Cuando un programa puede influir en un robot, una célula de máquinas o una línea de producción, una predicción segura de sí misma no constituye una función de seguridad. El sistema necesita límites operativos definidos, protecciones independientes, pruebas representativas y una vía supervisada para reducir o detener la operación cuando cambien las condiciones asumidas.
La IA industrial puede ayudar a inspeccionar defectos, estimar el estado de una máquina, planificar trayectorias o priorizar mantenimiento. El riesgo cambia cuando la salida del modelo deja de ser información de apoyo y empieza a influir en un movimiento físico. Un falso negativo en un panel y una orden de movimiento peligrosa no son fallos equivalentes. Mapea todo el sistema: sensores, preprocesamiento, modelo, lógica de aplicación, control relacionado con la seguridad, actuadores, interfaz del operario y red de producción.
Este artículo es una discusión de ingeniería, no una evaluación de conformidad. La clasificación jurídica como sistema de “alto riesgo” depende de su finalidad prevista y de la legislación aplicable. La seguridad física, las obligaciones sobre maquinaria y la clasificación del AI Act están relacionadas, pero no son etiquetas intercambiables.
El diagrama es conceptual. La arquitectura y los niveles de integridad necesarios dependen de la máquina, los peligros, la aplicación y las normas aplicables; el ejemplo no representa un diseño certificado.
En un diseño sólido, el modelo no escribe directamente un objetivo de actuador sin una frontera validada. Una pasarela de comandos puede rechazar salidas antiguas, malformadas, fuera de rango o no autorizadas; un controlador adecuado gestiona las funciones protectoras según el análisis de riesgos y el diseño. No supongas que un PLC de propósito general, un servicio cloud o la confianza del modelo están certificados para funciones de seguridad.
La supervisión humana solo sirve si la persona cuenta con contexto, tiempo, autoridad y medios reales para intervenir. Pedir a un trabajador que apruebe cada movimiento a gran velocidad puede convertir la revisión en un trámite automático. Define los modos operativos, la autoridad y las transiciones antes del despliegue.
Haz que las transiciones sean observables y comprobables. Define datos de sensor obsoletos, timeout del modelo, partición de red, entrada fuera de distribución, desacuerdo entre sensores redundantes y pérdida de conexión con el operario. “Fallar de forma segura” depende de la aplicación: una parada brusca también puede generar peligro; la respuesta segura debe derivarse del análisis de riesgos de la máquina.
La precisión offline no garantiza un comportamiento seguro en una línea real. Revisa condiciones de operación, montaje de sensores, iluminación, oclusión, desgaste, variantes de producto, cambios de turno, peligros poco frecuentes y etiquetas cerca de los límites de decisión. Cuando corresponda, separa entrenamiento, ajuste y evaluación por periodo, planta o equipo; dividir fotogramas al azar puede filtrar duplicados casi idénticos y exagerar la generalización.
Construye un conjunto de evaluación centrado en peligros, no solo un benchmark equilibrado. Mide falsos negativos en condiciones peligrosas, calibración, abstención, latencia de detección y resultados por condiciones operativas relevantes. Conserva una referencia inmutable y pruebas de regresión. Un cambio importante de modelo, sensor, firmware o proceso debe activar una evaluación documentada y la verificación adecuada.
La supervisión debe guardar evidencia suficiente para explicar el comportamiento sin convertir el registro de seguridad en un flujo permanente de vídeo sensible. Prioriza metadatos de eventos: activo y versión del modelo, modo operativo, indicadores de sensores, ID de tarea, clase de acción propuesta, decisión de política, resultado del interbloqueo, override del operario, latencia y código de fallo. Conserva imágenes originales o trazas detalladas solo si hay justificación, control de acceso y una política de retención definida.
