Políticas del Sistema de Gestión

Mafer AI, S.L. dispone de un sistema de gestión integrado (SGI) que reúne la seguridad de la información y la gobernanza de la inteligencia artificial, conforme a ISO/IEC 27001:2022 e ISO/IEC 42001:2023. En esta página publicamos, para su libre consulta por clientes, socios, personal y demás partes interesadas, los extractos principales de las políticas que rigen dicho sistema.

Para cualquier consulta sobre estas políticas puede escribirnos a través de nuestra página de contacto. Las incidencias o preocupaciones sobre nuestros sistemas de IA pueden notificarse en etica@mafer.ai.

Política del sistema de gestión

Versión 1 · 16/04/2026

Compromiso y objetivos del sistema de gestión

Mafer AI, S.L. adopta un enfoque integrado que reúne en un único sistema de gestión los compromisos de seguridad de la información y de gobernanza de la inteligencia artificial, alineados con la dirección estratégica de la organización y con las expectativas de sus clientes del sector de la química especializada, socios tecnológicos, personal y demás partes interesadas.

La Alta Dirección reconoce que la información constituye un activo esencial para la operación de la plataforma SaaS y para la confianza que depositan las empresas de fragancias, aromas, cosmética, pinturas, agroquímica, cuidado personal, alimentación y bebidas que conforman su mercado de referencia. En consecuencia, la organización se compromete a preservar la confidencialidad, la integridad y la disponibilidad de toda la información gestionada, adoptando un enfoque basado en el riesgo que permita identificar, evaluar y tratar las amenazas de manera proporcional a su impacto potencial.

La organización asume el compromiso de satisfacer los requisitos legales, reglamentarios y contractuales aplicables a su actividad, incluyendo los derivados del Reglamento (UE) 2016/679 en materia de protección de datos personales y del Reglamento (UE) 2024/1689 en lo relativo a los sistemas de inteligencia artificial. Este compromiso abarca igualmente los requisitos que Mafer AI, S.L. se impone voluntariamente y los establecidos por las normas de referencia del SGI.

Mafer AI, S.L. promueve la mejora continua como principio rector del SGI. La organización evalúa periódicamente la eficacia de sus políticas, procesos y controles mediante la revisión por la dirección, las auditorías internas y el análisis de indicadores, identificando oportunidades de mejora y adaptando el sistema a la evolución de su contexto operativo, tecnológico y normativo.

La presente política proporciona el marco para el establecimiento de los objetivos del SGI, que abarcan tanto la seguridad de la información como la gobernanza de la inteligencia artificial. Dichos objetivos se definen en términos medibles, se comunican a los niveles pertinentes de la organización y se revisan al menos una vez al año en el marco de la revisión por la dirección.

Coherencia entre las políticas del SGI

La organización reconoce que la seguridad de la información, la gestión de la inteligencia artificial y la protección de datos personales son ámbitos con intersecciones significativas que exigen un tratamiento coordinado. Para evitar contradicciones y reforzar la eficacia del SGI, Mafer AI, S.L. fomenta la alineación entre la Política de seguridad de la información, la Política sobre inteligencia artificial y la Política del sistema de privacidad, revisándolas de manera conjunta cuando se detecten cambios en el contexto organizativo, en los requisitos aplicables o en la dirección estratégica.

En cada revisión por la dirección, el Responsable del Sistema de Gestión identifica las áreas en las que los objetivos relativos a los sistemas de inteligencia artificial influyen en las políticas de seguridad y de protección de datos, y viceversa, promoviendo las actualizaciones necesarias para mantener la coherencia del marco documental. Este esfuerzo de integración permite a la organización gestionar de manera unitaria los riesgos transversales y responder con solidez a las expectativas de sus partes interesadas.

Comunicación de la política

La presente política se pone en conocimiento de todo el personal de la organización y se incorpora al plan de formación y sensibilización, de forma que cada integrante del equipo comprenda su relevancia para sus funciones. La organización la hace accesible asimismo a las partes interesadas externas mediante su publicación en el sitio web institucional, garantizando su libre consulta. Toda actualización se difunde a través de los canales de comunicación aprobados y se gestiona como información documentada del SGI.

