Documentación y trazabilidad para el Reglamento Europeo de IA

Cada paquete lleva un manifiesto reproduce.json: las tres semillas (datos, partición, inicialización de pesos), las tres cuentas de épocas — declaradas, topadas y realmente corridas—, cada artefacto con su sha256, el entorno (python, plataforma, paquetes, backend y dispositivo) y cada métrica atada a la huella del conjunto de datos sobre el que se midió. El esquema viaja con él —field_types, field_ranges, excluded_identifiers— y cuando los datos salieron de una receta el registro dice sintéticos declarados en vez de colarlos como observados. Para trabajo clínico, matrixai report --tripod escribe la ficha TRIPOD+AI (BMJ, 2024; 27 apartados) con lo que la ejecución ya había registrado.

El anexo IV documenta un sistema; MatrixAI documenta un modelo. La finalidad prevista, el hardware, la interfaz, las medidas de vigilancia humana, el sistema de gestión de riesgos del art. 9 y el plan de vigilancia del art. 72 los escribes tú — en un anexo IV de verdad, la mayoría de las páginas. Y el Digital Omnibus modificó el art. 11, apdo. 1, para que las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización puedan aportar los elementos del anexo IV de forma simplificada, en un formulario que la Comisión debe establecer: un camino a través del papeleo, no uno que lo rodee.

MatrixAI registra los eventos de construcción y evaluación. Un recibo se emite cuando algo corre de verdad —una tubería, una evaluación— y una simulación no emite ninguno y dice por qué, porque un papel que no describe nada acaba leyéndose como prueba de que algo pasó. Los recibos se pueden firmar, comparar entre sí y volver a comprobar por quien los recibe.

Este es el artículo que MatrixAI cubre menos, y eso va delante y no al final. El art. 12 trata de que el sistema desplegado registre su propio funcionamiento, en producción, a lo largo de su vida. MatrixAI no hace eso: sus recibos cuentan cómo llegó a existir el modelo y qué puntuó sobre un conjunto de datos fijo, no lo que hizo después con tráfico real. Ese registro lo construyes tú, y leer «recibos» como «logs» sería el malentendido más caro que ofrece esta página.

La declaración del apdo. 3 es la parte que aquí tiene una respuesta real. MatrixAI no publica nunca una métrica sin la huella de los datos sobre los que se midió, su dirección y su tolerancia — «94 %» sobre qué filas es una pregunta que el manifiesto responde y que casi nadie publica.

Antes de mover un solo peso, seis comprobaciones deterministas se repiten con cada cambio del modelo: parser, verificador, seguridad, typecheck, compilador y contrato del backend. Ya construido el paquete, matrixai verify lo rehace y reporta cuatro etapas por separado: manifest (cada artefacto casa con la huella declarada, y no viaja nada que el manifiesto no nombre), R1 (el conjunto rehecho desde la receta tiene el sha256 declarado), training y R3 (las métricas frescas caen dentro de la tolerancia declarada).

La exactitud es un tercio del artículo. MatrixAI no prueba la solidez frente a ejemplos adversarios, no ataca tu modelo y no evalúa la ciberseguridad del sistema en el que lo despliegues. Las huellas demuestran que los pesos que viajan son los que se entrenaron; no dicen nada sobre si el sistema en marcha le resiste a nadie. Conviene saber también que, con el Digital Omnibus, el art. 42 da ahora por satisfechos ciertos requisitos de ciberseguridad por la vía del Reglamento (UE) 2024/2847 — un camino que no tiene nada que ver con este producto.

Tres vistas cubren parte de esa forma. Un registro en el que una entrada no se sobrescribe nunca —publicar otra vez crea una versión nueva al lado de la vieja, que sigue funcionando para quien ya la usaba— con su huella por entrada y una etiqueta current que mueve la promoción y devuelve la vuelta atrás. Una política continua que declara, antes de que nada haya derivado, el método y el umbral por columna, la ventana, las muestras mínimas y la métrica que vigilaría una vuelta atrás. Y una vista de deriva que guarda cada comprobación como historial y dice, columna a columna, si derivó, si no, o si no se midió porque no había método declarado para ella — que no es un cero y no es «va bien».

Esas tres vistas todavía no están en el Studio publicado — ni en la demo pública ni en el paquete que puedes descargar hoy. Están documentadas en el manual del ciclo de vida porque existen y corren contra la construcción de desarrollo, no porque se hayan publicado; hasta que lo hagan, cuenta el artículo 72 como no cubierto aquí. Y aun publicadas, son un instrumento para un sistema de vigilancia, no el sistema y no el plan: el plan es un documento que escribe una persona y que se guarda dentro de la documentación técnica.