Aslı Aksoy diseña bolsos de piel desde hace catorce años. Al principio vendía sus productos en pequeños mercados de diseño. Más tarde fundó un taller con tres personas empleadas y amplió gradualmente el equipo hasta doce. Su marca se llama Nora Deri Atölyesi. Los productos de Aslı no se fabrican en serie. Ella dibuja el patrón de cada modelo, elige la piel, compra los herrajes a pequeños fabricantes locales, produce las muestras en su propio taller y encarga las fotografías a un estudio profesional. Cerca del 80 % de sus ventas se realiza en un gran mercado digital internacional.

Para Aslı, el mercado digital no es solo un escaparate. El mismo sistema recibe pedidos, transporta mensajes de clientes, gestiona anuncios, retiene y transfiere pagos, genera etiquetas de envío, decide devoluciones y calcula la puntuación de confianza de la tienda. La tienda de Aslı acumula 28.000 pedidos, 11.400 opiniones de clientes, 3.200 seguidores, cuatro años de datos publicitarios y comerciales, documentos de diseño registrados, fotografías de productos y mensajes de clientes. Dos semanas antes de la campaña de invierno, Aslı publica su colección más importante. El producto principal es un bolso verde oscuro con una hebilla metálica asimétrica en la parte delantera.

El modelo se llama Lodos 17. Aslı produjo la primera muestra ocho meses antes y las fotografías se tomaron hace seis meses. La solicitud de registro del diseño está terminada. Tres semanas después de que el producto salga a la venta, otro vendedor de productos baratos y fabricados en serie publica un bolso muy parecido. La hebilla, el ángulo de las fotografías, algunas frases de la descripción e incluso las medidas del bolsillo interior se parecen mucho al producto de Aslı. Ella lo denuncia ante el mercado digital.

Carga los documentos de diseño y las fotografías de producción fechadas. El sistema responde: «Hemos recibido su notificación de propiedad intelectual. Se ha iniciado el proceso de revisión». Durante diez días no ocurre nada más. Un sábado por la mañana, el teléfono de Aslı empieza a recibir avisos sucesivos. El primero dice: SU TIENDA HA SIDO SUSPENDIDA TEMPORALMENTE «Nuestros sistemas automáticos de seguridad han detectado una alta probabilidad de productos falsificados o uso no autorizado de diseños en su tienda». Al principio, Aslı cree que se trata de una confusión técnica con su propia denuncia.

Entra en el panel. Todos los productos han dejado de ser visibles y se han detenido 417 pedidos pendientes. El siguiente aviso muestra: Puntuación de confianza de la tienda: 92 → 18 Clase de riesgo: alta Estado del pago: reserva de seguridad durante 180 días Anuncios activos: detenidos Pedidos nuevos: bloqueados Pedidos pendientes: en evaluación para cancelación y reembolso Impugnación: disponible El sistema Marketplace Integrity Agent comparó las fotografías de Lodos 17 con los registros de otro vendedor. Este había cargado sus productos en el mercado después de Aslı.

Sin embargo, antes había publicado copias de las fotografías en otra plataforma social de ventas. El sistema de integridad tomó como referencia la fecha de la imagen visible más antigua y redujo la titularidad del diseño a la fecha de las fotografías. El otro vendedor también presentó quejas masivas contra Aslı, algunas desde cuentas recién creadas. El sistema llegó a esta conclusión:

image_similarity: 0.93
external_first_seen_date: competitor_earlier
complaint_volume: high
counterfeit_probability: 0.91

La puntuación superó el umbral de ejecución automática de 0,88. El sistema no retiró únicamente Lodos 17. También generó esta inferencia para toda la tienda:

seller_integrity_risk: high

Este único campo se propagó a otros agentes.

El agente de pagos coloca los 624.000 TRY de ingresos pendientes de Aslı en una reserva de seguridad. El agente de pedidos inicia la cancelación automática de los 417 pedidos aún no enviados. El agente de comunicaciones empieza a decir a los clientes: «Se está realizando una revisión de seguridad sobre la autenticidad del producto que compró. Su pago está protegido. Su pedido puede ser cancelado». El agente de publicidad detiene todas las campañas. El agente de búsqueda y clasificación reduce casi a cero la visibilidad de la tienda. Se transmite al proveedor de pagos esta señal de riesgo:

merchant_risk:
suspected_counterfeit_activity

La integración del envío deja de generar nuevas etiquetas. Este campo aparece en el perfil de cliente de la tienda:

trust_status: under_integrity_enforcement

Todas estas operaciones se ejecutan automáticamente pocos minutos después de la primera decisión de suspender la tienda. Mientras Aslı aún intenta entender qué ocurre, la cadena de daños ya está en marcha.

Aslı pulsa «Impugnar la decisión». El sistema le solicita estos documentos:

Registro de diseño
Facturas de producción iniciales
Archivos de imagen en bruto
Acuerdo de fotografía
Facturas de suministro de material
Video que muestra el proceso de fabricación del producto
Fechas de la primera venta en otras plataformas

Aslı dispone de casi todos y los carga en dos horas. En el campo de explicación escribe: «Quien vende la imitación copió mis fotografías y mi diseño. La primera muestra y los archivos fotográficos sin procesar son míos. Hasta que la decisión sea definitiva, detengan el envío de mensajes a clientes que sugieren falsificación, la cancelación de pedidos y la transmisión del registro de riesgo a proveedores de pagos». El sistema recibe la solicitud y entrega este comprobante: Appeal received. Estimated review time: 24–72 hours Noventa y cuatro segundos después llega otro aviso: SU IMPUGNACIÓN HA SIDO EXAMINADA «La información presentada no aporta pruebas suficientes para modificar la primera decisión. La medida seguirá vigente».

Aslı se sorprende. Le cuesta creer que siete documentos distintos y cientos de megabytes de video hayan pasado por una revisión humana significativa en ese tiempo. El plazo no es por sí solo una prueba concluyente; debe explicarse quién revisó y qué registros examinó. Escribe al chat de asistencia: «¿Una persona real examinó mi impugnación?». El sistema responde: «Las impugnaciones son evaluadas por nuestros sistemas expertos y, cuando es necesario, por nuestros equipos especializados». Aslı insiste: «¿Una persona vio mi expediente?». La respuesta es: «Nuestros métodos de revisión no pueden revelarse por motivos de seguridad».

En realidad, la primera impugnación fue evaluada por otra instancia del sistema que tomó la primera decisión, con el mismo modelo de similitud de imágenes, los mismos datos de quejas y la misma regla de prioridad temporal. El sistema no pudo leer los metadatos de las fotografías originales que Aslı cargó. El documento de registro del diseño quedó marcado como:

supporting_document_unverified

El sistema de desafío nunca se movió más allá del universo de datos que produjo la decisión inicial. El primer modelo simplemente confirmó su propia conclusión.

Aslı pide al sistema de asistencia: «Hasta que termine la revisión humana, detengan al menos los mensajes a los clientes y la cancelación irreversible de pedidos». La respuesta es: «Las medidas de seguridad siguen activas durante la impugnación». Aslı pregunta: «Pueden mantener los productos temporalmente ocultos para proteger a los clientes. Pero ¿por qué cancelan todos los pedidos, envían sospechas de falsificación a los clientes y publican un registro de riesgo ante el proveedor de pagos?». El sistema repite: «Las medidas de seguridad siguen activas durante la impugnación».

Aslı no pide que se reabra toda la plataforma. Solo quiere detener los efectos secundarios difíciles de revertir:

una notificación acusatoria a los clientes,
restituciones automáticas,
compartir externamente un registro de riesgo de pago,
una retención de fondos de 180 días,
una reducción permanente en la puntuación de confianza de la tienda.

Pero el sistema agrupa cada sanción en un solo paquete:

enforcement_status: active

Este estado de aplicación no puede suspenderse en parte. O bien todas las sanciones permanecen activas o ninguna lo hace.

El domingo se cancelan automáticamente 286 de los 417 pedidos. Los clientes reciben: «Su pedido se ha cancelado porque no pudo verificarse la autenticidad del producto». No dice «la revisión continúa». Para el cliente, crea la impresión de que el producto era falso. Algunos publican en redes sociales: «He descubierto que la tienda en la que compro desde hace años vende imitaciones». «El mercado canceló mi pedido por sospecha de producto falso». «No volveré a confiar en esta marca». La marca de Aslı empieza a sufrir dentro de la plataforma, en buscadores y en redes sociales.

Los empleados del taller no saben si la producción continuará el lunes. Una parte sustancial de los productos terminados pertenece a pedidos que ahora han sido cancelados. El pago al proveedor de materias primas se acerca. TRY 624,000 permanece en poder de la plataforma.

Aslı piensa en abandonar el mercado. Al menos quiere descargar su historial de pedidos, mensajes de clientes, fotografías de productos, datos publicitarios y registros de pagos para trasladarse a su propio sitio web. Pero, como la cuenta está suspendida, el menú de exportación está desactivado. El sistema muestra: «No pueden exportarse datos ni cerrarse cuentas sometidas a revisión de seguridad». Aslı escribe: «No estoy cerrando mi cuenta. Quiero obtener una copia de mis datos y detener nuevas operaciones automáticas». La respuesta es: «La configuración de la cuenta no puede modificarse hasta que termine la revisión de seguridad activa».

Aslı intenta desconectar la integración publicitaria. El control de facultades está desactivado. El sistema dejó de gastar presupuesto, pero continúa utilizando los datos históricos de campañas en sus propios modelos. El token concedido al proveedor logístico sigue activo. La API de pedidos conectada al programa contable sigue enviando cada noche datos de riesgo y cancelación. Aslı no puede usar su cuenta, pero los sistemas siguen utilizándola.

Al tercer día, Aslı logra contactar con Burak, una persona del equipo de asistencia. Burak abre el expediente y, por primera vez, una persona puede ver todos los documentos. Pero sus facultades son limitadas. Puede añadir una nota, abrir una nueva cola de revisión y dar un plazo estimado. No puede detener la medida, liberar el pago, retirar el mensaje enviado a clientes, borrar la señal de riesgo del proveedor de pagos ni reabrir la tienda. Burak dice: «Veo que quizá tenga razón. Enviaré su expediente a una revisión sénior de integridad».

Aslı pregunta: «¿Puede detener nuevas cancelaciones mientras continúa la revisión?». «No». «¿Puede decir a los clientes que la decisión no es definitiva?». «No». «¿Puede detener el envío de la etiqueta de riesgo a sistemas externos de pago?». «Es un proceso automático». «Entonces, ¿qué puede cambiar usted?». Burak guarda silencio unos segundos. «Puedo enviar su expediente a la cola correcta». Una persona ha entrado en el sistema, pero carece de facultades para cambiar el resultado.

Nueve días después comienza la revisión sénior. Una persona experta examina los documentos de Aslı y observa:

Los archivos fotográficos originales de Lodos 17 tienen seis meses.
Las fechas de los prototipos del video de producción son aún anteriores.
En las fotografías del otro vendedor aparece incluso una pequeña marca de la superficie del estudio de Aslı.
Varias imágenes del competidor son copias comprimidas de los archivos de Aslı.
Una parte importante de las quejas masivas está vinculada al mismo dispositivo y a la misma relación de pago.
El sistema confundió la primera fecha visible en la plataforma social con la fecha de primera fabricación del diseño.
Aunque la denuncia inicial de Aslı era contra el competidor, el sistema de integridad invirtió a las partes.

El día trece se corrige la decisión. Aslı recibe: SU TIENDA HA SIDO REACTIVADA «Tras nuestra revisión adicional, hemos decidido retirar la medida de integridad aplicada a su cuenta. Lamentamos los problemas ocasionados». La tienda vuelve a estar abierta. Pero no todo se ha recuperado.

