Política de inteligencia artificial
Junio 2025
1. Declaración de la política de inteligencia artificial
El presente documento tiene por objeto establecer la política de inteligencia artificial para Inconcert, en base a los requisitos dispuestos en el estándar de inteligencia artificial ISO 42001:2023, asegurando el desempeño responsable de su función con respecto a los sistemas de Inteligencia Artificial y garantizando el cumplimiento de todas las obligaciones legales aplicables a nivel corporativo y en los entornos cloud de Inconcert.
Inconcert adopta los principios de transparencia, equidad, seguridad, explicabilidad, supervisión humana, trazabilidad, respeto a la privacidad y responsabilidad, tal como se detallan en el IA-POL-02 Manual de Políticas SGIA, capítulo 2.3. Esta Política se compromete a cumplirlos y revisarlos de manera periódica.
2. Objetivo de la política
Se establecen los objetivos de la política de inteligencia artificial de Inconcert:
- Proporcionar un marco para guiar todas las actividades de Inconcert relacionadas con la Inteligencia Artificial.
- Brindar mecanismos de aseguramiento de cumplimiento de la regulación vigente en Inteligencia Artificial de Inconcert.
- Gestionar los riesgos e impactos derivados del desarrollo de sistemas de Inteligencia Artificial en Inconcert.
- Mitigar los incidentes relativos a sistemas de Inteligencia Artificial en Inconcert.
3. Alcance de la política
Por su carácter de política general es de obligado conocimiento y cumplimiento por parte de todas las áreas de la compañía, tanto en sus relaciones internas como con otras organizaciones.
Esta política abarca todas las sociedades que forman parte del grupo Inconcert Holdings S.L. (en adelante Inconcert) para el desarrollo de sus actividades.
4. Organización y responsabilidades
Definir y asignar claramente las responsabilidades en inteligencia artificial a cada área y rol dentro de Inconcert para asegurar una adecuada gestión, protección y continuidad del desarrollo y uso de sistemas de Inteligencia Artificial.
La función de Inteligencia Artificial se establece bajo las siguientes estructuras:
- Estructura de Supervisión: Se encarga de verificar la correcta implantación y operación de los requisitos de inteligencia artificial que se hayan establecido, de cara a mantener la alineación con los objetivos y de cumplir con las normas y legislación aplicable.
a. La La Dirección General
b. Comité de Inteligencia Artificial
c. Responsable del Sistema de Gestión de Inteligencia Artificial - SGIA Mana
- Estructura de Operación: La estructura de operación de inteligencia artificial debe asumir la administración operativa de los sistemas de inteligencia artificial, implantando en dichos sistemas las medidas necesarias para satisfacer los requisitos de inteligencia artificial establecidos por la estructura de supervisión.
a. Chief Information Officer
b. Chief Data Governance Officer
c. Chief Information Security Officer (CISO)
d. Chief Technology Officer (CTO)
e. AI Manager
f. Director de Infraestructura
g. Todos los colaboradores
h. Director de Cumplimiento - Auditor Interno
5. Objetivos de inteligencia artificial
Con el objetivo de contribuir a minimizar y controlar los riesgos de la Organización, se definirán una serie de objetivos reales y medibles.
Dichos objetivos deberán ser medidos y revisados al menos anualmente con el fin de encontrarse alineados con la estrategia de Inconcert.
6. Aplicación de la política
6.1 Planificación
Las actuaciones por llevar a cabo para cumplir con la declaración de la política de inteligencia artificial pasan por la implantación, operación y mantenimiento de un SGIA, que en todo momento está alineado con esta política.
Inconcert aplica un enfoque basado en riesgo para todo el ciclo de vida de sus sistemas de IA. La identificación, evaluación, tratamiento y seguimiento de riesgos se realiza conforme al IA-PRO-01 “Proceso de Evaluación y Tratamiento de Riesgos SGIA”. Los riesgos que excedan el umbral de aceptación definido por la Dirección se elevan al Comité de IA antes de su implementación.
6.2 Implantación
La implantación del SGIA es responsabilidad principal del responsable de inteligencia artificial (o responsable del SGIA) apoyado en todo momento por personal técnico y con el total apoyo de la Dirección.
En base a los resultados obtenidos en la fase de planificación se implantan determinados controles de inteligencia artificial, además de operar los procedimientos del SGIA para dar cumplimiento a las exigencias del estándar ISO / IEC 42001.
6.3 Revisión
La política de inteligencia artificial y el SGIA son revisados regularmente a intervalos planificados o antes si ocurren cambios significativos para asegurar la continua idoneidad, eficacia y efectividad de esta. De forma genérica son revisados anualmente junto con los procesos de auditoría interna del SGIA.
Existen procedimientos de monitorización que aportan información sobre el correcto desempeño del SGIA.
La Dirección también juega un importante papel en la revisión del sistema, realizando un profundo análisis del sistema y encontrando posibles mejoras y deficiencias.
Con todos estos datos de entrada, se realiza una revisión global de la política por parte del comité de inteligencia artificial.
