L'ordre executiva de Biden sobre IA: què han d'anticipar les startups europees

Avui, 30 d'octubre de 2023, Biden acaba de signar la Executive Order on AI Safety, l'ordre executiva més ambiciosa que han emès els EUA sobre intel·ligència artificial. Si construeixes un producte que toca IA — i el 2023, això inclou la majoria de les startups tech — això t'afecta directament, operis on operis.

No perquè la llei nord-americana se t'apliqui automàticament. Sinó perquè marca la direcció regulatòria global. I aquesta direcció convergeix amb el que Europa ja està cuinant amb l'EU AI Act.

Si el teu pla era "ja ens preocuparem del compliance quan siguem grans", aquest pla acaba de quedar obsolet.

Què diu l'ordre executiva (l'essencial)

No resumiré les 111 pàgines. Vaig als punts que impacten directament startups que construeixen amb IA:

• Safety testing i red-teaming obligatori: Els desenvolupadors de models d'IA d'alt risc hauran de compartir resultats de proves de seguretat amb el govern federal abans de fer públics els seus models. Això aplica a models fundacionals que superin un cert llindar de capacitat computacional.

• Estàndards de transparència: Si el teu sistema genera contingut, hauràs d'implementar mecanismes d'autenticació i watermarking. L'objectiu és que els usuaris puguin distingir contingut generat per IA del creat per humans.

• Privacitat de dades: L'ordre impulsa legislació federal de privacitat i demana a les agències que avaluïn com la IA amplifica riscos de privacitat, especialment amb dades d'entrenament.

• Equitat i drets civils: Directrius per prevenir que els algorismes d'IA discriminin en habitatge, justícia, ocupació i serveis públics.

• Competència i innovació: Paradoxalment, també busca atraure talent d'IA als EUA, facilitant visats per a investigadors i professionals del sector.

La convergència transatlàntica: EO + EU AI Act

Aquí és on la cosa es posa interessant per a startups europees.

L'EU AI Act porta mesos en negociació i s'espera la seva aprovació final en els pròxims mesos. Defineix un sistema de classificació per risc (inacceptable, alt, limitat, mínim) i estableix obligacions proporcionals per a cada nivell.

El que l'ordre de Biden confirma és que la regulació de la IA no és una excentricitat europea. És una tendència global. I els requisits s'assemblaran cada vegada més entre jurisdiccions:

• Avaluacions de risc obligatòries
• Documentació tècnica exhaustiva
• Traçabilitat de dades d'entrenament
• Mecanismes de supervisió humana
• Transparència en les decisions automatitzades

Si vens a clients als EUA i Europa — o si simplement uses models allotjats en infraestructura americana — hauràs de complir amb tots dos marcs regulatoris. I això no és un problema que es resolgui amb un document legal.

La regulació és un problema d'enginyeria, no legal

Aquest és l'argument central, i és el que la majoria de fundadors estan passant per alt.

Quan un regulador et demana "traçabilitat de les decisions del teu model", no està demanant un paràgraf als teus termes i condicions. Està demanant que el teu sistema registri, emmagatzemi i pugui reproduir el raonament darrere de cada output rellevant. Això és arquitectura de programari. És disseny de bases de dades. Són pipelines de logging.

Quan et demanen "avaluació de riscos del model", no és un formulari que omple el teu advocat. És un framework d'avaluació automatitzat que testeja el teu model contra benchmarks de biaix, toxicitat i precisió en cada deployment. Això és MLOps. És CI/CD per a models.

Quan et demanen "governança de dades d'entrenament", no és una política de privacitat actualitzada. És un sistema de llinatge de dades que documenta d'on ve cada dada, com es va processar, qui la va aprovar i quan caduca el seu consentiment. Això és data engineering.

Mira-ho així:

• Audit trails = logging estructurat + emmagatzematge immutable + APIs de consulta
• Avaluació de models = pipelines de testing automatitzat + mètriques versionades
• Governança de dades = catàlegs de dades + control d'accés granular + llinatge
• Explainability = tècniques com SHAP/LIME integrades en el pipeline d'inferència
• Supervisió humana = interfícies de revisió + cues d'escalament + override manual

Cadascun d'aquests requisits regulatoris es tradueix en components d'enginyeria concrets. I algú els ha de dissenyar, construir i mantenir.