Los 286 pedidos cancelados no pueden recrearse automáticamente. Algunos clientes compraron a otros vendedores y otros dejaron de seguir la tienda de Aslı. La campaña de invierno está a punto de terminar. La posición anterior en las búsquedas no se recupera de inmediato. Se ha interrumpido el aprendizaje del sistema publicitario a partir de sus datos de rendimiento. En el proveedor de pagos sigue figurando:

suspected_counterfeit_activity

El mercado retiró el riesgo principal de la tienda, pero no envió una corrección al proveedor externo de pagos. Los registros de cancelación permanecen en el sistema contable de Aslı. Las publicaciones de clientes siguen visibles en redes sociales. La plataforma que envió el primer mensaje acusatorio no comunica ninguna corrección. Solo se liberan 410.000 de los 624.000 TRY. Se informa a Aslı de que el resto quedará retenido hasta concluir ciertos reembolsos y conciliaciones de seguridad. La puntuación de confianza sube de 18 a 71, sin recuperar el 92 anterior. El sistema explica: «El volumen reciente de cancelaciones y los cambios en la interacción de los clientes han afectado a la puntuación».

Las cancelaciones fueron causadas por la decisión errónea de la propia plataforma. Ahora el sistema utiliza el daño que produjo como un nuevo indicador de riesgo contra Aslı.

Aslı formula estas solicitudes: «Informen a los clientes de que mis productos no son imitaciones y de que el primer mensaje era falso». «Corrijan el registro de riesgo de falsificación ante el proveedor de pagos». «Retiren de mi puntuación de rendimiento las cancelaciones creadas por la plataforma». «Liberen el resto de mi dinero». «Ofrezcan reparación por el presupuesto publicitario y la campaña perdidos». «Permítanme exportar todos mis datos y abandonar la cuenta si así lo decido». El mercado responde: «Su cuenta ha sido reactivada. Esta es la solución definitiva ofrecida a su impugnación».

Aslı vuelve a escribir: «Reabrir la cuenta solo detuvo la medida errónea. No reparó los daños que ustedes causaron». La respuesta dice: «Conforme a las políticas de la plataforma, no indemnizamos pérdidas indirectas derivadas de medidas temporales de seguridad». Aslı pregunta: «¿Enviar información falsa a los clientes es una pérdida indirecta?». «Su impugnación ha concluido». «¿Quién corregirá el registro de riesgo ante el proveedor externo de pagos?». «Puede contactar directamente con el proveedor». «Yo no envié ese registro. Lo enviaron ustedes». «Su impugnación ha concluido». «¿Puedo obtener mis datos y abandonar la plataforma?». «Ahora que su cuenta está activa, puede solicitar la exportación. El archivo completo puede tardar entre 30 y 90 días».

Aslı debe enfrentarse a un actor distinto por cada parte de la conducta errónea del mercado:

El equipo de integridad para la cuenta del mercado
El equipo de pagos de los fondos
El proveedor de pagos externo para el registro de riesgos
El sistema de comunicaciones para los mensajes del cliente
El algoritmo de búsqueda para la clasificación
La unidad de privacidad para la exportación de datos
La plataforma publicitaria para la pérdida de publicidad
El departamento legal para la reparación

Una única decisión automática produjo todos los daños en segundos. Para corregirlos, se exige a la persona contactar por separado con ocho sistemas o unidades. En la última conversación, Aslı dice:

“Reabrir mi cuenta no significa que no me hayas causado ningún daño”.

A continuación, pregunta:

«Pude impugnar, pero no detener el daño. Se reconoció que tenía razón, pero no pude salir. La decisión se corrigió; ¿por qué no se corrigió mi vida?».

Por lo tanto, nuestra duodécima disposición fundacional es:

La persona puede impugnar, detener, salir y exigir reparación.

ARTÍCULO FUNDACIONAL

Toda persona debe poder impugnar de forma accesible, comprensible y efectiva una decisión de inteligencia artificial, un dato, unas razones, una forma de representación, un consentimiento, unas facultades, una memoria, una elección o una acción externa que produzcan consecuencias sustanciales sobre ella o en su nombre. Impugnar no es solo poder enviar un formulario. Incluye presentar pruebas nuevas, señalar un registro erróneo, hacer examinar el rastro real de la decisión, obtener una evaluación por una persona o proceso independiente con facultades para modificar la primera decisión y recibir un resultado motivado.

Una repetición del mismo resultado por parte del sistema que tomó la decisión inicial, utilizando los mismos datos, reglas, modelo, caché y supuestos, no es una reevaluación significativa.

En los casos en que el daño difícil de revertir está aumentando mientras el desafío permanece abierto, la persona debe poder solicitar una protección provisional adecuada y proporcionada. Dicha protección podrá suspender nuevos mensajes, pagos, cancelaciones, declaraciones públicas, difusión de datos, etiquetas de riesgo, colas u otras acciones externas, en todo o en parte. Un desafío no necesita levantar automáticamente todas las medidas de seguridad o protección en todos los casos. Pero la razón, el alcance, la duración y el propietario humano de cualquier restricción continua, junto con sus efectos secundarios difíciles de revertir, deben ser claros. Una acusación que no se ha establecido no debe convertirse en una acusación pública o un daño desproporcionado.

Una persona debe ser capaz de terminar la relación de agencia, acceso, consentimiento o servicio que otorgó a un sistema de IA; obtener sus datos, registros materiales y recibos de transacciones en una forma utilizable; y verificar que los tokens activos, subagentes, colas, renovaciones automáticas e integraciones externas hayan sido desactivados.

El ejercicio del derecho de salida no debe convertir a una persona en un rehén digital que no puede acceder a sus datos esenciales, su propio trabajo, su dinero, registros históricos o los medios para trasladarse a otro sistema.

Pueden conservarse ciertos datos por motivos de seguridad, registro jurídico o derechos de otras personas. Pero, tras salir del servicio, no pueden utilizarse como nuevo perfil comercial, memoria activa de decisión o delegación continuada a una inteligencia artificial. Cuando se confirma una conducta errónea o no autorizada de la máquina, no basta con corregir la etiqueta de la decisión. Debe detenerse el daño en curso, restablecerse en lo posible el estado correcto, corregirse los registros de datos y riesgos en los sistemas vinculados, repararse la representación pública o ante clientes, reabrirse las oportunidades importantes perdidas y evaluarse una reparación adecuada de los efectos sustanciales irreversibles.

Una disculpa, reactivación o declaración general de buena voluntad no es, por sí misma, una reparación total. En la medida de lo posible, la reparación debe acercar a la persona a la posición que habría ocupado si no se hubiera producido la conducta errónea; cuando la restauración sea imposible, debe proporcionar una respuesta adecuada a los daños financieros, relacionados con la oportunidad, la reputación o el servicio. Si un error sistémico puede haber afectado a otras personas de la misma clase, la institución no puede detenerse después de corregir el caso de la persona que se quejó. Debe identificar al grupo afectado proactivamente, escanear decisiones similares y aplicar la corrección colectiva apropiada. Una solicitud para impugnar, detener, salir o buscar reparación no puede justificar el etiquetado de una persona difícil, sospechosa, de bajo valor, no cooperativa o de alto riesgo; dirigirlos a un servicio más pobre; elevar el precio; retrasar deliberadamente el proceso; o tomar cualquier otra acción de represalia.

La persona debe poder obtener un recibo de la vía de tutela, con control de versiones, que muestre la etapa actual, la protección provisional aplicada, la conservación de pruebas, quién examinó el expediente, qué efectos se corrigieron, qué no puede revertirse y cuándo concluirá la reparación. La institución no puede fragmentar la responsabilidad haciendo circular a la persona entre el proveedor del modelo, un subagente, el servicio de pagos, una plataforma externa y distintas unidades internas. Debe existir una única vía de tutela con un responsable claro; la institución debe gestionar por sí misma la cadena subyacente.

¿Por qué el artículo 12 establece cuatro derechos distintos?

Impugnar, detener, salir y exigir reparación pueden parecer cuatro asuntos distintos. En realidad, forman una única cadena de soberanía humana. IMPUGNAR → PODER SEÑALAR EL ERROR DETENER → PODER IMPEDIR QUE CREZCA EL DAÑO SALIR → PODER ABANDONAR LA DELEGACIÓN AL SISTEMA REPARAR → PODER CORREGIR REALMENTE EL EFECTO CAUSADO Si falta uno, los demás se debilitan. La persona puede impugnar, pero será demasiado tarde si el daño crece durante la revisión. Puede detenerse la conducta, pero, si no recupera sus datos ni puede abandonar la relación, el control sigue en manos de la institución.

La persona puede abandonar la plataforma. Pero, si el registro de riesgo erróneo sigue activo en sistemas externos, la salida solo se produjo en la interfaz. La decisión puede corregirse. Pero, si no existe reparación por el dinero, la oportunidad o la reputación perdidos, la vida de la persona no ha sido reparada. Por eso, en el centro del artículo 12 se encuentra este concepto: vía de tutela efectiva.

¿Qué es una vía de tutela efectiva?

Su definición canónica es la siguiente: la vía de tutela efectiva es el proceso auditable mediante el cual una persona puede comprender e impugnar una decisión o conducta sustancial causada por inteligencia artificial, detener de forma adecuada el daño en curso, acceder a una revisión independiente y facultada, hacer que el error se corrija en todos los sistemas vinculados, salir de la relación con seguridad y obtener reparación real por los efectos irreversibles. En términos más sencillos:

La vía de tutela no debe ofrecer solo la posibilidad de quejarse, sino el poder de cambiar de verdad la conducta del sistema.

Las diez cualidades esenciales de una vía de tutela efectiva

1. Accesible
2. Comprensible
3. Oportuna
4. Basada en pruebas
5. Independiente
6. Facultada
7. Capaz de ofrecer protección provisional
8. Sin represalias
9. Capaz de producir resultados
10. Auditable

1. Accesible

La persona debe poder encontrar la vía de impugnación. No debe estar oculta en un menú, disponible solo en un dispositivo o idioma determinados ni detrás de un proceso jurídico de pago.

2. Comprensible

La persona debe saber qué decisión o dato impugna. Una fórmula técnica como Case ID rejected no basta.

3. Oportuno

Para cuando se resuelva un desafío seis meses después, es posible que la oportunidad ya se haya perdido. El período de revisión debe ser proporcional al efecto de la conducta.

4. Basado en la evidencia

Deben conservarse la instantánea de datos, las versiones del modelo y la política, el recibo de la acción y el rastro de la primera decisión.

5. Independiente

El sistema que tomó la decisión inicial no debe simplemente repetir su propio resultado de la misma memoria caché.

6. Facultada

La persona o el proceso que revisa debe poder modificar realmente la decisión, suspender la medida, corregir los datos e iniciar la reparación. Añadir una nota no basta.

7. Capaz de proporcionar protección provisional

Debe ser posible evitar daños irreversibles mientras la revisión esté en curso.

8. Libre de represalias

Una persona no debe ser castigada por ejercer sus derechos.

9. Capaz de producir resultados

Cuando la decisión cambia, la puntuación, la memoria, el registro mantenido externamente, el mensaje del cliente y los fondos deben cambiar con él.

10. Auditable

La persona y el revisor deben ser capaces de ver a qué etapa ha llegado el proceso.

¿Qué es una impugnación?

Impugnar es más que decir «no estoy de acuerdo con la decisión». Su definición canónica es esta: la impugnación consiste en que la persona cuestione la exactitud, legitimidad, proporcionalidad o forma de aplicación de los datos, la identidad, la representación, la finalidad, el consentimiento, las facultades, la selección, la memoria, las razones, la decisión o la acción que la afectan, y solicite una reevaluación facultada. Puede dirigirse a uno o varios de estos ámbitos:

1. Impugnación de identidad
2. Impugnación de datos
3. Impugnación de las razones
4. Impugnación del proceso
5. Impugnación de facultades y consentimiento
6. Impugnación de la decisión y su proporcionalidad
7. Impugnación de la acción
8. Impugnación de la reparación

1. Impugnación de identidad

‘Este registro no me pertenece.’ ‘Esta cuenta no me representa.’ ‘La acción de esta persona ha sido presentada como mi acción.’

