Saber qué te aplica
Saber en qué nivel de riesgo está cada sistema que usas, y por qué, con el criterio por escrito.
Cada sistema situado en su nivel de riesgo (P0–P6, taxonomía interna de Alethexis, no la nomenclatura del AI Act) con la lógica del AI Act —prácticas prohibidas y alto riesgo— documentada por la plataforma, caso a caso, con el criterio registrado.
La clasificación es la que activa el resto del producto: define qué controles aplican, si se activa la FRIA y qué obligaciones de transparencia hay. Se clasifica lo inventariado, así que cada sistema activo del inventario necesita su clasificación vigente.
La DPIA no la decide la clasificación: el criterio es el resultado del cribado del art. 35 RGPD registrado en la sección de DPIA. FRIA y DPIA son instrumentos independientes.
Para cada sistema, el asistente recorre seis pasos —uso, prácticas prohibidas, datos, contexto, autonomía, y transparencia y modelos de uso general— y el validador aplica después el orden de lo más grave a lo más leve: el primer nivel que aplica es el resultado. Las capacidades que marcaste en el inventario sugieren algunas respuestas: salen marcadas y puedes desmarcarlas.
La plataforma calcula la clasificación con un validador. Si tus respuestas sugieren una categoría pero una regla del Reglamento la reconduce —por ejemplo, una práctica prohibida lleva a P6—, el asistente te explica el motivo y prevalece el resultado del validador. Así se evitan clasificaciones optimistas.
Cada apartado del Art. 50 se etiqueta según el rol de tu organización en el sistema: los apartados 1 y 2 obligan al proveedor y los apartados 3 y 4 al responsable del despliegue. Solo un apartado que obliga a lo que tu organización es lleva a P3; el que obliga al otro sujeto queda como diligencia de verificación (IM) y no sube el nivel. El rol sale del sistema y, si no lo tiene, de la organización; si no consta en ninguno de los dos, no se presume: el sistema se mantiene en P3 y la sección queda en revisión.
La justificación se construye a partir de tus respuestas y puedes editarla antes de cerrar. Cuando el nivel deriva de un artículo del Reglamento de IA, el texto lo cita. Los niveles P1, P2 y P4 son reglas propias de Alethexis, un control interno metodológico, y el texto los rotula como «Clasificación Alethexis».
Al confirmar, se guarda una nueva versión y la anterior queda archivada, con traza de ambas. Si cambia una capacidad del sistema después de clasificarlo, la clasificación queda en revisión hasta que la repitas. Clasifican y cierran la sección el Owner y el AI Officer: al cerrarla, la declaración queda registrada con nombre, rol, fecha y la huella del contenido, y la etiqueta pasa a «Aprobación registrada».
Los controles del catálogo de Alethexis que esta funcionalidad ayuda a documentar, con su base legal cuando la tienen y su naturaleza.
Para cada sistema, persistir el razonamiento que conduce a la fase final (P1-P6): qué nodos del árbol se respondieron afirmativa o negativamente y por qué. Sin justificación trazable, una clasificación favorable no es defendible ante auditoría o autoridad.
Base legal
Sin base legal directa.
Determinar para cada sistema si la organización actúa como deployer, provider o both (Art.3.3 y Art.3.4). El diagnóstico condiciona qué obligaciones aplican y se persiste en el inventario para todos los flujos posteriores.
Base legal
Sin base legal directa.
Identificar en el inventario qué sistemas podrían caer en uno de los ocho puntos del Anexo III (biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, garantía del cumplimiento del Derecho, migración, administración de justicia y procesos democráticos). Es la antesala de la clasificación de riesgo (VIS-2).
Base legal
Sin base legal directa.
Datos del catálogo de controles. Las etiquetas indican la naturaleza normativa de cada control; no son una declaración de cumplimiento.