Cumplimiento y ética

Trazabilidad de decisiones (audit log)

La trazabilidad de decisiones IA es el registro detallado de cada respuesta generada o decisión tomada por un sistema de inteligencia artificial: qué entrada recibió, qué modelo y versión se usó, qué datos de contexto consultó, qué respuesta produjo, quién la validó si aplica. La AI Act exige este registro para sistemas de alto riesgo. Se conserva un mínimo de 6 meses, frecuentemente más según sector. Es la base de cualquier defensa ante inspección o reclamación.

Por Ana María González Actualizado: 28 de abril de 2026 Verificado vigente: 30 de abril de 2026

Definición rápida

Respuesta directa

Explicación ampliada

Sin trazabilidad, una empresa no puede responder a tres preguntas que le pueden hacer en cualquier momento: "¿qué dijo exactamente vuestro asistente IA al cliente fulano el mes pasado?", "¿en qué datos se basó vuestro sistema para rechazar la solicitud de crédito de mengano?", "¿podéis reproducir la decisión del 12 de marzo para verificar que no hubo discriminación?". Estas preguntas vienen de clientes, abogados, AESIA, AEPD o la propia dirección. Sin registro, la respuesta es "no podemos saberlo", que es la respuesta peor posible. Un registro de trazabilidad típico para un asistente IA empresarial captura, por cada interacción, los siguientes campos: timestamp, identificador anónimo del usuario o del caso, modelo y versión exacta, parámetros (temperatura, tamaño de contexto), prompt sistema vigente en ese momento, prompt del usuario completo, contexto adicional consultado (RAG retrieved), respuesta generada, validación humana si aplica, y código de salida (entregado al cliente, escalado, descartado). La implementación varía. Para asistentes integrados (ChatGPT Business, Copilot, Claude Team) los proveedores ofrecen registros administrativos accesibles desde el panel de admin. Para sistemas custom (chatbots propios, agentes con API) la empresa tiene que construir el registro y guardarlo en BD propia. La AI Act exige que el registro sea "automatizado y suficiente para asegurar trazabilidad de las operaciones del sistema durante todo su ciclo de vida". El periodo mínimo de conservación es de 6 meses, prolongable según obligación sectorial.

Por qué importa para tu empresa

Aplicación práctica

Para una pyme con sistemas IA expuestos a clientes o que tomen decisiones que afecten a personas, la trazabilidad pasa de ser opcional a ser obligatoria con el AI Act. La práctica recomendada es activar el registro desde el primer día de despliegue, aunque parezca paranoia: cuando llega el momento de necesitar el log es porque ya hay un problema y entonces es tarde para empezar a registrar. Además, contar con el log facilita iteración del sistema (analizar fallos, identificar patrones, mejorar prompts).

Ejemplo concreto

Caso real

Una empresa de servicios financieros para pymes desplegó un asistente IA para responder primeras consultas sobre productos. Activó desde el día uno un registro completo en una base de datos PostgreSQL aparte: cada conversación con timestamp, usuario, modelo, prompt sistema versionado, prompt del usuario, contexto recuperado, respuesta entregada. Tres meses después un cliente reclamó que el asistente le había recomendado un producto inadecuado. La empresa pudo recuperar la conversación exacta, comprobar que el cliente había omitido información crítica en sus respuestas, y resolver la reclamación con argumentos basados en el log. Sin registro habrían tenido que asumir la responsabilidad por defecto.