Compromisos específicos sobre inteligencia artificial

Mafer AI, S.L. integra en su política del SGI compromisos diferenciados relativos al desarrollo, la provisión y el uso responsable de los sistemas de inteligencia artificial, en consonancia con los principios de ISO/IEC 42001:2023 y con las obligaciones derivadas del Reglamento (UE) 2024/1689.

La organización persigue que sus sistemas de inteligencia artificial operen bajo un marco ético sólido, sustentado en los siguientes principios:

Supervisión humana: ninguna decisión significativa recae exclusivamente en un proceso automatizado; los resultados de la IA constituyen una entrada para la valoración de una persona, no un veredicto definitivo.
Transparencia: las personas que interactúan con un sistema de IA son informadas de ello, y las invocaciones a modelos se registran para garantizar la trazabilidad.
Equidad y no discriminación: los sistemas de IA no se emplean para evaluar, puntuar ni clasificar a personas, y aquellos con potencial impacto sobre individuos o grupos se someten a una evaluación antes de su puesta en producción.
Privacidad desde el diseño y por defecto: el tratamiento de datos personales en el contexto de la IA se minimiza, seudonimiza o anonimiza siempre que resulte viable.
Seguridad y robustez: se aplican controles específicos frente a amenazas propias del ámbito de la inteligencia artificial, incluyendo la contaminación de datos, la extracción de modelos y la inyección de instrucciones maliciosas.

La organización fomenta asimismo la alfabetización en inteligencia artificial entre todo su personal, dotándolo de la formación necesaria para comprender las capacidades y las limitaciones de los sistemas empleados.

Estos compromisos se concretan y desarrollan en la Política sobre inteligencia artificial, que establece las directrices detalladas, los usos prohibidos, los roles del sistema de gestión de IA y las condiciones para la autorización de sistemas en producción. Ambas políticas se revisan de manera coordinada para garantizar su coherencia mutua y su alineación con el marco normativo aplicable.

Política de seguridad de la información

Versión 1 · 16/04/2026

Objetivos de seguridad de la información

Mafer AI establece objetivos de seguridad de la información compatibles con su dirección estratégica y con el contexto en el que opera. Estos objetivos son medibles, se comunican a todas las funciones pertinentes y se revisan al menos con carácter anual en el marco de la revisión por la dirección.

La organización persigue los siguientes compromisos estratégicos:

Preservar la confidencialidad, integridad y disponibilidad de la información gestionada en la plataforma SaaS y en los sistemas internos, adoptando un enfoque basado en el riesgo que priorice la protección de los datos técnicos de los clientes del sector químico especializado.
Cumplir los requisitos legales, regulatorios y contractuales aplicables, con especial atención a las obligaciones derivadas del RGPD, de ISO/IEC 27001:2022, de ISO/IEC 42001:2023 y de SOC 2, así como a los compromisos de seguridad formalizados con los clientes.
Fortalecer la resiliencia operativa de la infraestructura en la nube y de los servicios críticos, asegurando niveles de disponibilidad alineados con los objetivos de punto de recuperación y tiempo de recuperación definidos por la organización.
Promover la concienciación y la competencia de todo el personal en materia de seguridad de la información, privacidad y uso responsable de la inteligencia artificial, mediante actividades de formación periódicas.
Reducir la exposición a amenazas mediante la identificación, evaluación y tratamiento sistemático de los riesgos de seguridad de la información, incluidos los riesgos específicos asociados a los sistemas de IA y a la cadena de suministro tecnológica.
Impulsar la mejora continua del SGI a través de la medición de indicadores, la realización de auditorías internas, el análisis de incidentes y la revisión periódica de las políticas y los controles.

El Responsable del Sistema de Gestión realiza el seguimiento de estos objetivos mediante los indicadores del sistema de gestión y presenta los resultados a la Alta Dirección para su evaluación y para la adopción de las acciones oportunas.

Principios fundamentales de seguridad de la información

Mafer AI fundamenta su enfoque de seguridad de la información en un conjunto de principios que orientan la totalidad de sus políticas, procedimientos y controles, y que la Alta Dirección promueve como parte integral de la cultura organizativa.

