Si quien revisa solo firma lo que la IA propuso, la decisión puede considerarse automatizada. Eso rige desde 2018, y la AEPD lo recordó en octubre de 2026. Desde el 2 de diciembre de 2027, el Reglamento Europeo de IA exige además demostrarlo.
No accedo a su modelo. No entro a sus sistemas. Trabajo sobre una copia suya, bajo acuerdo de confidencialidad.
Beatriz López · Investigación publicada en SSRN · Partner para Uruguay del Laboratorio Episteme (Chile)
El Reglamento Europeo de Inteligencia Artificial exige supervisión humana efectiva sobre los sistemas de alto riesgo (crédito, seguros de vida y salud, selección de personal). Desde el Reglamento (UE) 2026/1744, esas obligaciones se aplican a partir del 2 de diciembre de 2027. La ley lo exige; todavía no hay una forma estándar de demostrarlo. La distancia entre el control que una organización declara y el que ejerce en la práctica es hoy invisible, y es exactamente la que un regulador o un tribunal preguntará primero.
Who Decides mide esa distancia sobre un despliegue concreto. No evalúa su modelo: observa si la persona que decide con él está decidiendo de verdad.
Hay una segunda pregunta, que el Reglamento también hace y para la que todavía no hay un método estándar: la persona que revisa, ¿sabría darse cuenta de un error si la máquina no le marcara dónde mirar? La norma exige supervisores con la competencia necesaria. No dice cómo se demuestra.
El otro se prueba mirando a una persona.
Once de los doce describen al sistema o a la organización que lo opera, y los dos se pueden inspeccionar: hay un expediente que leer, un registro que abrir, una métrica que calcular, una producción que observar.
La supervisión humana no es una propiedad del sistema: es la conducta de una persona a lo largo del tiempo. Por eso lo que hoy se presenta como prueba —la política, la formación, el organigrama— acredita lo que se instaló, no lo que ocurre.
Los doce requisitos, con los nombres que les da la Guía 16 · Manual de checklist de guías de requisitos, SEDIA, versión 1.1, 30 de junio de 2026. Reglamento (UE) 2024/1689, sección 2.
Nadie puede decir si supervisó. Cualquiera diría que sí. Lo que sí se puede mirar son los rastros que deja.
1 · Si cambia lo que la máquina propone.
No cuántas veces toca algo: cuántas veces da vuelta la decisión. Mover una coma no es supervisar. Y si nunca cambia nada, hay dos explicaciones posibles, y una de ellas es que dejó de mirar.
2 · Si tiene tiempo material de mirar.
El tiempo por caso no lo decide la persona: lo decide cuántos casos le tocan por hora. Cuando el volumen sube, el tiempo disponible baja, y por debajo de cierto punto el examen es imposible por aritmética, no por desgano. Esto no premia la lentitud: solo abre o cierra la puerta.
3 · Si acierta donde la máquina se equivoca.
Lo decisivo no es cuánto se aparta, es dónde. Quien supervisa de verdad se aparta donde el sistema falla; quien se aparta al azar hace ruido y queda igual de lejos del control que quien firma todo. Y hay una pregunta más: cuando se aparta, ¿su decisión sobrevive, o alguien la revierte después?
4 · Si sabe decidir sin la máquina.
Es el rastro que nadie mira, y el único que se mueve antes del incidente. Una persona puede seguir acertando con la propuesta delante mientras pierde la capacidad de ver sin ella: la salida le marca dónde mirar, y dejó de mirar donde no le marca. Se comprueba pidiéndole decidir casos reales sin ver lo que el sistema propuso, fuera de producción y sin que ninguna de esas decisiones afecte a nadie.
5 · Si al perjudicado le sirve reclamar.
No si existe un formulario. Qué proporción de las personas a las que les dijeron no efectivamente reclamó —si de diez mil rechazos reclamaron cuatro, el canal no existe aunque esté publicado—, y de las que reclamaron con razón, a cuántas les devolvieron algo en el mundo real y no en una pantalla que dice «resuelto».
Los cinco se leen juntos. Un rastro solo no dice nada. Se puede fingir el tiempo; no se fabrica una reparación que le tocó a alguien de verdad. Por eso lo que más pesa es lo que pasa cuando una decisión sale mal, que es la parte que la organización no controla sola.
La prueba de que una persona decidió es retrospectiva: no se generan registros de discrepancia de un trimestre que ya pasó. Cada mes sin medir es un mes que nunca va a poder documentar.
Cuando llegue la pregunta no va a ser qué hace ahora, sino qué hacía entonces.