6.4 Mejoras
Las posibles mejoras de la política de inteligencia artificial y del SGIA son establecidas bien durante las fases de revisión o bien en base a aportaciones que se consideren interesantes tanto de personal de Inconcert como de personal externo.
Dichas mejoras son evaluadas y una vez estudiada su viabilidad, son implementadas, operadas y mantenidas.
Todo el SGIA se enmarca en el ciclo de Deming (ciclo PDCA), basado en la planificación de actividades, su implantación y operación, su revisión y su posterior mejora. Todo ello aplicado a la inteligencia artificial.
6.5 Recursos necesarios para SGIA
La organización determina y proporciona los recursos necesarios para el establecimiento, implementación, mantenimiento y mejora continua del sistema de gestión de IA. Estos recursos se componen de recursos humanos, donde la dirección está compuesta por tres roles fundamentalmente: CIO, CISO, AI Manager y el equipo de desarrollo de los sistemas de inteligencia artificial.
7. Cumplimiento normativo
Se evitará cualquier tipo de incumplimiento de las leyes u obligaciones legales, reglamentarias o contractuales y de los requisitos de inteligencia artificial de Inconcert.
Inconcert tiene el compromiso de velar por el cumplimiento de la legislación vigente derivada de la inteligencia artificial considerando su objeto, razón social y finalidad de negocio, así como por razón de los servicios de tecnologías de la información que presta o pudiera prestar.
Se identificarán los requerimientos de las leyes aplicables en inteligencia artificial y se establecerán los mecanismos y medidas adecuadas y razonables para su cumplimiento.
Se velará en todo momento por el cumplimiento de normas de rango superior (leyes, normas y disposiciones legales) que sean de aplicación por la naturaleza y objeto de negocio, teniendo prevalencia, cuando apliquen, sobre las directrices contenidas en esta Política de Inteligencia Artificial e incluso sobre requerimientos de Clientes asociados a la
prestación de servicios contratados.
8. Formación y concienciación
Se asegurará que todos los empleados, contratistas y los terceros, que forman parte del ciclo de vida de los sistemas de inteligencia artificial entienden sus responsabilidades respecto a la inteligencia artificial y son adecuados para llevar a cabo las funciones que les corresponden, así como para reducir el riesgo de robo, fraude, suplantación de identidad o de uso indebido de los recursos puestos a su disposición.
Se asegurará que todos los empleados, contratistas y los terceros cuando abandonen la organización o cambien de puesto de trabajo lo hagan de forma ordenada y sin comprometer la seguridad de esta.
9. Partes interesadas
Inconcert vela por que las responsabilidades dentro del ciclo de vida de su sistema de inteligencia artificial se asignan entre Inconcert, sus clientes, proveedores, empleados y terceros.
Cuando Inconcert utilice servicios o maneje información de terceros, les hará partícipes de
esta Política de Inteligencia Artificial. El Comité de Inteligencia Artificial establecerá canales para reporte y establecerá procedimientos de actuación para la reacción ante incidentes de inteligencia artificial.
Cuando Inconcert preste servicios a otros organismos o ceda información a terceros, les hará partícipe de esta Política de Inteligencia Artificial y de las Instrucciones y Procedimientos que atañan a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias.
Los detalles relativos al alcance de la responsabilidad compartida entre las partes interesadas se encuentran en la documentación interna del Sistema de Gestión de Inteligencia Artificial de Inconcert.
10. Gestión de incidencias
Toda incidencia en materia de inteligencia artificial deberá comunicarse siguiendo el procedimiento establecido. Dicha notificación será realizada a través de JIRA en el proyecto de soporte. Una vez recibida, el Comité de Inteligencia Artificial será el encargado de darle seguimiento, completar las notificaciones establecidas en el procedimiento correspondiente, establecer las acciones para su corrección y comunicar al usuario la resolución o estado de esta.
11. Gestión de la continuidad de negocio
Inconcert dispondrá de los mecanismos adecuados que garanticen la disponibilidad de la tecnología de inteligencia artificial para que esta pueda ser utilizada cuando sea necesario en actividades asociadas a asegurar la continuidad de negocio, en aquellos términos y condiciones que se consideren.
12. Desarrollo de la política de inteligencia artificial
Esta Política de Inteligencia Artificial se desarrollará mediante la elaboración de otras políticas o normativas de seguridad que aborden aspectos específicos de acuerdo con lo definido en la norma ISO 42001. A raíz de dichas políticas y normativas se podrán desarrollar procedimientos, instrucciones o registros que describan con mayor detalle la forma de llevarlas a cabo.
Esta política se alinea y no contradice las políticas corporativas de seguridad, privacidad y ESG vigentes.
13. Auditoría
El sistema de gestión de inteligencia artificial (SGIA), de manera total o parcial se someterán anualmente a auditorías internas y externas con la finalidad de verificar su correcto funcionamiento, determinando grados de cumplimiento y recomendando medidas correctoras para una mejora continua.
14. Vigencia, revisión y aprobación
La Política de Inteligencia Artificial entrará en vigor desde el mismo día de su publicación. Esta política deberá ser revisada al menos una vez al año.
Política Aprobada por la Dirección de Inconcert Holdings S.L. el 05 de junio de 2025.
