Cartagenaeste

EvidenciaIA · Dossier de cumplimiento AI Act + RGPD

Estado: vigente desde 2026-05-04. Revisión obligatoria cada 6 meses o ante cambio sustancial del sistema. Responsable de cumplimiento: Carlos Galera Román, MFyC (autor único y propietario IP, Reg. PI 00765-03096622). Producto: EvidenciaIA — módulo formativo de búsqueda bibliográfica de la PWA Cartagenaeste (area2cartagena.es).

Posicionamiento regulatorio

EvidenciaIA es una herramienta formativa de búsqueda bibliográfica con síntesis IA. NO es un producto sanitario (SaMD) bajo MDR 2017/745, NO es un sistema de soporte a la decisión clínica (CDSS) y NO está sujeto al marcado CE médico.

Bajo el Reglamento (UE) 2024/1689 (AI Act), EvidenciaIA se clasifica como sistema de IA de riesgo limitado, sujeto principalmente a las obligaciones de transparencia del art. 50 (informar al usuario de que interactúa con IA y que el contenido se ha generado/sintetizado con IA).

Esta clasificación se justifica por: (a) salvaguardas activas que rechazan preguntas de diagnóstico/terapéutica individual antes de llamar al modelo, (b) disclaimer obligatorio aceptado por checkbox en cada sesión, (c) ausencia de funciones de soporte clínico individualizado, (d) trazabilidad completa en evidencia_consultas.

Índice del dossier

#	Documento	Cubre
01	System Purpose Statement	Uso previsto, NO uso previsto, usuarios objetivo
02	Risk Assessment	AI Act art. 9 — análisis de riesgos con matriz
03	Data Governance	AI Act art. 10 — origen, calidad y sesgo de datos
04	Transparency	AI Act art. 50 + 13 — obligaciones de información
05	Human Oversight	AI Act art. 14 — humano-en-el-bucle
06	Accuracy & Robustness	AI Act art. 15 — exactitud, robustez, ciberseguridad
07	Logging & Traceability	AI Act art. 12 — qué se loguea, retención
08	Incident Response	Procedimiento ante síntesis dañinas o sesgadas
09	Model & Prompt Versioning	Trazabilidad de versiones de modelo y prompts
10	Post-Market Surveillance	Vigilancia voluntaria post-despliegue
11	ISO/IEC 42001 Readiness	Mapeo de controles del estándar AIMS para alineamiento voluntario
12	MDR Classification Rationale	Las 4 estrategias legales para una IA tipo OpenEvidence en la UE; combinación 1+3 elegida

Cumplimiento RGPD

EvidenciaIA cumple el RGPD (Reglamento (UE) 2016/679) y la LOPDGDD por:

• Minimización de datos (art. 5): no se recogen DNI/NIE, NHC, nombres completos. Solo iniciales (≤4) + cama + edad cuando proceda.
• Residencia UE: Firebase project docenciacartagenaeste, region europe-west1 (Bélgica).
• Salvaguardas anti-PII en el input: la pregunta del usuario se valida con regex contra patrones DNI/NIE/fecha/teléfono antes de procesarse.
• Derechos del interesado (arts. 15-22): formulario en /derechos-rgpd.html.
• Política de privacidad: /privacidad.html, EIPD documentada.
• App Check enforce activo en Firestore + Functions + Storage.

Consultas

Para auditorías, consultas regulatorias o reportes de incidentes: carlosgalera2roman@gmail.com.