Cumplimiento de IA
Las empresas de IA enfrentan una versión específica de la Directiva UE sobre denunciantes: equipos de investigación globales, personal multilingüe y apuestas de reputación más altas que en la mayoría de sectores. Le ofrecemos un canal que cumple la Directiva 2019/1937, se adapta a cómo trabajan realmente los equipos de IA y supera un cuestionario de due diligence de adquisición real.
10 min
Del registro a un canal de denuncia operativo.
17
Idiomas para equipos de investigación globales. Entrada de voz, sin sitio separado por idioma.
0
Grabaciones de audio almacenadas. El audio se transcribe en el navegador y luego se elimina. Nunca lo vemos.
E2E
Cifrado de extremo a extremo. El denunciante tiene la clave. No podemos leer el contenido.
Resumen
La Directiva europea sobre denunciantes 2019/1937 se aplica a toda entidad jurídica con 50 o más empleados que opere en la UE, sea cual sea el sector. Las empresas de IA alcanzan ese umbral pronto —a menudo en la Serie A— y, en cuanto venden a clientes corporativos, el requisito se refuerza con cuestionarios de diligencia debida que exigen un canal de denuncia interno documentado. El Reglamento de IA (Reglamento (UE) 2024/1689) no exige por sí mismo un canal de denuncias, pero sí obliga a los proveedores de IA de uso general a disponer de mecanismos internos de reclamación para cuestiones de derechos fundamentales. Un único canal cubre ambas obligaciones sin duplicar trabajo operativo.
Qué se aplica a usted
La mayoría de las empresas de IA con las que trabajamos navegan por dos regímenes de cumplimiento en paralelo. Esto es lo que exige realmente la ley y dónde encaja nuestro canal.
Canales internos de denuncia para entidades jurídicas con 50 o más empleados. Acuse de recibo en siete días, respuesta en tres meses y prohibición de represalias. La ley de cada Estado miembro (por ejemplo, la HinSchG en Alemania o la loi Sapin II en Francia) añade particularidades locales.
Los proveedores de IA de uso general deben permitir reclamaciones sobre derechos fundamentales. Nuestro canal interno las dirige al equipo adecuado sin cambiar el flujo de datos.
Los clientes corporativos incluyen de forma sistemática una pregunta del tipo «describa su canal interno de denuncia» en sus cuestionarios de seguridad de proveedores. Responder «escríbanos un correo» ya no es una respuesta válida en 2026.
Las obligaciones contra las represalias se aplican a la empresa de IA en cuanto se presenta una denuncia. Una admisión documentada y el historial de casos son la mejor defensa del empleador ante cualquier disputa posterior.
Las empresas de IA que buscan estas certificaciones necesitan un proceso documentado y auditable de adquisición y gestión de casos. Nuestro registro de eventos por caso con marcas de tiempo y usuarios activos es el rastro de auditoría que respalda estos requisitos — no es toda la auditoría, pero es la parte mejor probada.
Por qué Ashio para IA
La razón por la que la mayoría de las empresas de IA nos eligen frente a una herramienta de tickets genérica o un apaño con un canal de Slack.
Los investigadores de IA y los responsables de seguridad suelen trabajar en equipos multilingües. Los denunciantes pueden dictar su denuncia en cualquiera de los 17 idiomas. El servidor solo ve el texto.
Cada caso recibe una URL única que el denunciante puede usar para hacer seguimiento de forma anónima. Sin inicio de sesión, sin cuenta y sin fricción. El mismo modelo con el que Linear y Notion comparten incidencias.
El denunciante cifra la denuncia en el navegador con una clave que solo él posee. Su responsable de seguridad descifra. Nosotros no podemos leer el contenido.
Incluso por debajo del umbral de 50 empleados de la directiva, un canal interno documentado le ayuda a superar los cuestionarios de due diligence de adquisición. Muchos de nuestros clientes con menos de 50 personas lo despliegan antes de la Serie A para la auditoría SOC 2, o porque su primer cliente empresarial lo pidió en el cuestionario de seguridad del proveedor.
Las denuncias pueden asignarse automáticamente a su responsable de seguridad, su DPO o su responsable de cumplimiento según la categoría. Sin triaje manual.
