POLITICA DE INTELIGENCIA ARTIFICIAL
Última actualización: 25 de junio de 2026
1. Objeto y ámbito de aplicación
La presente Política de Inteligencia Artificial establece los principios, compromisos y directrices que rigen la provisión, operación y uso de sistemas de inteligencia artificial por parte de DEEPSENSE S.L.
Esta política es de aplicación a toda la organización y a todas sus actividades relacionadas con la IA, incluyendo:
- El desarrollo y mantenimiento de la plataforma SaaS LinkSense.
- Los servicios de consultoría y desarrollo a medida de proyectos de analítica e IA para clientes.
- El uso interno de herramientas de IA por parte del equipo de DEEPSENSE.
- Las relaciones con proveedores, sub-encargados y clientes en el contexto de sistemas de IA.
DEEPSENSE actúa en la cadena de valor de la IA en los siguientes tres roles, confirmados por la entidad certificadora:
| Rol ISO 42001 | Descripción en el contexto de DEEPSENSE | Documentos que lo regulan |
|---|---|---|
| Proveedor | DEEPSENSE integra y pone a disposición de municipios y clientes privados los sistemas de IA de LinkSense. Responsable del diseño de la integración, documentación técnica e información a usuarios. | POL-IA-001, PRC-INT-001, EIIA, Fichas FT-IA-003 a 007, SOA-42001 |
| Operador | DEEPSENSE gestiona y supervisa las APIs de IA de terceros (OpenAI, Anthropic y otros) integradas en LinkSense. Decide qué datos se envían y bajo qué condiciones. | PRC-INT-001, PRC-PRV-001, ANO-IA-001, DEC-IA-002, INV-IA-001 |
| Usuario | El equipo de DEEPSENSE usa herramientas de IA en su trabajo diario. Este rol genera obligaciones internas de uso responsable. | POL-USO-IA-INT, DEC-IA-001, INV-IA-001 (herramientas internas), COM-INT ChatGPT Plus |
DEEPSENSE NO actúa como Desarrollador de modelos de IA propios. Los controles del Anexo A relativos al rol Desarrollador están marcados como N/A en SOA-42001 con justificación.
2. Marco de referencia normativo
| Norma / Regulación | Relación con esta política |
|---|---|
| ISO/IEC 42001:2023 | Norma del SGAIA. Control A.2.2. Define los tres roles de Deepsense: Proveedor, Operador y Usuario. |
| AI Act (UE 2024/1689) | Marco regulatorio europeo de IA. Obligaciones como Proveedor (arts. 13-15, 50) y Operador (arts. 16, 26). |
| RGPD (UE 2016/679) + LOPDGDD | Los sistemas de IA que traten datos personales están sujetos al RGPD. Aplica a los tres roles. |
| ENS Nivel Medio (RD 311/2022) | Certificación de seguridad vigente de DEEPSENSE. Esta política extiende los controles ENS para la dimensión de IA. |
| ISO/IEC 27001:2022 | Estándar de seguridad de referencia. Si Deepsense lo certifica, esta política es coherente con él. Si no, el ENS Nivel Medio vigente cubre la base de seguridad. |
| ISO/IEC 27701:2019 | Extensión de privacidad. Esta política es coherente con ISO 27701. Su certificación es independiente de la certificación ISO 42001. |
| ISO/IEC 23894:2023 | Metodología de referencia para la gestión de riesgos de IA (RIS-IA-001). |
3. Principios de uso responsable de la IA
| Principio | Descripción | Aplica a |
|---|---|---|
| 1. Responsabilidad y rendición de cuentas | DEEPSENSE asume la responsabilidad de los sistemas de IA que provee, opera y usa. Ver RACI-IA-001. | Todos los roles |
| 2. Transparencia y explicabilidad | Los sistemas de IA serán comprensibles para usuarios y operadores. Información clara sobre propósito y limitaciones. | Proveedor · Operador |
| 3. Equidad y no discriminación | Los sistemas no generarán sesgos injustificados. Evaluación de equidad antes y durante la operación. | Proveedor · Operador |
| 4. Fiabilidad y robustez | Los sistemas funcionarán de forma consistente. Procesos de verificación y validación rigurosos. | Proveedor · Operador |
| 5. Seguridad y privacidad | Los sistemas incorporarán las medidas de seguridad del ENS Nivel Medio más las específicas de IA (POL-IA-001 §9). | Todos los roles |
| 6. Supervisión humana | Los sistemas operan bajo supervisión humana. No se adoptarán decisiones automatizadas con efectos jurídicos sin intervención humana (art. 22 RGPD). | Todos los roles |
| 7. Impacto social y medioambiental | DEEPSENSE evaluará impactos sociales y medioambientales mediante EISIA antes de cada despliegue. | Proveedor · Operador |
| 8. Mejora continua | Mejora continua de las prácticas de IA en el marco del ciclo PDCA del SGAIA. | Todos los roles |
4. Compromisos de la alta dirección
- Establecer, implementar, mantener y mejorar continuamente el SGAIA conforme a ISO/IEC 42001.
