Datos y gobernanza en la IA de alto riesgo: el artículo 10 del Reglamento explicado por la guía 7

Un sistema de inteligencia artificial es tan bueno como los datos con los que se ha entrenado. El Reglamento europeo de IA lo traduce en obligaciones concretas para los sistemas de alto riesgo en su artículo 10, y la Guía 7, «Datos y gobernanza del dato», del piloto español de sandbox regulatorio, las explica con medidas prácticas.

La guía figura como obra del Ministerio para la Transformación Digital y de la Función Pública. Su versión 2.0 es de 17 de julio de 2026 y se adapta al Ómnibus Digital; la 1.0 es de 10 de diciembre de 2025. Como el resto de guías del sandbox, no es vinculante ni sustituye ni desarrolla la normativa.

Ya resumimos otras dos guías de la serie: la de transparencia de la IA de alto riesgo y la de casos prácticos de alto riesgo.

Lo que dice el artículo 10, según la guía

El cambio del Ómnibus: los datos sensibles

La guía explica que el apartado 5 del artículo 10 ha sido suprimido por el Ómnibus Digital, y que el tratamiento de categorías especiales de datos personales para detectar y corregir sesgos pasa al nuevo artículo 4 bis del Reglamento.

Según la guía, ese artículo permite tratarlas de forma excepcional, con garantías: anonimización o seudonimización, limitación del acceso, supresión una vez corregido el sesgo y constancia en el registro de actividades de tratamiento.

Para un despacho que asesora en protección de datos, el cambio es relevante: tratar datos sensibles para corregir sesgos tiene ahora una base específica en el Reglamento de IA, pero sujeta a condiciones estrictas y sin dejar de aplicar el Reglamento general de protección de datos, como recuerda la propia guía.

Quién está obligado

• El proveedor es el destinatario principal de las medidas.
• El responsable del despliegue no tiene requisitos específicos en el artículo 10, según la guía. Pero si participa en el desarrollo o se encarga de los datos de entrenamiento o prueba, debe aplicar las medidas del proveedor. Y si controla los datos de entrada, el artículo 26.4 le obliga a asegurar que sean pertinentes para la finalidad prevista.

Las medidas que propone

1. Definir los requisitos de información: qué datos necesita el sistema.
2. Recopilar de varias fuentes, para evitar dependencias y sesgos, y fijar una fuente de verdad con el propietario del dato.
3. Controlar la calidad: completitud, consistencia, representatividad.
4. Preparar los datos: homogeneizar formatos, muestrear, seleccionar características y etiquetar, con vigilancia humana en el etiquetado automático.
5. Analizar los sesgos. La guía subraya que el sesgo no es necesariamente un error, sino un desequilibrio que hay que evaluar en su contexto.
6. Controlar el acceso y las versiones de los datos y documentar su procedencia y la presencia de datos personales.
7. Gestionar la eliminación de los datos.
8. Anonimizar siempre que sea posible; si eso impide detectar sesgos, seudonimizar y justificarlo.
9. Documentar las medidas, su aplicación y su responsable.
10. Usar el cuestionario de autoevaluación asociado a la guía.

Utilidad para los abogados

En la contratación. Las medidas de la guía son una buena lista de preguntas para el proveedor de un sistema de alto riesgo: de dónde vienen los datos, cómo se ha controlado su calidad y qué se ha hecho con los sesgos.

En los litigios. Cuando una decisión apoyada en un sistema de IA perjudica a una persona, la calidad de los datos es una de las primeras cuestiones a examinar. Encaja con las reglas de la Ley 15/2022 sobre discriminación algorítmica, que explicamos en el análisis de su artículo 23.

Más análisis en IA jurídica.