Enfoque basado en el riesgo. La organización adopta una gestión proactiva de la seguridad sustentada en la identificación, evaluación y tratamiento de los riesgos y oportunidades que afectan a sus activos de información. El análisis de riesgos considera tanto los riesgos generales del sistema de gestión como los riesgos específicos de seguridad de la información y de los sistemas de IA, y se actualiza ante cambios significativos en el contexto interno o externo. Los riesgos cuyo nivel supera el umbral de aceptación definido por la organización reciben un plan de tratamiento con medidas proporcionadas a su probabilidad e impacto.
Responsabilidad compartida. Toda persona que accede a la información o a los sistemas de Mafer AI asume la responsabilidad de proteger los activos que utiliza. La Alta Dirección establece las funciones y las obligaciones de seguridad, las comunica de forma clara y se asegura de que cada rol comprenda su contribución a la protección de la información. El Código de conducta refuerza este compromiso vinculando la conducta ética a la adhesión a las políticas de seguridad de la información.
Confidencialidad, integridad y disponibilidad. Mafer AI orienta sus controles a preservar simultáneamente estas tres propiedades. La información se clasifica según su sensibilidad, y los niveles de protección para el tratamiento, la transmisión y la conservación se ajustan a dicha clasificación. Los acuerdos de confidencialidad con empleados y terceros extienden este principio a las relaciones externas.
Control de acceso. La organización otorga acceso a la información y a los sistemas conforme al principio de mínimo privilegio y al control basado en roles. Cada usuario dispone exclusivamente de los permisos necesarios para el desempeño de sus funciones, y los derechos de acceso se revisan periódicamente para detectar y corregir desviaciones.
Protección de datos personales. Mafer AI integra los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación e integridad y confidencialidad en el tratamiento de los datos personales. La organización opera como responsable del tratamiento y adopta las medidas técnicas y organizativas necesarias para demostrar el cumplimiento de estas obligaciones, de acuerdo con su Política del sistema de privacidad. Los plazos de conservación y los criterios de eliminación segura de los datos se rigen por su política de conservación y eliminación de información.
Seguridad en los sistemas de IA. Los sistemas de inteligencia artificial de la organización se someten a los mismos controles de seguridad que el resto de la plataforma, incluyendo cifrado, control de acceso, registro de eventos y segregación de entornos. Además, se aplican controles específicos para prevenir amenazas propias de la IA, como la inyección de prompts, la extracción de modelos y la contaminación de datos. La Política sobre inteligencia artificial desarrolla los principios de supervisión humana, transparencia, no discriminación, privacidad por diseño y control de proveedores de modelos.
Gestión de incidentes. La organización dispone de mecanismos que permiten a todo el personal notificar con prontitud los eventos de seguridad de la información observados o sospechados. El procedimiento de gestión de incidentes regula las fases de detección, clasificación, contención, erradicación y recuperación, así como la notificación a las autoridades competentes y a los clientes dentro de los plazos establecidos.
Uso aceptable de la información y los recursos. Mafer AI define normas claras para el uso de la información y de los recursos tecnológicos corporativos, que todo el personal y los colaboradores externos están obligados a conocer y a cumplir. Estas normas abarcan la asignación formal de activos, las reglas de escritorio y pantalla despejados, y las condiciones para el uso de herramientas de IA generativa.
Cifrado. La organización protege la información en reposo y en tránsito mediante estándares criptográficos reconocidos, con criterios definidos para la selección de algoritmos y el ciclo de vida de las claves criptográficas.
Alineación con otras políticas organizativas. La presente política se articula con la Política sobre inteligencia artificial, la Política del sistema de privacidad y la Política del sistema de gestión, de manera que los objetivos de seguridad, privacidad e IA responsable se revisen de forma coordinada y las disposiciones de cada política resulten coherentes entre sí.
Mejora continua. Mafer AI fomenta la mejora continua del SGI a través de la revisión por la dirección, las auditorías internas, el análisis de indicadores, el tratamiento de no conformidades y la retroalimentación obtenida de los incidentes y de las evaluaciones de riesgos.

