No pide datos buenos. Pide poder demostrarlo.

El Reglamento europeo de inteligencia artificial tiene 113 artículos y 14 anexos. Los leímos enteros buscando una sola cosa: qué le exige a los datos. Cabe en una página, y esta es.

Setenta menciones, una regla Todo lo que la ley pide sobre datos es poder enseñarlo: de dónde salieron, qué se les hizo, qué calidad tienen y quién responde. Fichas, registros, planes, contratos y acceso para quien audita. No pide una herramienta, ni un catálogo, ni una plataforma. Pide pruebas.

Y solo las pide cuando la IA es de alto riesgo: la que decide sobre personas en crédito, empleo, educación, sanidad, policía o servicios públicos, o la que es componente de seguridad de un producto. Fuera de ahí, quedan un resumen público de los datos de entrenamiento para los grandes modelos y dos prohibiciones sobre cómo se consiguen los datos.

Quién responde de qué

La ley reparte el dato en dos Quien hace el sistema responde de los datos con los que lo hace: los de entrenamiento, validación y prueba. Quien lo usa responde de los datos que le da cada día: los de entrada, en la medida en que los controle. Una organización que compra IA hereda una obligación de calidad del dato. Casi todas creen que esa obligación es del vendedor.

Hay una tercera figura que casi nadie ve: quien construye IA para uso propio la «pone en servicio» y pasa a ser proveedor, con todas las obligaciones del que la vende. Y quien cambia sustancialmente un sistema de alto riesgo, o le cambia la finalidad hasta hacerlo de alto riesgo, o le pone su marca, se convierte en proveedor de ese sistema.

Siete cosas que una autoridad puede pedirte

Ninguna es un sistema Todas son documentos, registros o accesos. Se pueden tener sin ninguna herramienta, y se puede tener la mejor herramienta sin tener ninguna.

Lo que la ficha describe se llama en otros sitios metadatos y linaje. La ley no usa ninguna de las dos palabras. Cómo se producen es lo que cuenta la UNE 0078, Gestión del Dato.

Qué es un dato de calidad, según la ley

La calidad no es del conjunto de datos Es de la pareja que forman el conjunto y su uso. No existe un dato de calidad en abstracto: existe un dato adecuado a la finalidad prevista de un sistema, para las personas sobre las que va a actuar, y solo para esa finalidad. Un conjunto válido en un país, un sector o un momento no lo es en otro, y el mismo conjunto puede valer para un sistema y no para el siguiente.

Por eso la ley exige además que los datos tengan en cuenta el entorno geográfico, contextual, conductual o funcional en el que se va a usar el sistema. Y si el sistema se entrena y se prueba con datos que reflejan ese entorno, la ley presume que cumple ese punto, el 10.4, y solo ese.

Cómo se mide, no lo dice

La definición cabe en una línea Pertinentes, representativos, sin errores en lo posible, completos, con las propiedades estadísticas adecuadas. Cinco propiedades y ningún método: la ley dice qué es calidad y no cómo se mide. Cómo se mide, se evalúa y se mejora es lo que cuentan la UNE 0079, Gestión de la Calidad del Dato, y la UNE 0081, Guía de evaluación de la Calidad de un Conjunto de Datos.

Qué hay que hacer con los conjuntos de datos

El artículo 10 es una lista Los conjuntos de entrenamiento, validación y prueba se someten a prácticas de gobernanza —la ley usa esa palabra; nosotros decimos gobierno— y gestión de datos adecuadas a la finalidad. La ley dice cuáles.

1. Las decisiones de diseño que afectan a los datos.
2. Cómo se recogieron y de dónde vienen; para datos personales, con qué fin se recogieron.
3. Qué se les hizo: anotar, etiquetar, depurar, actualizar, enriquecer, agregar.
4. Qué se supone que miden y representan.
5. Si hay bastantes, si están disponibles y si son los adecuados.
6. Qué sesgos pueden tener que dañen la salud, la seguridad o los derechos de alguien.
7. Qué se hace para detectar, prevenir y corregir esos sesgos.
8. Qué lagunas tienen y cómo se van a subsanar.

El sistema de gestión de la calidad del proveedor añade la lista de procesos: adquisición, recopilación, análisis, etiquetado, almacenamiento, filtrado, prospección, agregación y conservación. Son dos listas de procesos sin un solo responsable con nombre: la ley exige un marco de rendición de cuentas y no dice quién responde de cada dato. Quién, con qué estructura y bajo qué estrategia es lo que cuenta la UNE 0077, Gobierno del Dato.

Cuando el dato es de una persona

La ley de la IA no regula los datos personales Se remite al RGPD, y abre solo dos puertas. La primera: para detectar y corregir sesgos se pueden tratar datos sensibles, si los sintéticos o anonimizados no bastan, con pseudonimización, acceso documentado, sin cesión a terceros y borrándolos al terminar. La segunda: en un espacio controlado de pruebas se pueden reutilizar datos recogidos con otro fin, si es por interés público, en un entorno aislado del que los datos no salen.

Las dos puertas son lo más concreto que dice la ley sobre quién puede usar un dato, y las dos son excepciones. La regla general de quién puede usar qué vive en otra ley, y esa ley está cambiando.

Lo que la ley no dice, y quién lo dice

Buscamos el vocabulario del gobierno del dato en todo el texto Lo que sale a cero no es un descuido: es la forma de la ley. Exige demostrar, y deja a las normas técnicas el cómo. Cada hueco tiene una especificación UNE que lo llena, y ese cruce es el que nadie ha dibujado.