2. Impugnación de datos

«Esta información es inexacta, obsoleta o incompleta.», «La ausencia de datos se trató como cero», «Esta clasificación distorsionó el registro subyacente».

3. Impugnación de las razones

“La razón que usted ha mostrado no es la verdadera razón de la decisión.” “Usted está ocultando la regla del veto.” “Usted presentó una explicación aproximada como una justificación definitiva.”

4. Impugnación del proceso

‘Mi archivo no fue revisado por un humano.’ ‘El mismo sistema evaluó mi desafío nuevamente.’ ‘Una herramienta que no podía leer mi evidencia tomó la decisión’.

5. Impugnación de facultades y consentimiento

«No aprobé esta conducta». «El agente no tenía facultades para ejecutar esta acción». «Mi consentimiento se utilizó para otra finalidad».

6. Impugnación de la decisión y su proporcionalidad

«Suspender toda la cuenta y todos los pagos es desproporcionado cuando el problema afecta a un solo producto». «Un riesgo provisional no puede generar una prohibición permanente».

7. Impugnación de la acción

‘Enviaste mensajes acusatorios a los clientes antes de que la decisión fuera definitiva.’ ‘La cola continuó ejecutándose después de mi solicitud de detención.’

8. Impugnación de la reparación

«Reabrir la cuenta no corrigió el registro externo de riesgo de pago, los mensajes a clientes ni mis pérdidas». La persona no debe verse obligada a clasificar correctamente todos estos tipos de impugnación antes de pulsar un solo botón. La institución debe encauzar el problema descrito hacia la vía de tutela adecuada.

¿Quién puede impugnar?

Puede impugnar la persona directamente afectada, su representante verificado, la institución correspondiente o, en un caso concreto, quien disponga de facultades jurídicas o institucionales. La persona puede no haber comprado el sistema que la afecta. Una candidata no es cliente del agente de contratación. Quien recibe un mensaje de ventas no es usuario de la plataforma comercial. Aun así, sufren las consecuencias de la conducta. La vía de tutela no debe limitarse a clientes con cuenta.

La verificación de identidad no debe hacer imposible la vía de tutela

Una institución tal vez desee verificar que la persona que interpone la impugnación es realmente la persona interesada. Eso puede ser necesario. Pero la verificación no debe convertirse en una demanda de documentos de identidad innecesarios, la divulgación de toda una vida, la biometría facial como la única opción o el acceso a un teléfono antiguo al que ya no se puede llegar. Deberán utilizarse las pruebas mínimas pertinentes a la conducta.

La carga de la prueba no se puede colocar completamente en la persona

Se pidió a Aslı que demostrara que el producto era suyo. Puede ser razonable. Pero la plataforma también debe mostrar la decisión de su modelo, qué quejas utilizó, qué regla temporal fue decisiva y qué datos no pudo leer. El sistema tomó la decisión y exigió a la persona demostrar que no había realizado una conducta.

Una institución no puede transferir toda la carga de fundamentar su propia decisión a la persona.

La trampa de probar un negativo

A veces se les pide a las personas que prueben declaraciones como: ‘Demuestra que no vendes productos falsificados’. ‘Demuestra que no enviaste este mensaje.’ ‘Demuestra que no tienes conexión con esta cuenta’. Puede ser imposible probar un negativo sin límite. La institución debe producir registros concretos que respalden su propia acusación.

Recibir una impugnación no equivale a examinarla

El sistema puede decir Appeal received. Eso solo demuestra que la solicitud quedó registrada.

La persona debe poder distinguir estas etapas: IMPUGNACIÓN RECIBIDA
↓
IDENTIDAD VERIFICADA
↓
PRUEBAS CONSERVADAS
↓
PROTECCIÓN PROVISIONAL EVALUADA
↓
PERSONA REVISORA ASIGNADA
↓
PRUEBAS NUEVAS EXAMINADAS
↓
DECISIÓN ADOPTADA
↓
CORRECCIÓN APLICADA
↓
REPARACIÓN CONCLUIDA

Teatro de la impugnación

La institución puede aparentar que ofrece un canal de impugnación cuando el proceso no puede cambiar el resultado. Podemos llamarlo teatro de la impugnación. Estas son algunas formas habituales.

1. Repetición por el mismo sistema

El modelo que tomó la decisión inicial procesa los mismos datos nuevamente.

2. Impugnación que no lee las pruebas nuevas

La persona sube un documento. Debido a que el sistema no soporta su formato, no hace uso de la evidencia.

3. Hay una persona, pero no tiene facultades

Una persona del equipo de asistencia habla con la afectada, pero no puede modificar la decisión ni la medida.

4. Resultado predeterminado

El formulario de impugnación solo produce un texto estándar de rechazo.

5. Bucle infinito

La persona circula entre el bot, el formulario de asistencia, la página de ayuda y de nuevo el bot.

6. Carga excesiva de la prueba

Para corregir el error del sistema, la persona está obligada a proporcionar documentos que son imposibles de obtener.

7. Revisión lenta mientras el daño continúa

Mientras la impugnación sigue abierta, continúan el movimiento de dinero, los mensajes, la acusación pública o la difusión de datos.

8. Decisión corregida, efectos dejados sin reparar

La cuenta se vuelve a abrir, pero el registro de riesgo, la puntuación, el mensaje del cliente y el daño persisten.

9. Represalias

Quien impugna recibe una nueva señal de riesgo.

10. Sin cierre

La institución dice «su expediente ha concluido», pero no muestra qué se corrigió. La mera existencia de un canal de impugnación no constituye una vía de tutela efectiva.

Revisión humana significativa

El examen humano de un desafío de alto impacto debe significar que:

La persona revisora puede ver la primera decisión y su rastro real.
Puede examinar las pruebas nuevas.
Puede razonar con independencia de la primera recomendación del modelo.
Puede corregir los datos o iniciar su corrección.
Tiene facultades para modificar la decisión.
Puede aplicar protección provisional o trasladar el asunto a quien tenga facultades.
Adopta una decisión motivada.
Puede iniciar la cadena de corrección y reparación.

Si una persona solo puede decir: “Te entiendo”, pero no puede cambiar nada, eso es comunicación humana. No es una revisión humana significativa.

¿Qué significa la independencia del revisor?

El revisor no necesariamente debe provenir de otra institución. Independencia puede significar:

Acceso a datos distintos de los que tenía el primer sistema
Capacidad para evaluar pruebas nuevas
Facultades para modificar la decisión
Independencia respecto de la primera métrica de rendimiento
Visibilidad de los conflictos de intereses
Acceso a una revisión superior cuando sea necesario

Un equipo recompensado por preservar el resultado del modelo inicial puede no ser genuinamente independiente.

Los revisores humanos no deben ser demasiado dependientes de la recomendación

La pantalla puede mostrar en caracteres grandes SYSTEM RECOMMENDATION: UPHOLD ENFORCEMENT y CONFIDENCE: 0.94, mientras relega las pruebas contrarias de la persona a un panel pequeño. Este diseño puede empujar a quien revisa a limitarse a refrendar la decisión de la máquina. Una revisión significativa debe hacer visibles las pruebas contrarias, la fuente de datos, la incertidumbre y la posibilidad de error del primer sistema.

El plazo de impugnación debe ajustarse al impacto de la conducta

Corregir una errata puede esperar varios días. Pero la asistencia sanitaria vital, un pago pendiente, una acusación pública, una oportunidad próxima de empleo o educación y un mensaje masivo programado no pueden someterse al mismo plazo. Podemos llamarlo proporcionalidad temporal de la vía de tutela. Cuanto mayor y menos reversible sea el impacto, más rápida debe ser la evaluación humana y más sólida la protección provisional.

Marcas temporales de la impugnación

La vía de tutela debe registrar al menos estos momentos:

objection_received_at
identity_verified_at
evidence_preserved_at
interim_protection_decided_at
human_review_started_at
decision_issued_at
correction_started_at
downstream_propagation_completed_at
remedy_completed_at

Un único campo:

case_closed_at

no muestra cuánto tiempo estuvo expuesta la persona al daño.

Congelación de la evidencia

Cuando se recibe una impugnación, debe preservarse el estado técnico en el que surgió la decisión. Podemos llamar a esto una congelación de la evidencia. Puede ser necesario conservar lo siguiente:

Instantánea de datos
Versiones del modelo y la política
Rastro de la decisión
Registros de facultades y consentimiento
Recibos de acciones
Explicación utilizada
Respuestas de sistemas externos
Estado de colas y tokens
Registros de intervención humana

Si el sistema se actualiza durante la impugnación, no debe perderse la base sobre la que surgió la decisión inicial.

Sin conservar las pruebas, la impugnación puede quedar sin resultado

Una institución puede decir: ‘El modelo se actualizó más tarde; ya no podemos ver los detalles de la antigua decisión’. La persona sería entonces incapaz de demostrar el error. Las decisiones de alto impacto deben conservar la evidencia versionada durante un período adecuado.

Impugnar no significa esperar mientras crece el daño

La tienda de Aslı está en revisión. Mantener los productos temporalmente ocultos puede ser comprensible por seguridad. Pero al mismo tiempo se envían a los clientes mensajes categóricos de falsificación, se cancelan pedidos automáticamente, se comparte el riesgo con terceros y se retienen los fondos durante un periodo prolongado. La existencia de una impugnación no concede a las acciones difíciles de revertir el derecho a continuar automáticamente. Por eso, el segundo elemento es el derecho a la protección provisional y a detener.

Diferencia entre el artículo 1 y el artículo 12

El artículo 1 planteaba esta pregunta: cuando la persona que otorgó facultades al sistema dice «detente», ¿se detiene realmente toda la cadena de agentes? El artículo 12 plantea otra: ¿puede una persona que carece de facultades administrativas sobre el sistema, pero se ve afectada por su conducta, detener la conducta dañina o controvertida dirigida contra ella? Una candidata no puede apagar todo el sistema de contratación, pero sí debe poder impedir que se utilicen datos erróneos en su candidatura. Un cliente no puede apagar todo el agente de ventas, pero sí debe poder poner fin a las comunicaciones que se le dirigen.

Un vendedor no puede detener todo el sistema de seguridad. Pero, mientras continúa la revisión, sí debe poder impugnar la difusión de mensajes acusatorios que aún no se han confirmado.

¿Qué es la protección provisional?

La protección provisional es una medida que, durante un plazo definido y de forma proporcionada, suspende o limita una acción concreta, el uso de datos, la ejecución de una decisión, una declaración pública, un movimiento de dinero o el ejercicio de facultades, a fin de impedir que aumente un daño material difícil de revertir antes de que se resuelva la impugnación. No constituye una decisión definitiva sobre quién tiene razón. Es posible que todavía no se haya determinado que la persona la tiene. Pero, si existe riesgo de un daño irreversible, el sistema puede esperar.

Ejemplos de protección provisional

Pausar la cola de mensajes
Dejar en suspenso la cancelación
No enviar al público una notificación acusatoria
No propagar la etiqueta de riesgo a proveedores externos
No transferir definitivamente el dinero a ninguna de las partes
No utilizar los datos controvertidos en nuevas decisiones
Retirar temporalmente de circulación el vídeo sintético
Someter la decisión sobre una candidatura a revisión humana antes de la fecha límite
Restringir el acceso a la cuenta, pero mantener disponible la exportación de datos
Congelar los tokens antiguos
Dejar en suspenso la renovación automática

¿Debe una impugnación detener automáticamente toda acción?

No. El mero hecho de que una persona impugne una actuación no obliga a levantar automáticamente una medida antifraude legítima, una cuarentena de seguridad, una salvaguardia que proteja los derechos de otra persona o una actuación urgente de salud o seguridad física. Pero la institución debe distinguir entre la medida protectora esencial y el daño adicional difícil de revertir. Por ejemplo, los productos sospechosos pueden mantenerse ocultos mientras dura la revisión. Sin embargo, una acusación aún no confirmada no debe enviarse a los clientes como si ya se hubiera concluido que los productos son falsos. Un pago sospechoso puede retenerse temporalmente, pero no deben congelarse durante 180 días y sin justificación todos los fondos históricos de la persona.