Protección de activos fuera de las instalaciones

Mafer AI reconoce que sus activos de información se utilizan con frecuencia fuera de las instalaciones de la organización, dado que el equipo opera en régimen de trabajo remoto y desde espacios de coworking. La organización se compromete a extender sus controles de seguridad a todos los escenarios de uso externo, garantizando que la protección de la información permanezca alineada con la clasificación de cada activo y con el enfoque basado en el riesgo del SGI.

Se consideran activos fuera de las instalaciones, entre otros, los portátiles corporativos utilizados en trabajo remoto o en desplazamiento, los dispositivos móviles, los soportes de almacenamiento extraíbles entregados a consultores o proveedores, y la documentación transportada por necesidades operativas.

La organización establece los siguientes compromisos:

Custodia y responsabilidad: cada activo fuera de las instalaciones permanece bajo la responsabilidad de la persona asignataria, quien vela por que no quede desatendido en vehículos, transporte público, zonas comunes de hoteles o espacios de coworking. En desplazamientos, los activos se custodian en lugares cerrados con llave o en la caja fuerte de la estructura de alojamiento.
Protección técnica de los dispositivos: todos los portátiles corporativos disponen de cifrado de disco completo y bloqueo automático, así como de capacidad de borrado remoto para su activación en caso de pérdida o robo.
Transporte seguro: los activos de información se transportan en custodia personal. No se admite su envío mediante correo postal ordinario ni su depósito en compartimentos de equipaje no supervisados. Las entregas a terceros se realizan a través de medios rastreables.
Notificación de incidentes: el personal comunica de inmediato al Responsable del Sistema de Gestión cualquier extravío, robo o daño de un activo fuera de las instalaciones. La notificación activa los mecanismos de bloqueo remoto del dispositivo, la revocación de accesos y el cambio de credenciales, y el evento se registra y gestiona como incidente de seguridad de la información.
Restitución: al concluir el proyecto, el desplazamiento o la relación laboral, los activos se devuelven a la organización mediante un registro formal que documenta la entrega y la recepción.

Política sobre inteligencia artificial

Versión 1 · 16/04/2026

Principios éticos

Mafer AI funda su enfoque de la inteligencia artificial en un conjunto de principios éticos que orientan todas las actividades de diseño, desarrollo, provisión y uso de sus sistemas de IA. Estos principios reflejan los valores de la organización y se aplican de manera transversal a todo el ciclo de vida de cada sistema.

