Compromisos
Carta de IA responsable
Esta carta compromete a MYSTIC. Forma parte del marco contractual de nuestras prestaciones, y nos remitimos a ella para rechazar determinados proyectos.
Por qué esta carta
Construir sistemas de IA para empresas equivale a desplazar decisiones que antes tomaban personas. Eso merece algo más que una declaración de intenciones al final de una propuesta comercial.
Esta carta dice lo que hacemos, lo que no hacemos y cómo lo comprobamos. Es oponible: está anexa a nuestras condiciones generales.
Nuestros ocho compromisos
- Transparencia. Todo usuario que interactúa con un sistema que hemos construido sabe que se dirige a una máquina. No diseñamos interfaces que mantengan la duda.
- Supervisión humana. Cada sistema incorpora un umbral de confianza por debajo del cual el control vuelve a una persona, junto con el motivo del escalado.
- Ningún entrenamiento con tus datos. Los datos de nuestros clientes nunca sirven para entrenar ni afinar un modelo, ni para nosotros ni para un tercero.
- Minimización. Solo enviamos al modelo los datos necesarios para la tarea, y preferimos sistemáticamente la seudonimización cuando no altera el resultado.
- Medición antes del despliegue. Ningún sistema pasa a producción sin conjunto de evaluación, sin medición de su tasa de error y sin examen de sus diferencias de rendimiento según las poblaciones afectadas.
- Trazabilidad. Cada decisión automatizada conserva su contexto, sus fuentes y su puntuación de confianza, durante el plazo acordado con el cliente.
- Seguridad. Tratamos la inyección de prompts, la exfiltración de datos por el modelo y el abuso de herramientas como riesgos de arquitectura, no como incidentes improbables.
- Sobriedad. Dimensionamos el modelo según la necesidad real. El modelo más grande disponible rara vez es la elección correcta, ni económica ni ecológicamente.
Calificación según el Reglamento de IA
El Reglamento (UE) 2024/1689 — llamado «Reglamento de IA» o «AI Act» — clasifica los sistemas de IA por nivel de riesgo y asocia obligaciones a cada nivel. Calificamos cada proyecto desde el encuadre, y esa calificación queda escrita en el presupuesto.
| Nivel de riesgo | Lo que impone el reglamento | Nuestra práctica |
|---|---|---|
| Riesgo inaceptable | Prácticas prohibidas en la Unión | Rechazamos el proyecto. Ver la lista más abajo. |
| Alto riesgo | Sistema de gestión de riesgos, gobernanza de los datos, documentación técnica, registro de actividad, supervisión humana, robustez, evaluación de la conformidad | Acompañamos al cliente en la elaboración del expediente y producimos la documentación técnica y los registros exigidos. El cliente sigue siendo el proveedor o el responsable del despliegue en el sentido del reglamento. |
| Riesgo limitado | Obligación de transparencia: informar a la persona de que interactúa con una IA, marcar los contenidos generados | Aplicado por defecto en todos nuestros sistemas, incluso cuando no se exige. |
| Riesgo mínimo | Ninguna obligación específica | Aplicamos igualmente nuestros ocho compromisos. |
Lo que nos negamos a construir
Esta lista no es negociable. Recoge las prácticas prohibidas por el Reglamento de IA y añade nuestros propios límites.
- los sistemas de puntuación social de las personas por una autoridad o una empresa;
- el reconocimiento de emociones en el lugar de trabajo o en la enseñanza;
- la identificación biométrica remota en tiempo real en el espacio público;
- la categorización biométrica destinada a deducir el origen, las opiniones políticas, las convicciones religiosas o la orientación sexual;
- las técnicas manipuladoras o subliminales, y la explotación de la vulnerabilidad de una persona ligada a su edad, su discapacidad o su situación social;
- la policía predictiva basada en el perfilado individual;
- la extracción no selectiva de imágenes faciales para constituir bases de reconocimiento;
- los contenidos sintéticos no señalados destinados a hacer pasar una máquina por un humano identificable, o a engañar sobre la autenticidad de un hecho;
- las decisiones de contratación, despido, crédito o acceso a una atención sanitaria tomadas sin intervención humana efectiva y sin vía de reclamación.
Transparencia hacia los usuarios
En concreto, en los sistemas que entregamos:
- la interfaz indica explícitamente que un agente automático atiende la solicitud;
- los contenidos producidos por un modelo son identificables como tales, y se marcan de forma legible por una máquina cuando es técnicamente posible;
- las respuestas procedentes de una base documental citan sus fuentes, y el sistema prefiere no responder antes que inventar cuando la fuente no existe;
- siempre hay un medio accesible para contactar con una persona, sin recorridos disuasorios.
Datos y entrenamiento
Tus datos no sirven para entrenar ningún modelo. Cuando utilizamos interfaces de programación de terceros, activamos las opciones contractuales que excluyen la reutilización de los datos para el entrenamiento, y verificamos esa exclusión antes de pasar a producción.
Para los datos que consideras sensibles, proponemos el despliegue de modelos abiertos autoalojados, en tu nube o en un proveedor europeo, sin ninguna salida de datos. La elección del modelo es un arbitraje documentado entre rendimiento, coste y confidencialidad, que te presentamos en el encuadre en lugar de decidirlo por ti.
El marco jurídico de estos tratamientos se describe en nuestra política de privacidad: tú eres el responsable del tratamiento, nosotros el encargado.
Supervisión humana y vía de reclamación
Un sistema automático se equivoca. La cuestión, por tanto, no es evitarlo sino prever qué ocurre después.
- Tres modos de funcionamiento por playbook — sugerencia, validación humana requerida, ejecución autónoma — elegidos por ti, escenario por escenario;
- umbral de confianza explícito: por debajo del umbral, la acción no se ejecuta y pasa a un operador con el motivo;
- registro consultable de todas las decisiones, con posibilidad de revertir una acción automatizada;
- vía de reclamación para la persona afectada, documentada en el manual de explotación entregado a tus equipos.
Sobriedad
La inferencia tiene un coste económico y ambiental medible. Nuestras prácticas:
- dimensionar el modelo según la tarea — un modelo pequeño especializado supera a menudo a un gran modelo generalista, por una fracción del coste;
- almacenar en caché lo que es estable, y no relanzar un procesamiento idéntico;
- medir el coste por tarea y mostrarlo en la consola de supervisión;
- preferir, a igualdad de rendimiento, el alojamiento en una región de baja intensidad de carbono.
No publicamos ninguna cifra de huella: solo lo haremos cuando el método de cálculo esté documentado y sea reproducible. Una estimación no verificable sería contraria al espíritu de esta carta.
Gobernanza de esta carta
Esta carta se revisa al menos una vez al año, y en cada evolución significativa del marco normativo europeo. La asume el editor del sitio, que responde directamente de ella. Se designará nominalmente a un responsable en el momento de la inscripción de la sociedad.
Si consideras que un sistema que hemos construido no respeta estos compromisos, escríbenos a contact@mysticlab.org. Nos comprometemos a instruir el aviso y a responderte de forma motivada.
Versión 1.0 de la carta, publicada el 23 de septiembre de 2026.