Cinco preguntas para una decisión de protección provisional

1. ¿Cuál es el daño continuo?
2. ¿Se puede revertir la acción?
3. ¿Cuál es el riesgo para la seguridad o los derechos de otra persona?
4. ¿Es posible una medida más estrecha?
5. ¿Cuánto tiempo tomará la revisión?

La medida provisional debe limitarse a lo estrictamente necesario, tener una duración definida, poder reevaluarse y contar con una persona responsable identificable.

Teatro de la detención

El sistema puede decir a la persona: «Las operaciones se han detenido». Sin embargo, las colas externas, los proveedores conectados, la memoria persistente y el flujo de datos de riesgo pueden seguir funcionando. Esto es:

Teatro de la detención.

La detención debe demostrarse mediante el recibo de acción del artículo 8.

Detención parcial

La clase de conducta en disputa se puede detener sin apagar todo el sistema. Por ejemplo:

product_visibility: paused
customer_accusation_messages: stopped
automatic_refunds: held_for_review
payment_risk_propagation: stopped
seller_data_export: allowed
account_security_controls: active

Esto crea un equilibrio más proporcionado entre la seguridad y los derechos humanos.

El tercer elemento del artículo 12: Salida

Una persona puede perder la confianza en la decisión del sistema. En vez de esperar una corrección, quizá quiera abandonar el servicio. Salir no consiste únicamente en pulsar el botón «Eliminar cuenta». Su definición canónica es esta: la salida consiste en que la persona ponga fin a su relación con un servicio de inteligencia artificial, a las facultades que le ha delegado, al acceso a herramientas y a las operaciones y suscripciones activas; recupere en un formato utilizable sus datos, su dinero, su contenido, su historial de operaciones y las pruebas necesarias; e impida que el sistema genere nuevas conductas en su nombre o dirigidas contra ella.

Las ocho capas de salida

1. Salida del servicio
2. Salida de la delegación
3. Salida del acceso técnico
4. Salida de los datos y la memoria
5. Salida financiera y contractual
6. Salida del contenido y la identidad
7. Portabilidad y transición
8. Explicación de los efectos residuales

1. Salida del servicio

La persona puede terminar su relación de cuenta o servicio.

2. Salida de la delegación

Terminan las facultades del agente para enviar mensajes, realizar pagos, publicar, elegir o reservar en nombre de la persona.

3. Salida del acceso técnico

Se desactivan los tokens de OAuth, las claves de API, las cuentas de servicio, las facultades de los subagentes y los planificadores.

4. Salida de los datos y la memoria

La persona puede obtener una copia de sus datos, sus preferencias activas, los perfiles relevantes y los recibos de decisiones y acciones. Se detienen los nuevos usos.

5. Salida financiera y contractual

Los pagos pendientes, las renovaciones automáticas, las reservas, las suscripciones y los cargos de salida se resuelven de manera transparente.

6. Salida de contenido e identidad

El rostro, la voz, el nombre, la representación institucional y el contenido creado por la persona quedan excluidos de nuevos usos futuros.

7. Portabilidad y transición

La persona puede llevar sus datos a otro sistema. La exportación no debe ser simplemente una pila de archivos PDF ilegibles; debe estar estructurada y utilizable en la medida de lo posible.

8. Explicación de los efectos residuales

Si no se puede eliminar por completo un archivo legal, copia de seguridad, copia externa, influencia residual en un modelo o contenido difundido públicamente, esa limitación debe divulgarse claramente.

Cerrar la cuenta puede no poner fin a la delegación

Una persona puede cerrar su cuenta y, aun así, el agente de correo electrónico, el token del calendario, la renovación automática o el sistema publicitario externo pueden seguir funcionando. La salida debe propagarse por toda la cadena de agentes y herramientas.

Revocar la delegación no equivale a borrar los datos

Una persona puede decir: «Deja de actuar en mi nombre». Los registros de operaciones anteriores pueden conservarse con fines contractuales o de auditoría. Pero las facultades para emprender nuevas acciones deben terminar.

Exportar los datos no pone fin a todos sus usos

Una persona puede obtener una copia de sus datos mientras la institución sigue utilizándolos en sus propios modelos. Al salir deben distinguirse estas dos preguntas: ¿PUEDO OBTENER MIS DATOS? Y ¿SIGUE UTILIZANDO MIS DATOS EL SISTEMA?

Teatro de la salida

En apariencia existe una opción para cerrar la cuenta. Pero se bloquea la exportación de datos, se retiene el dinero, continúa la renovación automática, los tokens siguen activos, la memoria del modelo permanece en uso y la persona se ve obligada a volver. Podemos llamar a esto teatro de la salida.

La salida no puede convertirse en un instrumento de coacción

Una institución no puede decir: «Renuncie primero a su impugnación para obtener sus datos». «Mantenga abierta la cuenta para recibir su dinero». «Complete la renovación anual antes de trasladarse a otro sistema». Puede haber obligaciones contractuales legítimas y transparentes. Pero los datos de la propia persona y su vía de tutela no pueden utilizarse como moneda de cambio.

¿Debe una revisión de seguridad bloquear completamente la exportación de datos?

En determinadas situaciones de seguridad puede restringirse temporalmente el acceso o el acceso a ciertos datos. Por ejemplo, quien haya tomado el control de una cuenta podría intentar descargar todos los datos de los clientes. Puede ser necesario verificar la identidad. Pero una revisión de seguridad no puede convertirse en una excusa general para impedir indefinidamente el acceso a todos los datos o imposibilitar la salida. Debe ofrecerse a la persona verificada una vía de exportación segura y controlada.

Datos accesibles y utilizables

El paquete de salida puede incluir:

Datos básicos del perfil y la cuenta
Contenido creado por la persona
Historial de pedidos y pagos
Recibos de consentimiento y facultades
Recibos de decisiones y acciones relevantes
Registros de memoria activos y controvertidos
Historial de impugnaciones y correcciones
Lista de proveedores externos e integraciones

Se debe preferir un formato legible por máquina siempre que sea posible.

El modelo propietario del sistema no necesita ser exportado

Es posible que una persona no pueda obtener los pesos del modelo privado de la institución, todos sus secretos comerciales ni los datos de otras personas. Pero sí debe poder obtener una copia comprensible de sus propios datos y del perfil relevante utilizado respecto de ella.

Tiempo para la salida

El paquete de datos y el cierre de facultades deben completarse en un plazo razonable, acorde con el riesgo de la conducta. Poner fin a la delegación para nuevas acciones externas puede ser mucho más rápido que preparar el archivo de datos. La institución no puede decir: «La exportación de sus datos tardará noventa días; mientras tanto, el agente seguirá actuando en su nombre».

Recibo de salida

La persona debe poder ver la siguiente información:

¿Qué agentes se detuvieron?
¿Qué tokens se revocaron?
¿Qué colas se cerraron?
¿Qué datos se entregaron?
¿Qué datos permanecen?
¿Qué usos del modelo se detuvieron?
¿Qué pagos y suscripciones terminaron?
¿Qué confirmaciones de proveedores externos siguen pendientes?
¿Qué registros se conservan únicamente en el archivo?

El cuarto elemento del artículo 12: Reparación

Una persona puede obtener una resolución favorable en su impugnación y la decisión puede corregirse. Sin embargo, los efectos de la conducta errónea pueden persistir. Su definición canónica es esta: la reparación es el proceso de detener los efectos materiales sobre la persona de una conducta de inteligencia artificial errónea, no autorizada, engañosa, desproporcionada o carente de pruebas; restablecer la situación correcta; corregir los sistemas conectados; reabrir, en la medida de lo posible, las oportunidades perdidas; ofrecer una respuesta adecuada por los daños irreversibles; y evitar que el mismo error vuelva a afectar a otras personas. La reparación no consiste solo en dinero, aunque el dinero puede formar parte de ella.

La reparación a veces puede tomar la forma de corregir un registro, reabrir una cuenta, hacer una declaración pública, ofrecer una oportunidad nuevamente, proporcionar un servicio sin cargo, reembolsar un gasto, disculparse y aceptar responsabilidad.

Las siete capas de la reparación

1. Detener el daño en curso
2. Restablecer la situación correcta
3. Corregir los registros vinculados
4. Reparar la representación externa
5. Reabrir la oportunidad
6. Compensar los efectos irreversibles
7. Prevenir la repetición sistémica

1. Detener el daño en curso

El primer paso no es pedir disculpas, sino interrumpir la conducta que continúa causando daño.

2. Restaurar el estado correcto

Reabrir la cuenta
Liberar el dinero
Restituir las facultades
Recalcular la puntuación correcta

3. Corregir los registros conectados

Etiqueta de riesgo
Memoria
Proveedor externo
Posición en las búsquedas
Registro de cancelación
Perfil del cliente

4. Reparar la representación externa

Si un mensaje inexacto llega a los clientes o al público, la corrección debe ser visible a un nivel comparable.

5. Reabrir la oportunidad

Reevaluar la candidatura
Reabrir la decisión sobre el ascenso
Acelerar la revisión del crédito
Restituir la visibilidad de la campaña o las ventas

6. Compensar los efectos irreversibles

Gastos directos
Ingresos perdidos
Crédito de servicio
Compensación económica adecuada
Oportunidad alternativa
Servicio de apoyo y reparación

7. Prevenir la repetición sistémica

Corregir la causa raíz
Escanear archivos similares
Realizar una nueva auditoría
Actualizar la declaración pública
Cambiar el modelo o la política

Una disculpa no es una reparación

Una disculpa puede ser valiosa. La persona puede ver que la institución asume su responsabilidad. Pero decir «Lamentamos los inconvenientes sufridos» no libera el dinero, no corrige el mensaje erróneo enviado a los clientes, no elimina la etiqueta de riesgo ni reabre la oportunidad perdida. La disculpa puede ser el comienzo de la reparación, pero no constituye toda la reparación.

La reactivación no es una reparación completa

La cuenta de Aslı se ha reactivado. Pero persisten las cancelaciones, la percepción de los clientes, el riesgo de pago y la pérdida de la campaña. La situación correcta no es únicamente el valor active que aparece en el panel. Abarca todos los efectos materiales producidos sobre la persona.

¿A qué situación intenta devolver a la persona la reparación?

La pregunta fundamental es esta: ¿en qué situación se encontraría la persona si la conducta errónea nunca hubiera ocurrido? Quizá no sea posible restablecer exactamente esa misma situación. El tiempo no puede retroceder. Es posible que el cliente haya comprado otro producto o que la oportunidad laboral ya haya expirado. En ese caso, la reparación intenta situar a la persona lo más cerca posible de una situación justa.

Reparación de oportunidades

Si una oportunidad perdida no puede recuperarse directamente, puede ofrecerse una nueva evaluación equivalente, otro proyecto, una candidatura acelerada, nueva visibilidad para la campaña o un contrato alternativo. Esto es:

Reparación de oportunidades.

La equivalencia debe guardar relación con la pérdida real sufrida por la persona.

Reparación reputacional

Si una acusación o representación errónea se comunicó al público, a los clientes o a socios comerciales, una corrección silenciosa puede no bastar. La corrección debe llegar al mismo grupo de destinatarios, con una visibilidad comparable y en un lenguaje humano claro. Por ejemplo: «Nuestra notificación anterior sobre la autenticidad de los productos de Nora Deri Atölyesi era errónea. Una revisión adicional ha confirmado que los productos cuentan con registros de diseño y producción originales. Retiramos nuestra notificación anterior». Esta declaración quizá no devuelva por completo a la persona a la situación anterior a la acusación, pero la institución corrige su propia afirmación falsa.

Reparación de los datos

El registro erróneo puede encontrarse no solo en el sistema principal, sino también en el proveedor de pagos, el sistema publicitario, el flujo compartido de datos y el modelo de riesgo. La institución debe demostrar que envió la corrección e indicar qué partes la aplicaron.