Supervisión humana: la organización garantiza que toda decisión relevante apoyada o generada por un sistema de IA quede sujeta a supervisión humana significativa. Los operadores humanos conservan la capacidad de intervenir, corregir o anular los resultados del sistema cuando las circunstancias lo requieran, de modo que ninguna decisión con impacto sobre personas se adopte de forma exclusivamente automatizada. La modalidad de supervisión humana de cada sistema consta en el registro interno de sistemas de IA autorizados.
Transparencia: Mafer AI informa a las personas de que están interactuando con un sistema de IA cuando así lo exige el artículo 50 del Reglamento (UE) 2024/1689. Además, proporciona a usuarios, clientes y demás partes interesadas la información necesaria sobre la finalidad, las capacidades, las limitaciones y la forma de reportar problemas de cada sistema. El nivel de detalle se adapta al perfil del destinatario (usuario directo, cliente B2B o autoridad supervisora). La organización comunica asimismo a las partes interesadas pertinentes los incidentes de IA que les afecten.
Equidad y no discriminación: los sistemas de IA se diseñan, desarrollan y operan evitando sesgos injustificados que puedan generar discriminación hacia individuos o grupos. La organización evalúa activamente los riesgos de sesgo, tanto en los datos de entrada como en los resultados producidos, y adopta medidas correctivas cuando detecta desviaciones.
Privacidad por diseño y por defecto: la protección de los datos personales se integra desde las fases más tempranas del ciclo de vida de cada sistema de IA. Las configuraciones predeterminadas adoptan el nivel de protección más elevado y aplican los principios de minimización de datos, limitación de la finalidad y proporcionalidad en el tratamiento. Siempre que sea posible, los datos personales tratados por sistemas de IA se seudonimizan o anonimizan. Su tratamiento se rige por la Política del sistema de privacidad y por el Reglamento (UE) 2016/679.
Seguridad y robustez: los sistemas de IA se someten a los mismos controles de seguridad que el resto de la plataforma, complementados con controles específicos frente a amenazas propias del aprendizaje automático, como la inyección de indicaciones, la extracción de modelos y el envenenamiento de datos. La organización persigue la resiliencia de sus sistemas frente a entradas anómalas, cambios en el contexto operativo e intentos de manipulación adversaria.
Trazabilidad: la organización determina y mantiene el registro de eventos de sus sistemas de IA, como mínimo durante su uso. Toda invocación de un modelo pasa por una pasarela propietaria de IA (gateway), que la registra con su contexto. Las intervenciones humanas que corrigen o anulan la salida de un sistema se registran como eventos. Las decisiones de diseño, desarrollo y despliegue se conservan como información documentada. Estos registros permiten auditar el funcionamiento de cada sistema, analizar incidentes y demostrar la supervisión humana a lo largo de todo el ciclo de vida.
Rendición de cuentas: Mafer AI asume la responsabilidad de los resultados generados o respaldados por sus sistemas de IA, tanto frente a sus clientes como frente a las autoridades competentes. Las decisiones de diseño, despliegue y operación se documentan de forma que puedan explicarse y justificarse ante cualquier parte interesada.

Compromisos de la alta dirección

La alta dirección de Mafer AI, S.L. impulsa y respalda activamente el sistema de gestión de la IA (AIMS) y asume la responsabilidad última de su eficacia. Para ello, integra los requisitos del sistema de gestión de la IA en los procesos de negocio de la organización, de modo que las consideraciones de seguridad, privacidad y ética se incorporen desde la planificación estratégica hasta la operación diaria de la plataforma SaaS. La estructura de gobernanza articula tres niveles de decisión (estratégico, operativo y técnico) que permiten una gestión ágil sin comprometer la separación de funciones.

Este compromiso se traduce en la asignación de los recursos humanos, tecnológicos y financieros que el AIMS exige: infraestructuras de cómputo en la nube, herramientas de monitorización del desempeño de los modelos y programas de formación especializada. Al mismo tiempo, Mafer AI promueve una cultura de inteligencia artificial responsable a todos los niveles. Fomenta la alfabetización en IA de todo el personal y la concienciación sobre los riesgos e implicaciones éticas de los sistemas de IA, en consonancia con el Código de Conducta de la organización.

La organización vela por el cumplimiento del marco normativo aplicable, en particular ISO/IEC 42001:2023, el Reglamento (UE) 2024/1689 y el Reglamento (UE) 2016/679, así como de los compromisos contractuales asumidos con los clientes. La alta dirección sostiene los roles de gobernanza de IA establecidos y los flujos de reporte asociados. El Responsable del Sistema de Gestión de IA presenta, al menos en cada revisión por la dirección, un informe que cubre:

el estado global del AIMS;
los indicadores de desempeño de los sistemas de IA;
los incidentes registrados;
los resultados de las evaluaciones de impacto;
el progreso de los objetivos de IA;
la retroalimentación de las partes interesadas.

Mafer AI se compromete a realizar evaluaciones de impacto de los sistemas de IA a intervalos planificados y antes de cualquier cambio significativo. En ellas documenta las posibles consecuencias para individuos, grupos y la sociedad, y emplea los resultados como entrada para la gestión de riesgos de IA. En su condición de proveedora B2B, la organización considera asimismo las expectativas y necesidades de sus clientes. Les proporciona información adecuada sobre el funcionamiento, los límites del ámbito de uso y los riesgos de los sistemas de IA suministrados, de modo que cada cliente pueda gestionar los riesgos correspondientes en su propio contexto.