- Proporcionar los recursos humanos, tecnológicos y presupuestarios necesarios para los tres roles del SGAIA.
- Comunicar la importancia del uso responsable de la IA a toda la organización, incluyendo el rol de Usuario interno.
- Garantizar que ningún sistema de IA se despliega en producción sin EISIA aprobada y Autorización de Despliegue formal (Gate 6 de PRC-INT-001).
- Revisar anualmente esta política conforme al procedimiento RDM-INT-001.
5. Usos prohibidos de la IA
| Prohibición | Descripción | Roles afectados |
|---|---|---|
| Decisiones automatizadas sin supervisión humana | Prohibida la toma de decisiones automatizadas que afecten a derechos fundamentales sin intervención humana efectiva (art. 22 RGPD, AI Act arts. 14 y 26). | Todos |
| Discriminación por características protegidas | Prohibido el uso de IA para discriminar por razón de origen racial, género, religión, orientación sexual, discapacidad u otras características protegidas. | Todos |
| Vigilancia masiva no autorizada | Prohibido el uso de IA para identificación biométrica en tiempo real en espacios públicos sin autorización. | Todos |
| Manipulación y engaño | Prohibido el uso de IA para manipular, generar desinformación deliberada o producir deepfakes dañinos. | Todos |
| Usos prohibidos por el AI Act | Prohibido cualquier uso clasificado como riesgo inaceptable por el Anexo I del AI Act (art. 5). | Todos |
| Datos personales sin DPA (rol Usuario) | Prohibido introducir datos personales en herramientas de IA sin DPA firmado y vigente. Ver DEC-IA-001 e INV-IA-001. | Usuario, Operador |
| Shadow IA (rol Usuario) | Prohibido usar herramientas de IA que no figuren en INV-IA-001 o que no hayan sido evaluadas conforme a PRC-PRV-001. | Usuario |
| Despliegue sin autorización (rol Proveedor/Operador) | Prohibido el despliegue en producción sin haber completado PRC-INT-001 y obtenido la Autorización de Despliegue (Gate 6). | Proveedor, Operador |
6. Gobernanza y estructura de roles
| Rol en el SGAIA | Responsabilidades principales |
|---|---|
| Dirección y GRC IA (CEO) | Aprobación de la política. Firma de Autorizaciones de Despliegue. Aprobación de riesgos residuales. Mantenimiento del SGAIA. Revisión anual. |
| Responsable Técnico / Lead Developer | Implementación técnica conforme a PRC-INT-001. Configuración de sistemas. Anonimización de datos. Rol Operador técnico. |
| Todo el personal (rol Usuario) | Cumplir esta política y POL-USO-IA-INT. Usar solo herramientas aprobadas en INV-IA-001. Notificar cualquier uso no registrado o comportamiento anómalo. |
7. Gestión del riesgo de IA
DEEPSENSE implementa un proceso sistemático de gestión de riesgos de IA. Los riesgos del rol Proveedor/Operador se gestionan en RIS-IA-001; los del rol Usuario principalmente en DEC-IA-001 y POL-USO-IA-INT.
8. Ciclo de vida de los sistemas de IA
DEEPSENSE aplica el proceso de integración responsable conforme a PRC-INT-001 (rol Proveedor/Operador). Para el rol Usuario, el ciclo de vida se gestiona mediante INV-IA-001 y PRC-PRV-001.
9. Datos para sistemas de IA
DEEPSENSE aplica minimización de datos y anonimización antes del envío a APIs externas (ANO-IA-001). En el rol Usuario, queda prohibido introducir datos personales en herramientas sin DPA (POL-USO-IA-INT v3).
10. Relaciones con terceros proveedores de IA
DEEPSENSE evalúa a sus proveedores de IA conforme a PRC-PRV-001, tanto los de LinkSense (rol Proveedor/Operador) como las herramientas internas (rol Usuario). Todos los proveedores que reciben datos personales deben tener DPA firmado.
11. Formación y concienciación
Todo el personal recibirá formación específica a través del Módulo C de FOR-INT-001. Para el rol Usuario, la formación cubre herramientas aprobadas, usos prohibidos, Shadow IA y canal de notificación.
12. Relación con otras políticas
| Política | Relación |
|---|---|
| POL-SEG-001 | Política de seguridad de nivel superior (ENS Nivel Medio vigente). Los sistemas de IA heredan sus controles. |
| POL-PRI-001 | Política de privacidad. Regula el tratamiento de datos personales en los tres roles. |
| POL-USO-IA-INT | Política operativa derivada de esta. Regula específicamente el rol Usuario. |
13. Revisión y vigencia
Esta política entra en vigor en la fecha de su aprobación. Se revisará anualmente en RDM-INT-001, o ante cambios normativos significativos, nuevos sistemas de IA o incidentes relevantes.