De les proves individuals a un criteri compartit
Una professional prepara un esborrany amb IA, una altra resumeix un document i una tercera prova una eina per traduir materials. La pregunta no és només si les eines funcionen: l'entitat sap quines s'estan utilitzant, amb quina informació i qui revisa els resultats?
La jornada sobre intel·ligència artificial i compliment normatiu organitzada el 6 d'octubre per Suport Tercer Sector de Fundesplai va abordar aquesta distància entre l'ús individual i la responsabilitat organitzativa. Segons la crònica de Xarxanet, les intervencions van posar el focus en la protecció de dades, els protocols interns i una perspectiva humana que eviti noves desigualtats.
Una resposta pràctica és disposar d'un protocol breu que l'equip pugui consultar abans d'utilitzar una eina. No una declaració genèrica sobre innovació, sinó unes regles que ajudin a decidir què es pot fer, què necessita autorització i què queda fora.
1. Aprovar usos concrets, no una eina per a tot
Autoritzar una aplicació no significa autoritzar qualsevol document ni qualsevol tasca. El protocol ha de vincular l'eina amb una finalitat i una mena d'informació.
Per començar, l'entitat pot establir tres grups:
- Usos permesos amb revisió: idees per a activitats, primers esborranys de textos públics o resums de documents publicats, sense informació personal ni confidencial.
- Usos que requereixen valoració prèvia: actes de reunions, documents interns, enregistraments o qualsevol tasca amb dades personals. No s'hi introdueix la informació fins que s'hagi aprovat aquell ús i les seves garanties.
- Usos exclosos del protocol inicial: decisions automatitzades sobre accés a serveis, priorització de persones o valoracions professionals de casos. Qualsevol proposta en aquest àmbit exigeix una anàlisi específica, no una excepció improvisada.
Aquesta classificació és una proposta de governança interna. No substitueix l'anàlisi normativa de cada ús ni significa que qualsevol tractament sigui acceptable només perquè algú l'autoritzi.
2. Definir què no s'ha d'introduir
La regla ha de ser fàcil d'aplicar: no copiar expedients, informes socials, dades de salut, credencials ni documents confidencials en eines no aprovades per a aquella finalitat. Tampoc adjuntar llistes de persones ateses per provar una funcionalitat.
Treure el nom no sempre evita la identificació. Una combinació de municipi, edat, situació familiar i circumstàncies poc habituals pot permetre reconèixer una persona. Per formar l'equip, és millor crear exemples ficticis que transformar superficialment un cas real.
Abans d'un ús amb dades personals, cal revisar la finalitat, la base jurídica, els rols de les parts, les condicions del servei, els accessos, la conservació, les possibles transferències i les garanties necessàries, amb la persona responsable de protecció de dades o assessorament especialitzat quan correspongui. Un compte de pagament, per si sol, no resol aquestes qüestions.
3. Assignar qui aprova i qui respon
Una entitat petita no necessita crear un comitè per a cada prova. Sí que necessita una persona de referència i un circuit comprensible.
La direcció aprova el marc d'ús; la persona de referència manté la llista d'eines i finalitats autoritzades; les responsables de cada àrea validen l'adequació professional dels resultats. Les qüestions de privacitat i seguretat es deriven als perfils competents.
Qui fa servir la IA no pot donar per revisat un document perquè «l'eina ho ha dit». I ningú no ha de descobrir, davant una incidència, que no estava clar a qui calia avisar.
4. Convertir la revisió humana en una tasca concreta
Revisar no és només rellegir. Abans de compartir un resultat, cal comprovar dades, fonts, noms, dates, to i possibles omissions. En una traducció o adaptació a llenguatge planer, també s'ha de verificar que no canviï el sentit ni desapareguin condicions importants.
Per a una comunicació sobre una convocatòria, per exemple, la persona revisora ha de contrastar requisits i terminis amb la font oficial. Per a una proposta d'activitat, ha de valorar accessibilitat, adequació al grup i recursos necessaris. Són exemples de revisió, no casos reals d'implantació.
Si la verificació exigeix més temps que fer la tasca sense IA, convé replantejar la prova. L'objectiu no és utilitzar la tecnologia a qualsevol preu.
5. Saber què fer quan alguna cosa falla
El protocol ha d'explicar què fer davant una dada introduïda per error, un compte compromès o un contingut inadequat que ja s'ha compartit: aturar l'ús afectat, avisar pel canal intern establert i conservar només la informació necessària per valorar l'incident.
La persona responsable ha de coordinar les mesures de contenció i correcció, i determinar amb els perfils competents si calen altres actuacions. No s'ha d'intentar resoldre una exposició d'informació copiant-la en una altra eina per preguntar-li què fer.
El registre d'incidències tampoc no ha de convertir-se en una còpia dels documents sensibles: ha de recollir el necessari per gestionar i aprendre del problema.
Un model breu per portar a una reunió d'equip
Aquesta fitxa pot servir com a punt de partida per redactar el protocol propi:
- Finalitat: quines tasques volem millorar i quines excloem.
- Eines i comptes: quins estan aprovats i per a quins usos.
- Informació: què es pot utilitzar i què requereix valoració prèvia.
- Responsabilitats: qui autoritza, qui resol dubtes i qui valida cada resultat.
- Verificació: què s'ha de comprovar abans de compartir-lo.
- Incidències: a qui s'avisa i com s'atura un ús problemàtic.
- Formació: com coneixeran les regles professionals i voluntariat.
- Revisió: data, responsable i canvis que obliguen a revisar el protocol.
El document ha de tenir versió, aprovació i una ubicació coneguda. Una prova inicial acotada permet detectar dubtes abans d'ampliar els usos. Cal revisar-lo també quan canvien les eines, les condicions del proveïdor o la informació tractada.
Gestió compartida, criteri humà
A MIDUE ja hem parlat de les decisions abans d'incorporar IA i de tenir la informació ordenada. El protocol fa un pas diferent: converteix aquests criteris en acords operatius de l'equip.
MIDUE integra documentació, gestió de persones, processos de qualitat i accessos per rols. Aquesta base pot ajudar a ordenar responsabilitats i informació dins l'entitat. No implica que la plataforma autoritzi eines externes, controli els usos d'IA de l'equip o garanteixi per si sola el compliment del protocol.
Un bon protocol no ha de deixar l'equip sense marge per aprendre. Ha d'evitar que cadascú assumeixi riscos sense saber-ho i assegurar que la tecnologia continuï al servei de les persones.