, el uso y el coste. La retirada se planifica desde el principio: exportar lo que deba conservarse, exigir al proveedor el borrado con certificado y revocar conectores y cuentas técnicas.

En Bidatia acompañamos proyectos de IA en todo su ciclo, desde la evaluación hasta la operación. Para el marco normativo, consulta qué normativa aplica a la IA y los datos.