Resumen

  • El borrador del 30 de octubre mantiene la responsabilidad de los resultados en la entidad de telecomunicaciones autorizada, tanto si desarrolla como si compra el sistema de IA.
  • La cadena propuesta pasa por aprobación del consejo, clasificación de riesgos, inventario, derechos contractuales frente al proveedor y registro de incidentes.

La orden de compra puede cambiar de manos. La responsabilidad por el resultado, no. El borrador de TRAI del 30 de octubre dice que una entidad autorizada de telecomunicaciones seguirá respondiendo por el resultado de cada sistema de IA que use, tanto si lo desarrolla internamente como si lo compra o combina ambas opciones (§3.8). El operador queda al final de la cadena y sigue ahí.

La propuesta se aplica a entidades con las licencias o autorizaciones de telecomunicaciones indicadas que usen, o tengan previsto usar, IA en redes o servicios. Abarca las operaciones de red y la prestación de servicios; no convierte automáticamente a toda empresa de IA que venda al sector en la parte regulada (§2.1). El primer control está en el consejo: debe aprobar una política interna, clasificar cada sistema según su materialidad y efecto en los consumidores, y designar a un responsable que autorice su uso (§§3.1–3.2).

Después, TRAI quiere que la política se pueda comprobar. Cada entidad tendrá que inventariar los sistemas activos, inactivos y retirados, con su procedencia, finalidad y nivel de riesgo. Un sistema que no esté en el inventario no se podrá usar. Antes de desplegar o modificar uno, la entidad debe validarlo y evaluar precisión, explicabilidad, equidad, resistencia a la deriva y supervisión humana (§3.5).

La compra añade deberes. La operadora debe revisar la credibilidad del proveedor, la solidez y los límites del sistema y la idoneidad y calidad de sus datos de entrenamiento. Los proveedores deberán revelar detalles de la IA integrada en equipos o soluciones de telecomunicaciones. Los contratos deben dar a la operadora cláusulas exigibles sobre cumplimiento, auditoría e inspección, gestión de incidentes, reparto del riesgo y responsabilidad (§3.5(b), (e)–(f)). Así espera TRAI que el control alcance al proveedor sin sacar al operador del marco de responsabilidad.

Un comité de gobernanza y seguridad de la IA, aprobado por el consejo y dirigido por un alto ejecutivo, revisaría al menos una vez al año el rendimiento, los incidentes, las vulnerabilidades y los fallos de supervisión. El borrador también pide un registro central de incidentes, procedimientos de investigación y mitigación, un registro del daño a usuarios y su resolución, e informes a TRAI sobre incidentes críticos y graves (§§3.2, 3.6–3.10). Toda política nueva o modificada debe presentarse en siete días hábiles desde su entrada en vigor.

Hay un detalle decisivo pendiente: el borrador deja para una prescripción posterior el formato, el modo y el plazo para notificar incidentes graves y críticos (§§3.2(d), 3.9). La consulta cierra el 27 de noviembre de 2026. Ese reloj determinará cuándo el registro privado de un operador se convierte en un expediente útil para el regulador.

Fuentes