Tres preguntas, 30 segundos. Al final verá qué parte de lo que le mostraría a un regulador es declaración y qué parte es huella, y si su caso encaja en el piloto.
Las organizaciones que encajen con el perfil reciben un diagnóstico de medibilidad sobre un despliegue suyo. Tres pasan además a la medición completa.
Puede marcar varias.
La distancia entre el control humano que declara y el que su operación muestra.
La ley. Hoy, el artículo 22 del RGPD: si quien revisa solo firma, la decisión puede considerarse automatizada. Desde el 2 de diciembre de 2027, el Reglamento Europeo de IA, con multas de hasta €15 millones o el 3 % de la facturación mundial.
Es el máximo previsto por la ley, no una estimación de multa.
Lo que ya se pagó. Earnest, US$ 2,5 millones, en un acuerdo con la fiscalía de Massachusetts, que sostuvo que su modelo de crédito perjudicaba a solicitantes por su origen.
Nadie llega al Mundial entrenando la semana anterior.
Sin entrar a sus sistemas, sabe qué parte de su supervisión se puede medir hoy. Y si su caso es uno de los tres seleccionados, cuánto mide su brecha.
Diagnóstico para quienes encajen · medición completa para tres · le escribo en 48 hLe falta convertirlo en una prueba que un regulador acepte. Es el caso ideal para el piloto: con sus registros, el diagnóstico de medibilidad es el primer paso y, si su caso es uno de los tres seleccionados, la medición puede estar lista en pocas semanas.
Sin costo, sin tocar su modelo y sin entrar a sus sistemas.
Diagnóstico para quienes encajen · medición completa para tres · selección personalLe escribo en las próximas 48 horas para coordinar una llamada breve.
Ya tiene fecha, y ya tiene precio.
Los reguladores y los tribunales ya no preguntan si hubo IA, sino si un humano decidió. Esa es la pregunta que mido.
| Lo que ya tiene | Qué prueba | Qué no prueba |
|---|---|---|
| Política de gobernanza de IA | Que lo declararon | Si se opera así |
| Evaluación de impacto | Que evaluaron el riesgo antes de encender | Qué pasó después |
| Test de sesgo | Que la salida no discrimina estadísticamente | Si el revisor corrigió cuando debía |
| Formación y certificados | Que asistieron a un curso | Si aplican criterio al decidir |
| Red teaming | Que el modelo resiste ataques | Nada sobre el humano |
Todo esto mide la máquina o el papel. Ninguno mide a la persona. No compito con ninguno de ellos: los necesito a todos llenando la columna que yo no mido.
El programa tiene dos niveles. Las organizaciones que encajen con el perfil reciben un diagnóstico de medibilidad sobre un despliegue concreto suyo: para cada dimensión, si con sus registros actuales se puede medir, si falta instrumentar algo, o si no hay datos suficientes. De entre ellas selecciono tres para la medición completa de su brecha. Yo selecciono los casos: no es un servicio que se contrata, es un programa al que se postula. Ni el diagnóstico ni la medición tienen costo en esta cohorte, porque su función es calibrar el instrumento; a partir de la siguiente, el trabajo pasa a ser un servicio contratado.
Pensado para quien responde por el riesgo, el cumplimiento o la supervisión de la IA en su organización, dirija un área grande o sea usted quien lleva ese tema.
Los registros llegan sin nombres ni datos de contacto: cada persona aparece como un código que solo su organización puede relacionar. Como esa correspondencia sigue existiendo de su lado, el dato se trata como dato personal y no como dato anónimo, y queda cubierto por el acuerdo de tratamiento que se firma antes de empezar. La seudonimización la realiza su organización antes de entregar nada, y los campos exactos quedan fijados por escrito antes de empezar.
Son registros históricos que ya están en sus sistemas. No hay que construir ni preparar nada nuevo: es una copia de algo que ya existe.
No me conecto a su infraestructura ni a su modelo. Usted envía una copia; yo trabajo sobre ella, fuera de sus sistemas.
Una persona de contacto con nombre y el extracto de registros dentro del plazo que acordemos. Si no llega, su lugar en la cohorte pasa a la siguiente organización. No es rigidez: los casos de una cohorte avanzan juntos.
Para decidir una muestra de casos sin ver la recomendación del sistema. Se hace fuera de sus sistemas, sobre casos seudonimizados de sus propios registros. Los resultados no se usan para evaluar a nadie individualmente: es condición del piloto.