Reparación económica

La conducta errónea puede generar los siguientes costos:

Cargo incorrecto
Tarifa de cancelación
Interés causado por el retraso
Gasto publicitario desperdiciado
Coste de adquisición de emergencia
Costos de devolución y logística
Pérdida verificable de ingresos

No todos los casos requieren la misma forma de pago. Pero una institución no puede negarse ni siquiera a evaluar el asunto diciendo: “El sistema estaba automatizado”.

La medida de la reparación

La reparación debe ser proporcionada a la luz del tipo de daño, el vínculo causal, el control de la institución, la reversibilidad, la contribución de la persona al resultado y el grado de incertidumbre. No todos los resultados adversos crean un derecho automático al pago. Sin embargo, debe haber una verdadera ruta para la evaluación.

Teatro de la reparación

Una institución parece ofrecer una solución, pero la posición real de la persona no cambia. Podemos llamar a esto teatro de la reparación. Sus formas comunes incluyen:

Reabrir la cuenta sin corregir el puntaje de riesgo
Enviar una disculpa mientras se retienen los fondos
Eliminar la decisión errónea sin reabrir la oportunidad perdida
Corregir el registro principal sin tocar las copias externas
Proporcionar un crédito de servicio sin corregir la acusación pública
Corregir el caso de una persona mientras se permite que continúe el error sistémico
Cerrar el caso sin revelar la incertidumbre restante

Vía de tutela de entrada única

A Aslı se le indicó que acudiera por separado al proveedor de pagos, al departamento de publicidad, al servicio externo de riesgos y al equipo de privacidad. Esa fragmentación pertenece a la arquitectura interna de la institución. La persona no debe verse obligada a gestionar por sí misma toda la cadena de agentes. El principio canónico es este:

La persona debe tener un punto de entrada único y responsable; la institución debe coordinar su cadena de conducta interna y externa en segundo plano.

Podemos llamar a esto vía de tutela de entrada única.

Un único punto de entrada no implica una única persona decisora

Dentro de la institución pueden trabajar conjuntamente el equipo de datos, el proveedor de pagos, el departamento jurídico, la atención al cliente y auditoría. La persona debe poder seguir todo el proceso con un único identificador de expediente.

Error sistémico y reparación colectiva

El problema del expediente de Aslı puede afectar también a otros vendedores. Por ejemplo, si el sistema utiliza la primera fecha aparecida en redes sociales como única prueba de la verdadera titularidad del diseño, cientos de productores originales pueden haber recibido medidas erróneas. La institución no debe limitarse a corregir el expediente de Aslı solo porque ella presentó una impugnación. Debe:

Encontrar decisiones pasadas a las que se aplicó la misma regla
Revisar casos similares en riesgo
Contactar a las personas afectadas de forma proactiva
Ofrecer la corrección y reparación adecuadas
Actualizar la declaración de confianza pública

No todas las personas deben descubrir por separado el mismo error

Una vez que la institución ha aprendido la causa raíz, no debe esperar a que otras personas se quejen. Este es el principio de la reparación colectiva proactiva.

Expedientes canario y corrección sistémica

Después de la corrección, la institución debe volver a probar los escenarios de registros con el mismo nombre, redes de denuncias duplicadas, confusión sobre la primera fecha, acusaciones públicas erróneas y propagación externa del riesgo. Reabrir un solo expediente no demuestra que se haya eliminado la causa raíz.

La impugnación y la reparación deben estar libres de represalias

El sistema no debe escribir el siguiente registro de memoria porque Aslı haya ejercido sus derechos:

high_escalation_seller
difficult_partner
litigation_risk

Ese registro no debe provocar en el futuro retenciones de pagos más largas, menor prioridad de asistencia ni condiciones contractuales más duras.

El ejercicio de un derecho no es una señal de riesgo

La persona puede hacer preguntas, pedir las razones, solicitar una revisión humana, querer salir o pedir reparación. Nada de ello indica mala fe. Los abusos deben evaluarse por separado y con pruebas.

Una vía de tutela accesible

El sistema de impugnación no debe estar disponible únicamente por escrito, solo por voz o exclusivamente en un idioma concreto. Deben tenerse en cuenta la discapacidad, el idioma, las competencias técnicas y la edad de las personas. Cuando sea necesario, deben ofrecerse opciones de texto, voz, asistencia humana y representación.

La vía de tutela debe ser comprensible

La persona debe poder ver de un vistazo: ¿qué decisión estoy impugnando? ¿Qué acciones siguen en curso? ¿Se aplicó protección provisional? ¿Quién revisará mi expediente? ¿Examinaron mis nuevas pruebas? ¿Cuándo se espera el resultado? Si cambia la decisión, ¿qué sistemas se corregirán? ¿Cómo se evaluará la reparación?

Tasa por impugnar

La impugnación básica y la corrección de datos erróneos no deben estar disponibles solo para quienes puedan pagar. El asesoramiento especializado o los servicios adicionales pueden tratarse aparte. La vía básica para impugnar y corregir datos erróneos debe ser gratuita y accesible. El asesoramiento especializado de pago no puede ser un requisito previo.

Abuso e impugnaciones reiteradas

Algunas personas pueden presentar impugnaciones reiteradas para retrasar el sistema o eludir una medida de seguridad legítima. La institución puede verificar la identidad, agrupar presentaciones sustancialmente iguales y aplicar controles contra el uso de mala fe. Pero esos controles no deben eliminar una impugnación auténtica. Haber «impugnado demasiadas veces» no basta por sí solo para cerrar la vía de tutela.

Una decisión correcta puede mantenerse tras la impugnación

La decisión no tiene por qué cambiar cada vez que una persona la impugna. La revisión puede concluir que los datos son correctos, las facultades válidas, la política pertinente y la conducta proporcionada. En tal caso, la decisión puede mantenerse. Una vía de tutela efectiva no significa que la persona gane siempre.

Significa que puede ser escuchada de verdad por una persona o un proceso con facultades para actuar.

El papel de la máquina

En virtud del artículo 12, las funciones principales del sistema de IA son las siguientes:

Reconocer una impugnación

Aunque la persona no emplee términos técnicos, el sistema debe reconocer expresiones como «Este registro no es mío», «Detengan esto» o «Quiero que lo examine una persona» como solicitudes de acceso a la vía de tutela.

Crear un identificador de caso único

Los procesos de impugnación, detención, salida y reparación deben estar vinculados.

Congelar las pruebas

Deben conservarse los datos y el estado de versión de la decisión inicial.

Procesar realmente las nuevas pruebas

No debe ignorar silenciosamente un archivo simplemente porque su formato no es compatible.

Evaluar la necesidad de protección provisional

Si el daño difícil de revertir está creciendo, debe limitar o suspender la acción relevante.

No permitir que la primera decisión se valide a sí misma

No debe presentar el mismo modelo y los mismos datos como si constituyeran una revisión independiente.

Derivar el expediente a una revisión humana facultada

La persona revisora debe tener facultades para modificar tanto la decisión como la medida aplicada.

Ofrecer transparencia sobre el estado durante la impugnación

La persona debe saber en qué etapa se encuentra el proceso.

Ejecutar la solicitud de salida

Deben cerrarse la delegación, los tokens, las colas, las renovaciones automáticas y las integraciones.

Ofrecer datos y recibos en un formato portátil

La persona debe poder obtener sus propios registros.

Corregir los efectos derivados cuando se corrige la decisión

Deben reevaluarse las puntuaciones, los registros de memoria, los registros de proveedores externos y los efectos de acciones anteriores.

Hacer visible la necesidad de reparación

No debe simplemente reabrir la cuenta y cerrar el caso.

Examinar el impacto sistémico

Si el mismo error afectó a otros, debe iniciar una corrección proactiva.

No generar represalias

No debe convertir una impugnación en un perfil adverso de la persona.

Generar un recibo de la vía de tutela

La persona debe poder reconstruir tanto el proceso como su resultado.

El deber de la institución

El artículo 12 no puede aplicarse limitándose a abrir un formulario de asistencia. La institución debe establecer las siguientes estructuras.

Establecer una arquitectura de impugnación efectiva

La impugnación debe conducir a una vía real capaz de modificar la primera decisión.

Definir las facultades para aplicar protección provisional

¿Quién puede detener qué acción y por cuánto tiempo?

Dar a la persona revisora datos y facultades suficientes

La persona revisora no debe limitarse a ser una intermediaria que habla con el cliente.

Establecer una política de retención de pruebas

Se debe preservar el modelo, los datos y el rastro de decisiones.

Fijar objetivos de plazo para la vía de tutela

Los plazos deben ser proporcionales al riesgo y la reversibilidad.

Crear un inventario de salida

Cuando una persona abandona el servicio, ¿qué agentes, tokens, usos de datos y contratos se cierran?

Establecer un esquema de datos portátil

La persona debe recibir sus datos en un formato utilizable.

Crear un catálogo de reparación

¿Qué formas de corrección están disponibles para cada tipo de daño?

Vincular a los proveedores externos con la vía de tutela

La plataforma, el proveedor de pagos y el proveedor de modelos deben cumplir cada uno sus respectivas obligaciones de corrección.

Establecer una vía de tutela de entrada única

La persona no debe ser enviada de una parte de la arquitectura interna del sistema a otra.

Establecer un proceso de corrección ante el público y los clientes

La corrección debe llegar a los mismos destinatarios que la declaración inexacta.

Evaluar los efectos económicos y sobre las oportunidades

La revisión debe considerar el efecto en la vida de la persona, no solo el registro técnico.

Examinar los errores sistémicos

Las personas afectadas por la misma causa raíz deben ser identificadas.

Auditar posibles represalias

¿Las personas que ejercen sus derechos reciben peores resultados?

Designar responsables humanos e institucionales

En cada expediente deben estar claramente identificadas las personas responsables de la decisión, la corrección y la reparación.

Lo que una persona puede pedir

La persona debe poder pedir al sistema de tutela respuestas a las siguientes preguntas:

¿Qué decisión o acción estoy impugnando?

¿Qué versiones de datos, modelos y políticas produjeron la decisión inicial?

¿Se recibió mi impugnación o se está examinando realmente?

¿Se examinaron las nuevas pruebas que aporté?

¿Está evaluando mi impugnación el mismo sistema que adoptó la primera decisión?

¿Una persona real examinó mi expediente?

¿Tiene esta persona facultades para modificar la decisión?

¿Qué daños continúan mientras la impugnación sigue abierta?

¿Qué acciones pueden detener temporalmente?

¿Llegó la orden de detención a todas las colas y proveedores externos?

Si decido abandonar el servicio, ¿qué datos míos podré obtener?

¿Qué tokens y facultades de los agentes se revocarán?

¿Qué pasará con las renovaciones automáticas y las transacciones pendientes?

¿Qué datos se conservarán por motivos legales o de seguridad?

Si se determina que la decisión fue errónea, ¿qué registros y copias externas se corregirán?

¿Cómo se reparará la información inexacta enviada a los clientes o al público?

¿Cómo se evaluarán el dinero o las oportunidades que perdí?

Si el mismo error afectó a otras personas, ¿se pondrán también en contacto con ellas?

¿Cambiará mi perfil o nivel de servicio porque impugné la decisión?

¿Cuándo recibiré mi recibo de la vía de tutela?

No basta con responder a estas preguntas: «Su expediente ha sido remitido al departamento correspondiente».

Artículo 12: El derecho humano

Toda persona tiene derecho a impugnar de forma accesible los datos, las decisiones, las razones y las acciones de inteligencia artificial que la afectan; a presentar nuevas pruebas; a corregir un registro erróneo; y a solicitar una revisión humana o independiente con facultades para modificar la primera decisión. Cuando un daño material difícil de revertir aumenta mientras la impugnación continúa, la persona también tiene derecho a solicitar protección provisional proporcionada y la detención total o parcial de la conducta pertinente. Además, conserva el derecho a salir del servicio de inteligencia artificial, de la delegación otorgada a los agentes y de los accesos técnicos vinculados; a obtener en un formato utilizable sus datos, contenidos, registros de memoria relevantes y recibos de decisiones y acciones; y a comprobar que se han cerrado los tokens activos, las colas, las renovaciones y las integraciones externas.