La alta dirección garantiza la coherencia de esta política con las demás políticas del SGI (seguridad de la información, privacidad, Código de Conducta y sistema de gestión) y revisa sus contenidos de forma coordinada para preservar un enfoque integrado. La organización impulsa la mejora continua del AIMS a través de la revisión por la dirección, las auditorías internas, el análisis de indicadores y el tratamiento de no conformidades y oportunidades de mejora.

Sistemas de IA y clasificación de riesgo

Los sistemas de IA de Mafer AI están inventariados en un registro interno de sistemas de IA autorizados y clasificados conforme al Reglamento (UE) 2024/1689. Su relación actualizada, incluidas las herramientas de IA de terceros autorizadas, consta en dicho registro.

Mafer AI actúa como proveedora de estos sistemas y como responsable del despliegue (deployer) de los modelos de lenguaje subyacentes. Estos modelos los suministran terceros y se accede a ellos exclusivamente a través de la pasarela de IA (gateway), mediante la API del proveedor o AWS Bedrock.

Todos los sistemas están clasificados como de riesgo mínimo conforme al Reglamento (UE) 2024/1689: ninguno está comprendido en el Anexo III ni constituye un componente de seguridad de un producto del Anexo I. En consecuencia, no les son aplicables las obligaciones del Capítulo III (sistemas de alto riesgo). Sí les son aplicables las obligaciones de transparencia del artículo 50 y el deber de alfabetización en IA del artículo 4.

La clasificación es un control vivo. Se revisa al menos una vez al año y, de inmediato, ante la introducción de un sistema nuevo, un cambio de finalidad o la publicación por la Comisión Europea de las directrices previstas en el artículo 6.

Marco de objetivos de IA

La presente política proporciona el marco para definir objetivos de IA medibles, coherentes con la estrategia empresarial de Mafer AI y con los principios éticos aquí establecidos. Los objetivos se fijan en los niveles y las funciones pertinentes de la organización y cumplen los siguientes criterios:

Son coherentes con esta política de IA y con las demás políticas del SGI.
Son medibles a través de indicadores cuantitativos con metas explícitas.
Tienen en cuenta los requisitos legales, normativos y contractuales aplicables.
Se supervisan trimestralmente mediante los indicadores del sistema de gestión.
Se comunican al personal pertinente y se actualizan cuando las circunstancias lo exigen.
Están disponibles como información documentada.

Para cada objetivo la organización determina las acciones necesarias, los recursos requeridos, los responsables, los plazos de cumplimiento y los criterios de evaluación de resultados.

En el ámbito del desarrollo responsable, los objetivos de IA orientan los procesos de diseño y despliegue de los sistemas. Incorporan metas de precisión de los modelos, cobertura de las evaluaciones de riesgos e impacto, ausencia de incidentes graves y competencia técnica del personal. El procedimiento de desarrollo seguro integra estas metas en las etapas del ciclo de vida, desde la concepción del sistema hasta su monitorización en producción.

Límites de desarrollo, provisión y uso

Mafer AI se compromete a no desarrollar, proveer ni utilizar sistemas de inteligencia artificial en los siguientes supuestos:

Prácticas expresamente prohibidas por el Reglamento (UE) 2024/1689, incluidos los sistemas clasificados como de riesgo inaceptable.
Aplicaciones que vulneren los derechos fundamentales de las personas, ya sea de forma directa o por efecto acumulativo de sus resultados.
Usos destinados a la manipulación encubierta de la conducta humana, la vigilancia masiva no autorizada o la evaluación de la credibilidad social de individuos.
Sistemas clasificados como de alto riesgo que carezcan de supervisión humana significativa. Actualmente ningún sistema de IA de la organización está clasificado como de alto riesgo.

Con independencia de su clasificación de riesgo, la IA no se utiliza en Mafer AI para evaluar, puntuar, comparar o clasificar candidatos en procesos de selección de personal. La selección la realizan personas: las candidaturas se revisan manualmente y toda decisión de contratación es humana. En un contexto de selección, el uso de un asistente de propósito general se limita a tareas auxiliares que no expresan un juicio sobre una persona, por ejemplo resumir o traducir un documento, aclarar terminología o redactar correspondencia. Esta regla mantiene a todos los sistemas fuera del punto 4(a) del Anexo III del Reglamento (UE) 2024/1689.