| Señal | Por qué importa | Respuesta |
|---|---|---|
| Calidad de entrada / estado del sensor | Una lente sucia, calibración desviada o fotogramas ausentes invalidan la percepción. | Alertar, restringir la operación o activar el modo de parada diseñado. |
| Confianza y tasa fuera de dominio | El cambio de distribución puede invalidar la precisión histórica. | Aumentar la abstención, solicitar revisión e iniciar una evaluación controlada. |
| Comando rechazado por el límite | El modelo o planificador propuso una acción inválida o no autorizada. | Registrar motivo y contexto; evitar que los reintentos eludan la política. |
| Overrides / paradas protectoras frecuentes | La intervención repetida puede indicar mal ajuste, sensores degradados o premisas inseguras. | Investigar tendencias con seguridad y operaciones; no descartarlas como ruido. |
| Resultado de tarea y casi accidente | Las métricas del modelo no reflejan todas las consecuencias humanas y productivas. | Alimentar la revisión gobernada, las acciones correctivas y la revalidación. |
A 28 de septiembre de 2026, la Comisión Europea indica que, tras entrar en vigor el AI Omnibus el 27 de julio de 2026, las reglas para los casos del Anexo III se aplican desde el 2 de diciembre de 2027; para sistemas de IA de alto riesgo incorporados en productos regulados conforme al Anexo I, desde el 2 de agosto de 2028. Los sistemas relacionados con maquinaria requieren analizar la legislación de producto y la vía de clasificación realmente aplicables; “industrial” o “robótica” no resuelve por sí solo la clasificación del AI Act.
Cuando corresponda, las obligaciones de alto riesgo incluyen gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, precisión, robustez y ciberseguridad. No sustituyen la evaluación de riesgos de la máquina, el diseño de controles de seguridad ni las obligaciones sectoriales de conformidad. Confirma finalidad, categoría de producto, funciones de proveedor/deployer, transición y normas armonizadas vigentes con especialistas jurídicos y de seguridad.
Crearía un servicio de límites de despliegue para una tarea concreta, no una plataforma genérica de “IA que controla la fábrica”. El servicio versionaría las configuraciones aprobadas de modelo y sensores, validaría la frescura de la telemetría, aplicaría restricciones de comandos en la aplicación, registraría por qué se aceptó o rechazó cada propuesta y enviaría eventos a supervisión. Un control relacionado con la seguridad, diseñado para ello, seguiría siendo responsable de las funciones protectoras.
En CI y preproducción reproduciría casos extremos reales y sintéticos, ejecutaría pruebas hardware-in-the-loop cuando correspondan, verificaría timeouts y pérdida de red, y exigiría un registro firmado que vincule versión del conjunto de datos, modelo, código, configuración e informe de evaluación. El despliegue sería gradual por célula o activo, con criterios de rollback y una autoridad designada para detenerlo.
| Escenario | Comportamiento esperado | Evidencia que revisar |
|---|---|---|
| Cámara parcialmente obstruida | Alarma de calidad y operación limitada o parada según el diseño. | Evento del sensor, transición de estado y aviso al operario. |
| Salida del modelo tardía o incorrecta | Rechazar el comando; no reutilizar una propuesta caducada. | Timeout, motivo de validación y decisión de la pasarela. |
| Producto o iluminación nuevos | Detectar que sale del límite validado y solicitar revisión. | Cobertura, abstención y registro de evaluación del cambio. |
| Pérdida de red durante el movimiento | El control local sigue acotado; la protección no depende de la nube. | Prueba de partición, transición local y secuencia de recuperación. |
| Override recurrente del operario | Conservar su autoridad e iniciar una investigación sistémica. | Tendencia, contexto, acción correctiva y nueva validación. |
La IA industrial debe integrarse en un diseño de seguridad y aseguramiento a nivel de máquina, no sustituirlo. Limita las salidas del modelo, valida datos y condiciones de operación, utiliza protecciones independientes cuando sean necesarias, haz efectiva la intervención humana y conecta la supervisión con el control de cambios y la revisión de incidentes. Después evalúa las obligaciones del AI Act y de maquinaria según el uso previsto y las funciones jurídicas reales, no por la etiqueta genérica “IA industrial”.
Nota editorial: Este es un resumen de ingeniería, no asesoramiento jurídico, evaluación de riesgos ni especificación de seguridad. Las normas y los plazos cambian; verifica la edición y transición aplicables a cada despliegue.