Paso 7
Cómo lo demuestras: evidencias, aprobaciones e informe
Al acabar tendrás un expediente de evidencias ordenado, cada decisión con su aprobación registrada y un informe de estado fechado.
Qué es este paso
Los pasos anteriores producen documentos: la designación del responsable, el inventario, el criterio de rol, el registro de clasificación, los expedientes de proveedor, la política con sus acuses y el registro de medidas de alfabetización. Este paso los reúne, los ordena y los hace demostrables: que se pueda saber qué se decidió, quién lo decidió, cuándo y que el documento no ha cambiado desde entonces.
Es la diferencia entre una checklist y una evidencia. La checklist dice qué falta. La evidencia dice qué hiciste, con fecha y autor, y aguanta una pregunta incómoda dentro de un año, cuando nadie recuerda por qué un sistema quedó clasificado como quedó.
Aquí no termina el trabajo: empieza su mantenimiento, y lo que viene después va por dos vías distintas. La evaluación de impacto relativa a la protección de datos (DPIA) la exige el Art. 35 del RGPD cuando el tratamiento lo requiere, sea cual sea la clasificación del sistema con arreglo al Reglamento (UE) 2024/1689. La evaluación de impacto relativa a los derechos fundamentales (FRIA) llega desde el 2 de diciembre de 2027, y solo si tu organización entra en el perímetro del Art. 27.1. Son instrumentos independientes entre sí, y ninguno sustituye al otro.
Por qué
Para los datos personales, demostrar no es opcional. El Art. 5.2 del RGPD hace al responsable del tratamiento responsable del cumplimiento de los principios del apartado 1 y le exige ser capaz de demostrarlo: es la responsabilidad proactiva, una obligación legal con mandato explícito que alcanza a todo sistema de IA que trate datos personales.
La forma del expediente —categorías, vínculos, aprobaciones registradas, informe periódico— es un control interno metodológico, no un formato que fije una norma. Lo justifica la práctica: una decisión sin fecha ni autor no se puede revisar, y una decisión que no se puede revisar no se puede defender ante un cliente, un auditor o una autoridad.
Sobre la FRIA, el perímetro es estrecho y conviene leerlo antes de darla por necesaria o por descartada: el Art. 27.1 la exige a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y a los de sistemas del anexo III, punto 5, letras b) y c), siempre sobre sistemas de alto riesgo del Art. 6, apartado 2, y con excepción del anexo III, punto 2.
La huella de integridad SHA-256 permite comprobar que un documento no ha cambiado desde que se registró. No identifica a quien lo emitió ni sustituye a una revisión jurídica: dice que el fichero es el mismo, no que su contenido sea correcto.
Cómo, en tres acciones
Reúne cada documento en un solo sitio, con categoría y vínculo
Por cada documento de los pasos anteriores, una entrada: título, categoría, fecha, el sistema o el paso al que corresponde y hasta cuándo se conserva. Los contratos de encargo y la documentación de los proveedores, los acuses de la política, los registros de formación. La vinculación es la que hace la evidencia localizable después; un fichero sin vínculo es un fichero más.
Registra la aprobación de cada decisión y guarda su huella
Las decisiones que importan —la clasificación de un sistema, la política, qué hacer con un proveedor que no contestó— llevan su aprobación registrada: quién, con qué rol y cuándo. Cada PDF se guarda con su huella de integridad SHA-256 registrada, para que cualquiera pueda calcularla de nuevo y comprobar que el fichero no se ha modificado. Las versiones anteriores no se borran: se conservan.
Emite un informe de estado y repítelo con fecha fija
Cierra el día 30 con un informe fechado: qué aplica según la clasificación de tus sistemas, desde cuándo y qué queda pendiente de registrar o revisar. Sin porcentajes ni notas globales: refleja el estado registrado, no una calificación. Repítelo con una cadencia fija, por ejemplo trimestral, y compara cada informe con el anterior.
El error típico
Confundir tener los documentos con poder demostrarlos.
Una carpeta compartida con todo dentro no responde a las preguntas que importan: qué versión estaba vigente en una fecha, quién decidió la clasificación de un sistema, si el PDF que enseñas es el mismo que se registró. Sin fecha, autor y huella, cada documento depende de que alguien recuerde su historia. Se evita registrando la decisión en el momento en que se toma, no reconstruyéndola el día que alguien la pide.
La plantilla
Un expediente de evidencias cumplimentado de ejemplo, con datos ficticios: seis evidencias de un sistema de alto riesgo de una clínica dental, con su conservación y la huella de integridad de cada PDF. Sirve de modelo de cómo se ve un expediente que responde a esas preguntas.
Expediente de evidencias, cumplimentadoTiempo estimado
Dos o tres días entre los días 25 y 30 para reunir y ordenar lo producido, y después continuo: cada decisión nueva se registra cuando se toma, y el informe de estado se repite con la cadencia que fijes.
Qué te llevas
El expediente de evidencias, con cada documento categorizado y vinculado, sus aprobaciones registradas y sus PDF con huella, y el primer informe de estado fechado.
Así se hace en Alethexis
En Alethexis, Evidencias reúne en un repositorio único los registros de formación, los contratos, la documentación de los proveedores y los documentos que genera la propia plataforma, cada uno con su categoría, sus vínculos y su fecha de retención, y el registro de auditoría guarda cada acción con su autor, su fecha y una huella de integridad SHA-256 encadenada con la anterior, verificada cada día.
El informe de estado reúne en una página qué aplica según la clasificación de tus sistemas, desde cuándo y qué falta por registrar o revisar, en un PDF con huella; con M1 tienes desde el primer día lo necesario para los pasos 1 a 7: el inventario, la clasificación, la política con sus acuses, los proveedores y las evidencias.
Una checklist te dice qué falta. La evidencia demuestra qué hiciste.
Prueba gratis 14 días