Quedan igualmente prohibidos:

el uso de un sistema de IA fuera de su finalidad prevista y de sus casos de uso permitidos;
el acceso de un cliente (tenant) a datos de otro a través de un sistema de IA;
la puesta en producción o el uso de un sistema de IA no registrado o no autorizado conforme a la gobernanza del AIMS.

Cada sistema tiene además un caso de uso prohibido explícito:

Cumplimentación de cuestionarios: enviar al cliente una respuesta de cuestionario generada sin revisión humana previa.
Flowcharts de fabricación: usar el flowchart generado como fuente única para declaraciones de conformidad o decisiones de seguridad.
Clasificación y extracción de documentos: desplegar una regla de extracción propuesta por el sistema sin verificarla contra el corpus de regresión.
Resumen de correos: disparar acciones automáticas sobre el correo a partir del resumen o la categorización sin intervención humana.

La organización reconoce que su condición de proveedora de servicios de IA para el sector B2B conlleva la responsabilidad de comunicar con claridad el ámbito de uso válido de cada sistema, los riesgos identificados y las condiciones bajo las cuales el cliente asume la responsabilidad del uso del servicio. Mafer AI proporciona a sus clientes documentación técnica adecuada y mantiene canales de asistencia, de modo que los clientes puedan gestionar los riesgos correspondientes en su propio entorno operativo.

Ciclo de vida y gestión del cambio

Un sistema de IA solo entra en producción después de estar inventariado y autorizado, con su finalidad, sus casos de uso permitidos y prohibidos y su modalidad de supervisión humana definidos. Los cambios sobre un sistema en producción (nueva finalidad, nuevo tratamiento de datos personales o cambio de modelo con impacto funcional) se gestionan mediante el procedimiento de gestión del cambio y, cuando corresponde, dan lugar a una nueva evaluación de impacto y a la revisión de la clasificación de riesgo.

Los prompts y las configuraciones de modelo se mantienen en un catálogo versionado con capacidad de rollback. Así, la instrucción dada a un modelo es un artefacto controlado y no una cadena dispersa en el código.

Gestión de proveedores de IA

Los modelos de lenguaje de terceros se consumen exclusivamente a través de la pasarela de IA y quedan sujetos a esta política. La relación con los proveedores se rige por sus condiciones contractuales, verificadas en el proceso de gestión de compras y terceros (notificación de incidencias, documentación técnica y prohibición de entrenar con los datos de la organización), y por la evaluación de proveedores del AIMS. Ningún módulo de cara al cliente invoca directamente el SDK de un proveedor de modelos. Esta regla de arquitectura se verifica en integración continua.

Formación y competencia (alfabetización en IA)

Conforme al artículo 4 del Reglamento (UE) 2024/1689, todo el personal recibe formación anual de concienciación sobre IA. Esta formación cubre qué es la IA, los principios éticos, esta política y los usos permitidos y prohibidos. El personal que desarrolla u opera sistemas de IA recibe además formación especializada.

Transparencia hacia las personas usuarias

Cuando un sistema de IA interactúa directamente con una persona (actualmente, el asistente de chat), se le informa, conforme al artículo 50 del Reglamento (UE) 2024/1689, de que está interactuando con IA, de la finalidad del sistema, de sus límites y de cómo reportar un problema. El asistente de chat dispone de un aviso permanente y de un panel «Acerca de este asistente», activos en todos los entornos, incluido producción.

Notificación de incidencias y preocupaciones sobre IA

Cualquier persona, interna o externa, puede notificar una incidencia, un mal funcionamiento, un incumplimiento de esta política o una preocupación ética sobre un sistema de IA a través del Canal Ético de la organización (etica@mafer.ai). El canal está abierto a terceros, permite comunicaciones anónimas y garantiza la confidencialidad y la protección frente a represalias conforme a la Directiva (UE) 2019/1937 y a la Ley 2/2023. Las comunicaciones se gestionan según lo establecido en el Canal Ético y en el Código de Conducta.