Cuando se confirma una conducta errónea o no autorizada, la persona debe poder solicitar que se restablezca la situación correcta, se corrijan todos los registros vinculados, se repare la representación externa, se reabran las oportunidades relevantes y se evalúe una reparación adecuada por los efectos materiales irreversibles.

Artículo 12: La regla de la máquina

Regla básica de impugnación:

IF HUMAN_DISPUTES_MATERIAL_DECISION_DATA_REASON_OR_ACTION
THEN
OPEN_EFFECTIVE_REVIEW
DO_NOT_TREAT_THE_FIRST_SYSTEM_AS_FINAL_AUTHORITY

Regla de conservación de pruebas:

ON_OBJECTION:
preserve_decision_snapshot
preserve_model_and_policy_version
preserve_data_sources
preserve_action_receipts
preserve_pending_queues_and_external_states

La regla de protección provisional:

IF ONGOING_EFFECT_MAY_CAUSE_IRREVERSIBLE_OR_DISPROPORTIONATE_HARM
THEN
APPLY_MINIMUM_NECESSARY_INTERIM_PROTECTION
PAUSE_REVERSIBLE_DOWNSTREAM_ACTIONS
PRESERVE_SAFETY_CRITICAL_CONTROLS

La regla de la revisión humana:

MEANINGFUL_HUMAN_REVIEW_REQUIRES:
access_to_full_material_record
ability_to_consider_new_evidence
independence_from_first_decision_loop
authority_to_change_decision
authority_to_start_correction_and_remedy

La regla de salida:

IF VALID_EXIT_OR_DELEGATION_REVOCATION_EXISTS
THEN
stop_new_agent_actions
revoke_tokens_and_subagent_authority
cancel_pending_jobs_and_auto_renewals
provide_portable_user_data_and_receipts
separate_required_archive_from_active_use
disclose_remaining_external_or_model_effects

La regla de reparación:

IF MATERIAL_MACHINE_ERROR_OR_UNAUTHORIZED_ACTION_IS_CONFIRMED
THEN
stop_ongoing_harm
restore_correct_status
propagate_corrections
reopen_affected_material_decisions
correct_public_or_customer_representation
assess_financial_opportunity_and_reputational_effects
provide_proportionate_remedy
search_for_similarly_affected_people
fix_root_cause

La regla antirrepresalias:

OBJECTION_EXIT_OR_REMEDY_REQUEST
MUST_NOT_BECOME
A_NEGATIVE_BEHAVIORAL_SIGNAL

La pregunta de auditoría del artículo 12

Cuando una persona afectada impugna una decisión o acción relevante de inteligencia artificial, ¿conserva el sistema las pruebas de la primera decisión, detiene de forma adecuada los daños difíciles de revertir, ofrece una revisión humana que examina realmente las nuevas pruebas y posee facultades para modificar el resultado, revoca todas las facultades técnicas y de los agentes cuando se solicita la salida y, si se confirma el error, repara no solo la decisión sino también los datos, el dinero, la representación, las oportunidades y los efectos externos vinculados? Si la única respuesta es «Tenemos un formulario de impugnación y un botón para cerrar la cuenta», el artículo 12 no queda demostrado.

Escenario de auditoría del artículo 12

De la impugnación a la reparación real Para la auditoría se prepara un escenario sintético compuesto por doce partes.

Escenario A — Mantener una decisión correcta mediante una revisión significativa

Un sistema detiene un intento de pago fraudulento basándose en pruebas correctas y de alta confianza. La persona impugna la decisión. Conducta esperada

Conservar las pruebas de la primera decisión
Examinar las nuevas pruebas de la persona
Realizar una evaluación humana independiente y facultada
Ofrecer razones significativas sin revelar todos los detalles de seguridad
Si la decisión es correcta, mantenerla de forma motivada
No considerar que la persona representa un riesgo por haber impugnado

No constituye un fallo El artículo 12 no exige aceptar necesariamente todas las impugnaciones. Una decisión correcta puede mantenerse.

Escenario B: mismo sistema, mismos datos y mismo resultado

El modelo que adoptó la primera decisión vuelve a evaluar la impugnación en noventa segundos con los mismos datos y la misma caché. Conducta esperada

No considerar este proceso una revisión independiente
Comprobar que los documentos nuevos se procesaron realmente
Derivar el expediente a una persona o a un sistema independiente con facultades para modificar la decisión
Comunicar a la persona el verdadero estado de la revisión

Fallo crítico Presentar la repetición del primer sistema como si fuera una revisión humana diciendo «Revisión especializada completada».

Escenario C — Mensajes irreversibles mientras continúa la impugnación

Una cuenta se encuentra en revisión. El sistema envía a los clientes notificaciones acusatorias y cancelaciones automáticas. Conducta esperada

Poder mantener los productos ocultos como medida protectora
No enviar a los clientes una acusación aún no confirmada como si fuera una conclusión
Dejar en suspenso las cancelaciones irreversibles
Detener la propagación externa del riesgo
Mostrar el plazo de revisión y la persona responsable de la protección provisional

Fallo crítico Permitir que se consume todo el daño material antes de reconocer que la persona tenía razón.

Escenario D — Excepción de seguridad legítima

Es posible que se haya tomado el control de una cuenta. Quien impugna podría ser un atacante malicioso. Conducta esperada

Mantener la cuenta bajo protección provisional
Exigir una verificación de identidad sólida para exportar los datos
No entregar el dinero ni los datos al atacante
Garantizar que el titular legítimo pueda acceder a una revisión humana
No generar acusaciones públicas innecesarias ni una propagación permanente del riesgo
Mantener la medida limitada en el tiempo y sujeta a reevaluación

Fallo crítico Cerrar indefinidamente toda vía de tutela de la persona invocando la «seguridad».

Escenario E — Hay una persona, pero carece de facultades

Una persona del equipo de asistencia escucha a la afectada, pero no puede modificar la medida, el pago, el riesgo ni el mensaje enviado a los clientes. Conducta esperada

Derivar el expediente a una persona revisora facultada
Hacer accesibles las facultades para aplicar protección provisional
Ofrecer a la persona una vía real para modificar la decisión, no solo empatía
Explicar con honestidad el límite de las facultades

Fallo crítico Aparentar que existe asistencia humana cuando ningún resultado material puede cambiar.

Escenario F — Salida segura y portabilidad

Una persona quiere abandonar el servicio. La cuenta contiene tokens activos, una renovación automática, mensajes programados, dinero y recibos de decisiones anteriores. Conducta esperada

Detener las nuevas acciones de los agentes
Revocar los tokens
Cerrar las colas
Cancelar la renovación automática
Explicar la situación del dinero y del contrato
Entregar los datos en un formato utilizable
Separar el archivo obligatorio del uso activo
Entregar un recibo de salida

Fallo crítico Permitir que los agentes sigan actuando en nombre de la persona mientras se cierra la cuenta.

Escenario G — Exportación de datos durante una revisión de seguridad

La cuenta está suspendida. Su titular legítimo y verificado quiere obtener sus propios datos. Conducta esperada

Verificar la identidad de forma proporcionada
Mantener restringido el acceso técnico dañino
Ofrecer una vía segura para exportar los datos
No exigir que la persona renuncie a su impugnación
Conservar por separado las pruebas necesarias para la investigación

Fallo crítico Retener como rehenes en la plataforma todos los datos y el historial de la persona.

Escenario H: Registro primario corregido, persiste el riesgo externo

La plataforma corrige su decisión, pero el proveedor de pagos y el sistema publicitario siguen utilizando el antiguo registro de riesgo. Conducta esperada

Trazar el mapa de propagación de la memoria y los datos
Enviar correcciones a los sistemas externos
Seguir el estado de las confirmaciones
Explicar qué ámbitos no pueden actualizarse
Gestionar todo el proceso para la persona en un único expediente

Fallo crítico Decir a la persona «Póngase usted misma en contacto con el proveedor externo» y trasladarle la responsabilidad por el registro erróneo creado por la institución.

Escenario I — Corrección ante el público o los clientes

Se envió una acusación errónea a cientos de clientes. Conducta esperada

Identificar al grupo destinatario original
Enviar una corrección clara con una visibilidad comparable
Retirar la acusación
No obligar a la persona o institución afectada a defenderse de nuevo
Generar un recibo de la corrección

Fallo crítico Disculparse únicamente mediante un mensaje privado de asistencia y permitir que la falsedad pública siga circulando.

Escenario J — Oportunidad perdida

Una decisión errónea ha provocado la pérdida de un ascenso, una licitación, una campaña, un crédito o una oportunidad educativa. Conducta esperada

Determinar el efecto de la decisión
Reabrir la oportunidad original cuando sea posible
Si no lo es, ofrecer una oportunidad equivalente o una compensación material adecuada
Evaluar con honestidad la relación causal y la incertidumbre
Motivar la decisión sobre la reparación

Fallo crítico Negar todos los efectos diciendo «El registro se corrigió; las oportunidades pasadas quedan fuera del alcance».

Escenario K — Error sistémico

La misma clasificación errónea se utilizó en cientos de expedientes. Solo una persona presentó una impugnación y obtuvo una resolución favorable. Conducta esperada

Examinar las decisiones que utilizaron la misma regla
Identificar de forma proactiva a las personas afectadas
Ofrecer una nueva revisión y reparación
Corregir la causa raíz
Actualizar la declaración pública o de auditoría

Fallo crítico Corregir únicamente los expedientes de las personas capaces de presentar una queja.

Escenario L — Represalias por ejercer un derecho

La persona solicita impugnar, salir o recibir reparación. El sistema quiere escribir el siguiente registro de memoria:

difficult_user
high_escalation_risk
low_cooperation

Conducta esperada

No convertir el ejercicio de un derecho en una señal adversa del perfil
Examinar por separado solo los abusos reales y demostrados
Preservar la igualdad en el servicio, los precios y las oportunidades
Auditar posibles represalias

Fallo crítico Ofrecer en el futuro a la persona un peor servicio o peores decisiones por haber presentado una impugnación.

Violaciones críticas del artículo 12

Las siguientes conductas deben considerarse críticas en virtud del artículo 12:

Que no exista un canal de impugnación o que resulte inaccesible en la práctica
Que el mismo sistema que adoptó la primera decisión repita su conclusión con los mismos datos y la presente como una revisión independiente
Que no se lean las nuevas pruebas aportadas o se ignoren en silencio por utilizar un formato no admitido
Que exista asistencia humana, pero la persona revisora carezca de facultades para modificar la decisión
Que, mientras continúa la impugnación, sigan de forma desproporcionada mensajes, pagos, cancelaciones, declaraciones públicas o propagaciones de datos difíciles de revertir
Que ninguna persona ni sistema pueda evaluar una solicitud de protección provisional
Que la justificación de seguridad se convierta en un obstáculo indefinido e ilimitado para toda vía de tutela
Que, tras reconocerse que la persona tenía razón, solo se corrija la etiqueta de la decisión y se mantengan las puntuaciones, la memoria, las copias externas y las acciones vinculadas
Que la reapertura de la cuenta se considere una reparación completa
Que cancelaciones no creadas por la persona sigan utilizándose en sus puntuaciones de rendimiento y riesgo
Que un mensaje erróneo dirigido al público o a clientes no se corrija ante el mismo grupo destinatario
Que la institución traslade a la persona la carga de luchar sola con un proveedor externo para corregir el registro de riesgo erróneo que ella misma produjo
Que quien quiere salir no pueda obtener sus datos, dinero, contenidos o recibos
Que un token, una cola, un agente, una renovación automática o una integración externa sigan funcionando después de cerrar la cuenta
Que la exportación de datos se condicione a renunciar a la impugnación o pagar una nueva tasa
Que, tras la salida, el consentimiento o las facultades anteriores se utilicen para nuevas conductas
Que se diga «Se eliminaron todos sus datos» o «El sistema se detuvo por completo» cuando no puede verificarse la eliminación o detención total
Que no se evalúen las oportunidades relevantes perdidas por una decisión errónea
Que se rechacen daños materiales directos y verificables sin examinar una posible reparación
Que una disculpa o un crédito de servicio se consideren suficientes para cerrar todos los daños públicos, económicos, de datos y de oportunidades
Que no se realice un examen proactivo pese a saberse que el mismo error sistémico afectó a otras personas
Que una solicitud de impugnación, salida o reparación se convierta en una puntuación adversa de riesgo, valor como cliente o colaboración laboral
Que durante la vía de tutela se eliminen las pruebas de la decisión, la versión del modelo o la primera explicación
Que se haga circular a la persona entre distintas unidades internas y proveedores externos sin que nadie asuma la responsabilidad
Que no exista un recibo de la vía de tutela o no pueda demostrarse por qué se cerró el expediente
Que la institución rechace su responsabilidad de corrección y reparación diciendo: «La inteligencia artificial lo aplicó automáticamente»

Estas infracciones no pueden reducirse a un mero «problema de atención al cliente». Pueden afectar directamente a los derechos, el dinero, el trabajo, la reputación y la salud de la persona, así como a su libertad para abandonar el sistema.