Sé que lo difícil no es querer el piloto, sino aprobarlo adentro. Después de la primera llamada recibe un kit listo para su DPO, seguridad de la información y jurídico: el modelo de acuerdo de confidencialidad mutuo, la lista exacta de campos que se piden y cómo se seudonimizan antes de salir de su organización.
Lo que le pido es fácil, seguro y acotado. No toco su modelo. Todo lo que reciba queda bajo acuerdo de confidencialidad mutuo.
Uruguay cuenta con decisión de adecuación de la Comisión Europea —Decisión 2012/484/UE, de 21 de agosto de 2012, confirmada en el informe de la Comisión del 15 de enero de 2024—, de modo que la transferencia no requiere cláusulas contractuales tipo ni evaluación de impacto de transferencia.
Antes de cualquier medición recibe un diagnóstico de medibilidad: para cada dimensión, si con sus registros actuales se puede medir, si falta instrumentar algo concreto, o si no hay datos suficientes. Un resultado posible es que hoy su despliegue no se pueda medir, y eso también es un hallazgo: es el que ninguna autoevaluación produce, porque para encontrarlo hay que mirar los registros y no el procedimiento.
Para las tres organizaciones seleccionadas, una medición de cuán lejos está su control humano declarado del que ejerce en la práctica, sobre un despliegue concreto. Es la evidencia que el artículo 22 del RGPD ya presupone y que el Reglamento Europeo de IA, desde diciembre de 2027, le va a obligar a poder demostrar de alguna forma. Hoy no la tiene.
En su advertencia de octubre de 2026 sobre una herramienta de cribado de candidaturas, la Agencia Española de Protección de Datos señaló que conviene registrar las discrepancias entre la propuesta del sistema y la decisión del revisor, porque su ausencia puede indicar dependencia práctica de la puntuación. Eso es exactamente lo que produce esta medición.
De forma opcional, el piloto incluye una prueba breve que muestra qué detectan sus revisores sin la salida del sistema a la vista. Es la evidencia más cercana a la competencia que exige el artículo 26.2 del Reglamento: un curso o un certificado acreditan formación; esta prueba muestra conducta.
El vaciamiento del control tiene una firma: la anulación cae mientras el volumen sube y el examen se acorta. Medir una vez le da una foto; volver a medir le muestra hacia dónde va. Es el único punto de esta lista que le sirve aunque ningún regulador le pregunte nunca.
El programa es gratuito: usted aporta el campo de prueba. Para el diagnóstico de medibilidad pido dos cosas: una persona de datos con nombre y el extracto de registros en el plazo que acordemos. Para las tres organizaciones que pasan a la medición completa se suma una tercera: una reunión de cierre con quien decide. Recibe el reconocimiento por haber participado, que no es un resultado de la medición. Aparecer públicamente como organización del piloto es decisión suya: no uso su nombre sin su permiso. Y al estar en la cohorte de calibración, los cortes del instrumento se fijan con casos como el suyo.
Se postula. Responde tres preguntas. Ve su resultado al instante y, si quiere, deja sus datos. No compromete a nada.
Conversamos. Le escribo y tenemos una llamada breve donde le explico cómo funciona y respondo sus dudas. Sin costo, sin compromiso.
Firmamos la confidencialidad. Si ambos seguimos, firmamos un acuerdo mutuo: usted protege sus datos, yo protejo mi método.
Me envía la planilla. Una copia seudonimizada de casos históricos que ya tiene. Nada más: ni acceso a sus sistemas, ni nombres, ni su modelo.
Recibe el diagnóstico de medibilidad. Le digo, para cada dimensión, si con sus registros actuales se puede medir, si falta instrumentar algo concreto o si no hay datos suficientes. Un resultado posible es que hoy su despliegue no se pueda medir: eso también es un hallazgo, y es el que ninguna autoevaluación produce.
Si los registros lo permiten y su caso es uno de los tres seleccionados, recibe la medición de su brecha. Entre dos y cuatro semanas desde el diagnóstico. El piloto no tiene costo.
Si participa de la prueba opcional, le propongo repetirla entre tres y seis meses después. Un solo corte muestra cómo está hoy el criterio de sus revisores; dos cortes muestran si se conserva o se está perdiendo. Esta prueba es nueva y todavía no tiene resultados publicados: por eso forma parte del programa piloto.
Who Decides es un instrumento de investigación independiente que mide la supervisión humana de la IA, desarrollado sobre trabajo publicado en gobernanza de IA y biología del conocer. Lo conduzco personalmente.
El instrumento se apoya en investigación publicada, no en una ocurrencia.
Lea los papers que fundamentan este trabajo en humanning.com →