Parte V. Implantar IA en la empresa con Scrum
Cumplir sin frenar
AI Act, datos y supervisión humana dentro del Sprint
Un informe para mañana
El día antes de lanzar el asistente en todos los centros, el comité pidió "un informe de cumplimiento". Julián, el delegado de protección de datos, había revisado el piloto meses antes. Esa tarde se enteró de que la versión para todos los centros leía el historial de reservas de cada socio, algo que no estaba en lo que él había revisado. Pidió una semana.
Ramón dijo que el lanzamiento estaba anunciado. Julián contestó que entonces lo lanzaran sin su firma.
El lanzamiento se retrasó diez días. No porque hubiera un problema grave, sino porque nadie sabía si lo había.
Cumplir al final frena
El cumplimiento que llega al final frena. Se convierte en una puerta que alguien tiene que abrir el último día, con poca información y mucha presión. El que está en el backlog y en la Definition of Done, no: se hace poco a poco, con el trabajo, y el último día no hay sorpresas.
El AI Act en lo que toca a un equipo
El Reglamento Europeo de Inteligencia Artificial (el AI Act) es largo, pero lo que toca a un equipo que implanta un caso de uso se resume en cuatro cosas:
- Clasificar el riesgo del caso de uso. La mayoría de los usos en una empresa son de riesgo limitado o mínimo. Algunos, como los que intervienen en la selección de personal, la educación, la concesión de crédito o el acceso a servicios esenciales, son de alto riesgo y tienen obligaciones mucho mayores. Saber en qué caso estás es lo primero.
- Transparencia. Quien habla con un asistente tiene que saber que habla con una IA. Es obligatorio desde agosto de 2026.
- Alfabetización. Las personas que operan o supervisan sistemas de IA tienen que tener la formación suficiente. Esta obligación se aplica desde febrero de 2025.
- Supervisión humana. Una persona capaz de entender lo que hace el sistema, de detectar cuándo se equivoca y de pararlo.
Los datos
El RGPD sigue aplicándose, con IA o sin ella. La pregunta práctica para el equipo es qué datos personales entran en los prompts y en los agentes, a dónde van y cuánto tiempo se guardan. El asistente de GymTonic leía el historial de reservas del socio para contestar mejor: eso exige una base legal, informar al socio y un contrato con el proveedor del modelo que diga qué hace con esos datos.
Pocas reglas, escritas y conocidas
Una política de uso de la IA no tiene que ser un documento de cincuenta páginas. Tiene que decir qué herramientas se pueden usar, con qué datos no se pueden usar nunca, qué hay que revisar siempre y a quién preguntar. Pocas reglas, escritas y conocidas por todos.
Y un registro de sistemas de IA: una lista de los casos de uso en marcha, con su riesgo, sus datos y la persona que responde de cada uno.
Quién responde
Una persona con nombre por sistema, no un comité. El comité puede decidir la política, pero el día que el asistente se equivoca, alguien tiene que poder pararlo y explicar qué ha pasado. En GymTonic, Mercedes pasó a ser la responsable del asistente: es quien conoce las consultas y quien recibe las quejas.
La lista antes de producción
Todo esto cabe en una lista que forma parte de la Definition of Done del caso de uso:
- El riesgo del caso de uso está clasificado y documentado.
- Quien usa el sistema sabe que habla con una IA.
- Sabemos qué datos personales usa, con qué base legal y qué hace el proveedor con ellos.
- Las personas que lo operan han recibido formación.
- Hay una persona con nombre que responde, que puede pararlo y sabe cómo.
- Está en el registro de sistemas de IA.
- Hay una señal que avisa si algo va mal y una vuelta atrás ensayada.
Si se va cumpliendo Sprint a Sprint, el día del lanzamiento no hace falta ningún informe: basta con enseñar la lista.
Después del retraso, Julián pidió entrar en el refinamiento del equipo una vez al mes. El siguiente caso de uso salió sin esperarle ni un día.
En resumen
El cumplimiento al final frena; en el backlog y en el Done, no. Clasifica el riesgo, sé transparente, forma a quien opera y garantiza la supervisión humana. Pocas reglas escritas, un registro y una persona con nombre por sistema.
Pruébalo esta semana
Aplica la lista de siete puntos a tu caso de uso más avanzado. Lo que salga en "no", al backlog.
Para el primer punto tienes el checklist del AI Act, y para las reglas, la plantilla de política de uso de la IA, lista para adaptar.