Sistemas IA de alto riesgo en Chile: árbol de decisión para tu empresa

El primer nivel agrupa sistemas que el proyecto considera incompatibles con derechos fundamentales y, por tanto, prohíbe. La adopción voluntaria en PyMEs es muy improbable, pero conviene conocer la categoría porque algunos casos límite aparecen en plataformas adquiridas o en SaaS con IA embebida.

Tipos de sistema que entran en este nivel según la versión del proyecto:

• Manipulación subliminal o explotación de vulnerabilidades para causar daño.
• Social scoring gubernamental que clasifica personas para acceso a servicios.
• Categorización biométrica de personas en espacios públicos sin base legal específica.
• Identificación biométrica remota en tiempo real en espacios accesibles al público (con excepciones acotadas).

Acción operativa: revisar el inventario de sistemas IA (especialmente plataformas SaaS adquiridas) para confirmar que ninguno cae aquí. Si alguno sí, suspender de inmediato y escalar al Comité de Gobernanza.

Sistemas que interactúan con personas (chatbots, agentes) o que generan contenido susceptible de ser percibido como humano. La obligación central es transparencia: la persona debe saber que está interactuando con un sistema de IA.

Ejemplos típicos:

• Agente WhatsApp de atención al cliente.
• Generador de respuestas a correos antes de envío humano.
• Asistente que sugiere texto a un colaborador para que lo edite y firme.
• Generadores de imagen, audio o video con potencial de confusión sobre su origen.

Obligaciones operativas: informar al usuario que interactúa con IA, ofrecer un mecanismo accesible para solicitar intervención humana, supervisión humana proporcional al volumen y criticidad, logging básico para auditoría. DPIA recomendada si procesa datos sensibles aunque no obligatoria por nivel.

Esta versión condensada del árbol Cognitiva permite clasificar un sistema en menos de 5 minutos. No reemplaza asesoría legal especializada para casos límite, pero sirve para el grueso del inventario.

1. ¿El sistema cae en alguno de los usos prohibidos del Nivel 1 (manipulación subliminal, social scoring, biometría remota sin base legal)? Si sí → Inaceptable. Suspender. Si no, sigue.
2. ¿El sistema toma o asiste decisiones sobre personas que afectan sus derechos, acceso a servicios o condiciones contractuales (crédito, contratación, salud, educación, pricing individualizado)? Si sí → Alto riesgo. DPIA + supervisión humana + registro. Si no, sigue.
3. ¿El sistema interactúa directamente con personas naturales (clientes, postulantes, pacientes) o genera contenido susceptible de ser percibido como humano? Si sí → Limitado. Transparencia + supervisión proporcional. Si no, sigue.
4. ¿El sistema procesa, almacena o transmite datos personales? Si sí → Nivel 4 + Ley 21.719 aplica. Inventariar y aplicar controles de protección de datos. Si no, sigue.
5. ¿El sistema podría amplificar sesgos o generar daño reputacional por uso indebido? Si sí → Controles voluntarios recomendables. Si no → Nivel 4, monitoreo mínimo.

Aplicar el árbol a cada sistema del inventario y registrar el nivel asignado en la matriz Cognitiva (disponible como recurso descargable).

Encontrar un sistema en Nivel 2 no es motivo para suspenderlo. Es motivo para aplicar las obligaciones graduadas. Plan operativo en 4 pasos:

1. Documentar el sistema (descripción técnica, datos, lógica de decisión, métricas) y archivar.
2. Iniciar la DPIA: identificar riesgos para derechos del titular, medidas de mitigación, riesgo residual.
3. Activar supervisión humana en la decisión: humano en el bucle de aprobación o derivación.
4. Notificar al titular cuando se aplique la decisión y explicar derechos (acceso, oposición, revisión humana).

Las plantillas para cada paso están disponibles como recursos descargables vinculados a este artículo.