Compliance-by-design: no es pot retrofitejar

La temptació és clara: "Primer construïm el producte, aconseguim tracció, i quan la regulació ens atrapi, contractem un equip de compliance."

Això no funciona. I ho dic per experiència veient startups intentar-ho.

Retrofitejar compliance en un sistema que no va ser dissenyat per a això és exponencialment més car que incorporar-lo des del principi. Algunes raons concretes:

El logging retrospectiu és impossible. Si no vas registrar les decisions del teu model des del dia u, no pots reconstruir aquest historial. Les dades que no vas capturar no existeixen.

L'arquitectura ha de suportar-ho. Si el teu pipeline de ML no té punts d'instrumentació, afegir-los després implica reescriure parts fonamentals del sistema. No és un feature — és una reescriptura.

Les dades d'entrenament no es rastregen cap enrere. Si vas entrenar el teu model amb dades el llinatge de les quals no vas documentar, no pots demostrar compliance retroactivament. Hauràs de reentrenar amb dades degudament catalogades.

El cost del refactoring es multiplica. Cada sprint sense compliance-by-design és deute tècnic regulatori que acumula interessos. I a diferència del deute tècnic normal, aquest té multes reals associades.

L'alternativa és integrar els requisits de compliance com a part de l'arquitectura des del principi:

• Dissenya el teu schema de logging abans d'escriure la primera línia de lògica de negoci
• Implementa versionat de models i dades des de la primera iteració
• Construeix els punts de supervisió humana com a part del flux, no com un pegat
• Documenta les decisions de disseny d'IA com a artefactes d'enginyeria, no com a afterthoughts

Què necessita el teu equip per construir això

No necessites un equip de 50 persones. Però sí que necessites enginyers que entenguin la intersecció entre producció de programari a escala i els requisits específics de sistemes d'IA.

Parlo de perfils que:

• Han dissenyat pipelines de dades amb traçabilitat en entorns regulats (fintech, healthtech, etc.)
• Entenen MLOps més enllà de Jupyter notebooks — deployment, monitoring, drift detection
• Saben implementar logging estructurat que sigui auditable sense enfonsar el rendiment
• Tenen experiència amb sistemes de permisos granulars i data governance en producció
• Poden dissenyar APIs que exposin explicacions del model sense comprometre la propietat intel·lectual

Aquests perfils no abunden. I si els busques en mercats amb plena ocupació tech com Alemanya, Països Baixos o el Regne Unit, trigaràs mesos i pagaràs salaris que el teu runway no suporta.

Aquí és on l'equació nearshore té sentit. A Conectia connectem startups europees amb enginyers sènior de LATAM que ja han treballat en sistemes de producció amb requisits de compliance. No són perfils que aprenen sobre regulació sobre la marxa — són enginyers que han construït sistemes auditables en banca, assegurances i healthcare.

Cada enginyer passa per una validació tècnica liderada per CTOs, no per recruiters. Avaluem exactament el que t'importa: capacitat de dissenyar sistemes que compleixin requisits no funcionals complexos, no només escriure codi que funcioni.

El rellotge corre

L'ordre executiva de Biden ja és oficial. L'EU AI Act es votarà en les pròximes setmanes. La finestra per construir compliance-by-design sense pressió regulatòria directa s'està tancant.

Si estàs construint amb GPT-4, amb models open source com Llama 2, o amb el teu propi model fine-tunejat, la pregunta no és si t'afectarà la regulació. La pregunta és si la teva arquitectura està preparada quan arribi.

La resposta no és al teu equip legal. És al teu equip d'enginyeria.

---

Necessites enginyers que sàpiguen construir sistemes d'IA amb compliance integrat des del disseny? Parla amb un CTO — et connectem amb enginyers sènior de LATAM que ja han construït sistemes auditables en producció.