Guía de cumplimiento de la Ley de IA de la UE para sistemas de generación aumentada por recuperación (RAG)

Los sistemas de Generación Aumentada por Recuperación (RAG) conectan los almacenes de datos empresariales con modelos de lenguaje de gran tamaño para producir respuestas fundamentadas y conscientes del contexto. Bajo la Ley de IA de la UE, desplegar una arquitectura RAG introduce distintas obligaciones legales y técnicas según la clasificación subyacente de la aplicación.

Desglose de la clasificación de riesgos

La clasificación de una arquitectura RAG depende estrictamente de su propósito previsto y del sector en el que opera:

1. Implementaciones de alto riesgo (Anexo III): Si la aplicación RAG informa decisiones de empleo, determina el acceso al crédito, evalúa la elegibilidad educativa o clasifica alertas de infraestructura crítica, se clasifica como de Alto Riesgo. Los implementadores deben cumplir con rigurosos mandatos de gestión de calidad y documentación técnica.
2. Integraciones de IA de uso general (GPAI): Si la canalización RAG se conecta a modelos fundacionales de terceros, los implementadores deben aclarar la división de responsabilidad entre el proveedor del modelo ascendente y los controles de la aplicación descendente.
3. Sistemas con obligaciones de transparencia (Artículo 50): Los bots RAG orientados al cliente que interactúan directamente con personas físicas deben revelar claramente que los usuarios están conversando con un sistema automatizado.

Documentación técnica y gobernanza de datos

Operar un flujo RAG conforme a la normativa requiere un mapeo continuo de controles en cada etapa de ingestión y recuperación:

• Procedencia del corpus y propiedad intelectual: Todas las incrustaciones vectoriales (embeddings) indexadas deben tener un linaje rastreable, verificando que los documentos internos, las extracciones externas y las bases de datos de referencia cumplan con los requisitos de derechos de autor y privacidad de datos según el RGPD.
• Registro de recuperación y no determinismo: Implementar un registro inmutable de consultas, fragmentos de contexto recuperados, indicaciones del sistema (prompts) y salidas del modelo para mantener una auditabilidad completa para el seguimiento posterior a la comercialización.
• Controles de alucinación y fundamentación: Los flujos de trabajo de alto riesgo requieren barreras de seguridad automatizadas que midan la adherencia al contexto y eviten la deriva fáctica antes de que los tokens de salida lleguen a operadores humanos o API descendentes.

Asignación de controles y preparación continua para auditorías

Para mantener el cumplimiento sin frenar el despliegue, los equipos de ingeniería y legales deben mapear los Artículos 9 al 15 de la Ley de IA de la UE directamente a métricas operativas. Al establecer verificaciones de control automatizadas en las capas de ingestión, incrustación e inferencia, las empresas se aseguran de que cada interacción RAG deje un registro de cumplimiento listo para auditoría.