La lista de casos filtra por categoría — sesgo del modelo, privacidad de datos, integridad de evaluación y otros. Cada informe lleva su categoría desde el envío, para que su responsable de seguridad extraiga solo los relevantes.
Lista de verificación de cumplimiento
Una lista de preparación para empresas de IA a punto de firmar un contrato que exige un canal de denuncia documentado.
La mayoría de los cuestionarios de compras lo exigen como requisito estricto. Una URL activa con un enlace de acceso único por caso es la respuesta estándar.
La Directiva exige dar respuesta al denunciante en un plazo de siete días. Lo garantizamos con un plazo por caso visible para cada administrador desde el primer día.
La Directiva también exige informar sobre cómo se tramitó la denuncia en un plazo de tres meses. Nuestro estado de caso lo cubre de serie.
La Directiva prohíbe las represalias contra el denunciante. Sus registros de contratación, retribución y asignación deben ser defendibles. El registro de casos es la fuente de verdad para ello.
Si tiene personal en varios países de la UE, la transposición local puede añadir requisitos adicionales. Nuestro sistema de locales asocia cada país a su ley específica.
FAQ
No, no directamente. El Reglamento de IA (Reglamento 2024/1689) obliga a los proveedores de IA de uso general a permitir reclamaciones sobre derechos fundamentales conforme al artículo 86. El canal de denuncias lo exige la Directiva 2019/1937, independiente, que se aplica a entidades jurídicas con 50 o más empleados. La mayoría de las empresas de IA con las que trabajamos operan el único canal interno que satisface ambas: las obligaciones legales son complementarias, no redundantes.
No por la Directiva europea 2019/1937. Pero si vende a clientes corporativos, los cuestionarios SOC 2 / ISO 27001 que usan la mayoría de los grandes compradores preguntarán «¿tiene un canal interno de denuncia?». Responder «no» es cada vez más excluyente. El coste de una prueba gratuita de 14 días es muy inferior a perder una operación por esa pregunta.
Sí. La admisión es una URL pública: los denunciantes pueden presentar su denuncia desde cualquier navegador, cualquier país y en cualquiera de los 17 idiomas. El panel es una aplicación web normal. No hay nada que instalar en el dispositivo del denunciante ni en su infraestructura.
Nuestro papel son la admisión y el registro de casos. La protección real frente a represalias (derecho laboral, investigaciones de RR. HH.) es responsabilidad suya. Lo que sí aportamos es un registro defendible: cada caso tiene un registro de eventos completo con marcas de tiempo y usuario actuante, de modo que cualquier alegación posterior de represalias puede cotejarse con la cronología del caso.
Sí. Puede definir un destinatario predeterminado por categoría de caso, de modo que las denuncias sobre sesgo de modelo, privacidad de datos o integridad de evaluaciones lleguen directamente a la persona adecuada. También se admite la revisión en varias fases (triaje inicial y luego escalado).
Sí. La Directiva UE sobre denunciantes (Artículo 10(2)(b)) enumera explícitamente las "instalaciones de voz a texto" como canal conforme. Nuestra entrada de voz transcribe en el navegador del denunciante y luego elimina el audio. El servidor solo ve el texto resultante.
Dentro de los 7 días posteriores a la recepción. La Directiva UE 2019/1937 (Artículo 7) requiere un acuse de recibo en 7 días y una respuesta sobre el resultado en 3 meses. Nuestra plataforma aplica ambos plazos como temporizadores visibles por caso.
La mayoría de las auditorías SOC 2 buscan tres cosas: (1) una captación documentada con una URL accesible, (2) un SLA de acuse de recibo con marcas de tiempo, y (3) un registro a prueba de manipulaciones de quién manejó el caso. Tenemos las tres como parte del producto estándar.
Para el sector privado, la directiva se aplica a entidades jurídicas con 50+ trabajadores. Para el sector público, se aplica a todas las entidades con 10+ trabajadores municipales y a todos los organismos gubernamentales independientemente de su tamaño.
Lecturas relacionadas
Inicie una prueba gratuita de 14 días. El cumplimiento está incluido, el registro de auditoría está incluido y el cifrado está incluido.