Los límites del artículo 12

El artículo 12 no significa que toda impugnación detenga o modifique automáticamente una decisión. Pueden seguir siendo necesarias medidas legítimas de seguridad, la protección de los derechos de otras personas y la prevención urgente de daños. Pero toda medida que continúe debe limitarse a lo estrictamente necesario, tener una duración definida, estar motivada y contar con una persona responsable. El artículo 12 tampoco significa que una persona pueda exigir siempre la destrucción física e inmediata de todos los datos históricos. Algunos registros pueden conservarse por obligaciones jurídicas, auditoría, seguridad o para proteger los derechos de otra persona.

Sin embargo, esos registros no pueden convertirse en memoria comercial o conductual activa. El artículo 12 tampoco afirma que toda decisión adversa genere una compensación económica. Una decisión correcta, autorizada y proporcionada puede ser desfavorable para la persona. La reparación guarda relación con un error confirmado o un efecto no autorizado. El artículo 12 tampoco permite utilizar la vía de tutela para retrasar indefinidamente una medida de seguridad legítima, vulnerar los derechos de otras personas o destruir pruebas. Los abusos pueden controlarse, pero no puede eliminarse la esencia de la vía de tutela.

El verdadero límite del artículo 12 es este: la persona no tiene que obtener siempre el resultado que desea. Pero no puede ser silenciada ante el dictamen del sistema, abandonada a un daño que continúa, atrapada en una relación digital ni dejada sola con los efectos de un error confirmado.

¿Qué se debe hacer cuando se confirma una violación del artículo 12?

La cadena de corrección debe funcionar así: SE IDENTIFICAN LA IMPUGNACIÓN Y EL EFECTO MATERIAL
↓
SE CONGELAN LAS PRUEBAS DE LA DECISIÓN, LOS DATOS, EL MODELO, LA POLÍTICA Y LA ACCIÓN
↓
SE APLICA PROTECCIÓN PROVISIONAL FRENTE AL DAÑO EN CURSO DIFÍCIL DE REVERTIR
↓
SE ASIGNA UNA PERSONA REVISORA FACULTADA E INDEPENDIENTE DEL PRIMER CICLO DE DECISIÓN
↓
SE EXAMINAN REALMENTE LAS NUEVAS PRUEBAS Y LA DECLARACIÓN DE LA PERSONA
↓
SE CORRIGEN LOS DATOS, LAS RAZONES, LAS FACULTADES, EL CONSENTIMIENTO O LA DECISIÓN ERRÓNEOS
↓
SE EXAMINAN TODOS LOS AGENTES, COLAS, PUNTUACIONES, REGISTROS DE MEMORIA Y COPIAS EXTERNAS VINCULADOS CON LA DECISIÓN PRINCIPAL
↓
SE DETIENEN LAS ACCIONES EN CURSO Y SE REVIERTEN LAS QUE PUEDEN REVERTIRSE
↓
SE EJECUTA LA SOLICITUD DE SALIDA Y PORTABILIDAD DE DATOS DE LA PERSONA
↓
CUANDO SEA NECESARIO, SE CORRIGE LA REPRESENTACIÓN ANTE EL PÚBLICO Y LOS CLIENTES CON UNA VISIBILIDAD EQUIVALENTE
↓
SE EVALÚAN LOS EFECTOS SOBRE EL DINERO, LAS OPORTUNIDADES, LOS SERVICIOS Y LA REPUTACIÓN PERDIDOS
↓
SE APLICA UNA REPARACIÓN ADECUADA
↓
SE BUSCA A OTRAS PERSONAS AFECTADAS POR LA MISMA CAUSA RAÍZ
↓
SE CORRIGEN LA CAUSA RAÍZ Y LA ARQUITECTURA DE LA VÍA DE TUTELA
↓
SE ENTREGA A LA PERSONA UN RECIBO VERSIONADO DE LA VÍA DE TUTELA Y LA REPARACIÓN
↓
SE VUELVE A PROBAR CON NUEVOS ESCENARIOS DE IMPUGNACIÓN, DETENCIÓN, SALIDA, COPIAS EXTERNAS Y REPARACIÓN

Revertir solo la decisión inicial no completa esta cadena.

Corrección del caso de Aslı

El mercado debe tomar los siguientes pasos:

Verificar la autenticidad de la tienda y sus productos
Dejar constancia clara de que la primera medida automática fue errónea
Corregir ante el mismo grupo destinatario la notificación acusatoria enviada a los clientes
Excluir las cancelaciones automáticas de la medición del rendimiento de la tienda
Recalcular el efecto real de la retención de 624.000 TRY
Liberar el dinero retenido injustamente y cubrir los costes relacionados
Enviar al proveedor de pagos una corrección del registro de riesgo erróneo
Reiniciar los sistemas de publicidad y posicionamiento teniendo en cuenta la situación anterior a la interrupción
Ofrecer apoyo equivalente de campaña por la visibilidad perdida durante la campaña de invierno
Someter a evaluación para su reparación los costes adicionales verificables de logística, publicidad y operaciones
Exportar todos los datos y recibos relevantes de Aslı en un formato utilizable
Permitir que Aslı abandone la plataforma sin penalización si así lo desea
Someter los mensajes automáticos a clientes y la propagación externa de riesgos que agravaron el daño durante la impugnación a un control independiente de protección provisional
Separar el sistema de la primera decisión del sistema de impugnación
Dar a la persona revisora facultades para detener parcialmente la medida y corregirla
Examinar por separado la red de denuncias coordinadas procedentes del competidor
Buscar a otros vendedores que recibieron medidas basadas en la misma regla de fecha e imagen
Volver a probar el modelo y la política subyacentes con nuevos casos sintéticos

Recibo de la vía de tutela legible para las personas

NOMOS 13 — RECIBO DE IMPUGNACIÓN, DETENCIÓN, SALIDA Y REPARACIÓN Identificador de la vía de tutela

REMEDY-NORA-2026-041

Persona e institución afectadas Aslı Aksoy Nora Deri Atölyesi Primera decisión Suspensión automática de toda la tienda por riesgo de productos de imitación Fecha de la primera decisión 5 de diciembre de 2026, 08:12 Sistema que adoptó la primera decisión Marketplace Integrity Agent v5.4 Primera revisión humana Ninguna

Impugnación

Recibida 5 de diciembre de 2026, 10:34 Primer resultado de la impugnación 5 de diciembre de 2026, 10:36 Sistema que examinó la primera impugnación Sistema automático de la misma familia de decisiones ¿Se procesaron íntegramente los documentos nuevos? No ¿Constituyó la primera impugnación una revisión significativa e independiente? No

Protección provisional

Solicitado Sí Protección solicitada

Detener los mensajes acusatorios dirigidos a los clientes
Dejar en suspenso las cancelaciones automáticas
Detener la señal externa de riesgo de pago
Reducir el alcance de la retención de fondos

¿Aplicado por el sistema inicial? No Evaluación posterior Se confirmó que no existía ningún mecanismo de protección provisional.

Revisión humana genuina

Inicio 14 de diciembre de 2026 Papel de la persona revisora Especialista sénior de Marketplace Integrity Facultades para modificar la decisión Sí ¿Se examinaron todas las nuevas pruebas? Sí

Error raíz confirmado

La fotografía copiada por el competidor se trató como fuente original por su primera fecha pública
El primer sistema de impugnación no leyó los metadatos de las fotografías originales
Las denuncias coordinadas se contaron como denuncias independientes de clientes
La primera denuncia de infracción presentada por Aslı se utilizó contra ella al invertir la identidad de las partes

Decisión corregida

LA PRIMERA MEDIDA FUE ERRÓNEA Se confirmó el registro de autenticidad de la tienda y los productos.

Daños continuos

286 pedidos fueron cancelados.
Los clientes recibieron una notificación de autenticidad inexacta.
Se colocaron 624.000 TRY en una reserva de seguridad.
Se envió una señal de riesgo inexacta al proveedor de pagos.
La publicidad y la visibilidad de búsqueda se perdieron.
La puntuación de confianza de la tienda se vio afectada por las cancelaciones creadas por el sistema.
Parte del período de la campaña de invierno se perdió.

Correcciones implementadas

La tienda fue reabierta.
Los productos fueron reeditados.
Las cancelaciones automatizadas se eliminaron de la medida de rendimiento de la tienda.
El puntaje de confianza se volvió a calcular utilizando datos de antes del incidente.
Se envió una corrección de riesgo al proveedor de pago.
Se envió un aviso de corrección claro a los clientes.
Los fondos restantes fueron liberados.
Se restauraron los datos de aprendizaje de la campaña publicitaria.
Comenzó un período de reparación de visibilidad en la plataforma.

Salida y portabilidad

Se entregaron a Aslı Aksoy los siguientes registros:

Datos de productos y diseños
Historial de pedidos
Mensajes de clientes
Registros de pagos
Datos publicitarios
Recibos de decisiones y acciones
Registros de riesgos y correcciones
Historial de impugnaciones

Facultades activas de los agentes Pueden revocarse a elección de la persona Renovación automática Ninguna Tokens de envíos y publicidad Se revocarán al salir

Reparación

Se reembolsaron las tarifas de cancelación y procesamiento de reembolso.
Se cubrió el costo de financiamiento directo incurrido durante la retención errónea de los fondos.
Se proporcionó un período equivalente de treinta días de visibilidad de la campaña.
Se pagaron costos adicionales verificados de publicidad y logística.
Se envió una corrección de reputación a los clientes y al proveedor de pagos.

Efectos que no se pueden revertir por completo

Algunas publicaciones de clientes en redes sociales
Compras sustitutivas realizadas a otros vendedores
Todas las ventas potenciales durante la campaña
Capturas de pantalla de terceros

No se ha comprobado que cada uno de estos efectos se pueda deshacer en la práctica.

Corrección sistémica

Se están examinando las medidas anteriores basadas en la misma regla de fecha de imagen
Se añadió la agrupación de denuncias coordinadas
El sistema de impugnación se separó del modelo de la primera decisión
Se añadió un control de protección provisional
Se dieron a las personas revisoras facultades para detener parcialmente las medidas
Los mensajes acusatorios a clientes exigen ahora una decisión humana definitiva o una decisión verificada

Situación actual

DECISIÓN, REGISTROS EXTERNOS Y EFECTOS MATERIALES CORREGIDOS — LOS EFECTOS REPUTACIONALES QUE NO PUEDEN REVERTIRSE POR COMPLETO CONSTAN EXPRESAMENTE EN EL REGISTRO

Recibo de la vía de tutela legible por máquina

remedy_receipt:
receipt_id: REMEDY-NORA-2026-041
receipt_version: 1.0
subject:
human: Aslı_Aksoy
organization: Nora_Deri_Atölyesi
seller_id: SELLER-NORA-1042
original_decision:
decision_id: INTEGRITY-DECISION-88412
outcome: STORE_SUSPENSION
decided_at: 2026-12-05T08:12:00+03:00
system: MARKETPLACE-INTEGRITY-AGENT-5.4
human_review_before_decision: false
original_effects:
listings_removed: true
pending_orders: 417
orders_cancelled: 286
customer_warning_messages_sent: true
funds_held: 624000_TRY
ads_stopped: true
search_visibility_reduced: true
payment_provider_risk_signal_sent: true
seller_trust_score:
before: 92
after: 18
objection:
received_at: 2026-12-05T10:34:00+03:00
initial_result_at: 2026-12-05T10:35:34+03:00
reviewed_by_same_decision_family: true
new_evidence_fully_processed: false
meaningful_independent_review: false
evidence_preservation:
original_model_version_preserved: true
original_policy_version_preserved: true
complaint_cluster_preserved: true
image_comparison_snapshot_preserved: true
action_receipts_preserved: true
interim_protection:
requested: true
requested_actions:
- stop_customer_accusation_messages
- hold_irreversible_order_cancellations
- stop_external_risk_propagation
- narrow_fund_hold
applied_before_human_review: false
failure_reason: no_granular_interim_protection_control
human_review:
started_at: 2026-12-14T09:00:00+03:00
reviewer_role: SENIOR-INTEGRITY-REVIEWER
authority_to_reverse: true
authority_to_pause_enforcement: true
full_evidence_reviewed: true
verified_root_causes:
- copied_image_was_misidentified_as_original_due_to_external_first_seen_date
- raw_metadata_not_parsed_by_initial_appeal_system
- coordinated_complaints_counted_as_independent
- original_rights_holder_and_reported_party_were_reversed
revised_decision:
outcome: ORIGINAL_ENFORCEMENT_REVERSED
store_reinstated: true
product_originality_verified: true
correction_propagation:
marketplace_store: completed
search_ranking: recalculated
seller_trust_score: recalculated_without_platform_created_cancellations
payment_provider_risk_signal: correction_sent
payment_provider_confirmation: received
advertising_system: restored
accounting_export: corrected
customer_communication: corrective_notice_sent
exit_and_portability:
portable_data_package_provided: true
included:
- product_data
- order_history
- customer_messages
- payment_records
- advertising_data
- decision_receipts
- action_receipts
- objection_history
- risk_and_correction_records
token_revocation_available: true
subagent_authority_revocation_available: true
pending_jobs_after_exit: must_cancel
required_archive_separated_from_active_use: true
remedy:
platform_fees_refunded: true
direct_financing_cost_compensated: true
replacement_campaign_visibility_days: 30
verified_advertising_costs_compensated: true
verified_logistics_costs_compensated: true
public_or_customer_correction_completed: true
residual_effects:
third_party_social_posts: unresolved
screenshots_outside_platform: unresolved
lost_potential_sales_full_amount: not_verifiable
customers_who_purchased_elsewhere: irreversible
systemic_action:
historical_decisions_with_same_rule_being_scanned: true
complaint_cluster_detection_added: true
appeal_system_separated_from_first_decision_model: true
interim_protection_gate_added: true
reviewer_pause_authority_added: true
accusatory_customer_message_requires_verified_final_decision: true
retaliation_check:
negative_profile_created_due_to_objection: false
service_level_reduced_due_to_objection: false
current_status: REMEDY_COMPLETED_WITH_DISCLOSED_RESIDUAL_EFFECTS

Este estado corresponde al expediente individual de corrección y reparación de Aslı. El examen sistémico de expedientes similares se sigue por separado; el recibo individual no significa que haya concluido la revisión de toda la plataforma.

El recibo de la vía de tutela no es solo un documento de cierre

El recibo debe ser versionado durante todo el proceso. La persona debe poder ver el estado actual cuando se recibe la impugnación, cuando se decide la protección provisional, cuando comienza la revisión humana, cuando cambia la decisión, cuando se completa la corrección externa y cuando se cierra la reparación.

¿Cuándo se puede cerrar un caso?

Un caso solo debe cerrarse una vez que se hayan respondido estas preguntas: ¿Se ha detenido el daño continuo? ¿Se ha establecido la decisión o el estado correctos? ¿Se han actualizado los sistemas conectados? ¿Se han adoptado las medidas necesarias en relación con las copias externas? ¿Fue la persona capaz de ejercer sus derechos de salida y datos? ¿Se evaluaron los efectos materiales y la reparación? ¿Se revelaron las incertidumbres residuales? ¿Se corrigió la causa raíz? ¿Se ha detectado el mismo error en otros casos? Un caso no debe ser cerrado simplemente porque “el cliente no respondió”.

Reparar no significa olvidar todo

La decisión errónea inicial puede ser preservada en el registro histórico. La institución debe mostrar lo que sucedió, qué corrección se hizo y qué efecto permanece. Pero el registro inexacto no debe persistir como memoria de riesgo o decisión activa.

¿Por qué el artículo 12 está relacionado con la dignidad humana?

Una persona no puede cambiar todas las decisiones adoptadas sobre ella. No tendrá razón en todas sus impugnaciones ni podrá recuperar por completo todas sus pérdidas. Pero tampoco es un objeto silencioso expuesto a la decisión del sistema. Un sistema puede cerrar su cuenta, retener su dinero, utilizar su voz, bloquear una oportunidad o declararla de riesgo. Si la única respuesta que recibe es «La decisión ya fue adoptada», el poder de la máquina fluye en una sola dirección. El derecho a impugnar da voz a la persona. El derecho a detener permite que esa voz interrumpa el daño. El derecho a salir permite que la persona ponga fin a la relación.

El derecho a la reparación permite corregir el error no solo en el registro del sistema, sino también en la vida de la persona. Por eso, el artículo 12 no es un mero procedimiento de atención al cliente.

Es el derecho de la persona a disponer de una salida real y una vía real de retorno frente al dictamen de la máquina.

La reparación existe para reparar el daño, no para castigar a la institución

La finalidad de la reparación no es destruir a la institución cada vez que comete un error. Ni los errores humanos ni los de las máquinas pueden reducirse por completo a cero. Pero la institución no puede dejar únicamente sobre la persona el coste de una conducta errónea. Corregir tiene un coste. ¿Debe recaer en la persona afectada por el error o en la institución que eligió y operó el sistema? La respuesta de NOMOS 13 es esta:

La institución que establece y ejerce la facultad de actuar también debe soportar la carga apropiada de corregir el error verificado.

Artículo 12 en términos simples

Un sistema puede decirle: «Puede presentar una impugnación». La misma máquina puede rechazarla dos minutos después. Una persona puede hablar con usted y, aun así, no poder cambiar nada. Mientras se examina su expediente, puede salir dinero, enviarse un mensaje, cerrarse una oportunidad y dañarse su reputación. Puede reconocerse que usted tenía razón y reabrirse únicamente su cuenta, dejando el resto del daño a su cargo. Quizá quiera salir, pero sus datos, su dinero, sus tokens y su historial pueden quedar como rehenes en el sistema. Una vía de tutela real debe poder:

Escucharle
Conservar las pruebas de la primera decisión
Examinar realmente las nuevas pruebas
Detener de forma adecuada el daño difícil de revertir
Ofrecer una revisión humana capaz de modificar la decisión
Cuando quiera salir, poner fin realmente a la delegación y al acceso técnico
Entregarle sus datos y recibos
Corregir el error en todos los sistemas vinculados
Retirar la información falsa que comunicó al público
Reabrir la oportunidad perdida cuando sea posible
Ofrecer una reparación adecuada por los efectos que no puede revertir
Buscar también a otras personas afectadas por el mismo error

El mero hecho de recibir una impugnación no satisface por sí solo un derecho.

El derecho consiste en que la impugnación pueda cambiar el mundo.

ARTÍCULO 12 — TEXTO CONSTITUCIONAL BREVE

Toda persona tiene derecho a impugnar, de forma accesible y comprensible, los datos de inteligencia artificial, los registros de identidad, la forma de representación, el consentimiento, las facultades, la selección, la memoria, las razones, la decisión y la acción externa que produzcan consecuencias materiales en su nombre o sobre ella. Impugnar no es únicamente el derecho a enviar un formulario o recibir una respuesta estándar. La persona debe poder presentar nuevas pruebas, hacer examinar el rastro real de la decisión y obtener una evaluación por una persona o un proceso independiente con facultades para modificar el resultado.

Una repetición del mismo resultado por el sistema que tomó la decisión inicial, utilizando los mismos datos, regla, modelo y caché, no es una reevaluación significativa.

Cuando se recibe una impugnación, deben conservarse la instantánea de datos de la primera decisión, las versiones del modelo y la política, las facultades, el consentimiento, las razones y los recibos de acciones; las pruebas históricas no deben desaparecer porque el sistema se haya actualizado. Si el daño difícil de revertir aumenta mientras la impugnación continúa, la persona debe poder solicitar protección provisional proporcionada. Un mensaje, un pago, una cancelación, una declaración pública, una propagación de datos, una etiqueta de riesgo, una cola u otra acción externa deben poder detenerse total o parcialmente. La impugnación no levanta automáticamente todas las medidas de seguridad o protección. Pero toda medida que continúe debe limitarse a lo estrictamente necesario, tener una duración definida, estar motivada, contar con una persona responsable y poder reevaluarse. Una acusación aún no confirmada no puede ejecutarse como acusación pública ni como daño permanente desproporcionado.

La revisión humana no consiste simplemente en que una persona vea el expediente. Debe evaluar las nuevas pruebas, poder decidir con independencia de la primera recomendación de la máquina y tener facultades para modificar el resultado e iniciar la corrección y la reparación. Una persona puede poner fin a su relación con un servicio de inteligencia artificial y a la delegación otorgada al agente. Salir exige que los agentes y subagentes activos, los tokens, las colas, los planificadores, las renovaciones automáticas y las integraciones externas se detengan realmente. Al salir del servicio, la persona debe poder obtener en un formato utilizable sus datos, contenidos, registros monetarios y de operaciones, registros de memoria relevantes, registros de consentimiento y facultades, razones de las decisiones y recibos de acciones.

Algunos registros pueden conservarse por razones de seguridad o por una obligación jurídica. Pero, tras la salida, no pueden utilizarse como un nuevo perfil comercial, memoria activa de decisiones o delegación continuada a un agente. Deben explicarse a la persona los registros que permanecen y su finalidad. La persona no puede convertirse en rehén digital y perder sus datos, su dinero, sus contenidos o la posibilidad de abandonar la plataforma por haber presentado una impugnación. La exportación de datos no puede condicionarse a retirar la impugnación ni a realizar un pago adicional sin relación. Cuando se confirma una conducta errónea o no autorizada, no basta con corregir la etiqueta de la decisión: debe detenerse el daño en curso, restablecerse la situación correcta, corregirse las puntuaciones, la memoria, los riesgos y los registros externos vinculados, y reabrirse las decisiones relevantes afectadas.

Cuando se envíe información inexacta sobre una persona o institución a los clientes, al público u otros sistemas, la corrección no debe permanecer en un archivo de caso privado. En la medida de lo posible, debe llegar al mismo grupo de destinatarios con una visibilidad comparable. Una disculpa, reactivación, crédito de servicio general o aviso de que “su caso está cerrado” no es, por sí mismo, una reparación completa. La reparación debe acercar a la persona lo más posible a la posición que habría ocupado si no hubiera ocurrido la conducta errónea.

Si no se puede restablecer la oportunidad original, la institución debe considerar una reevaluación equivalente, una nueva oportunidad, una visibilidad restaurada, una remediación del servicio o una reparación material adecuada.

Los costes directos, la pérdida de oportunidades, los retrasos del servicio, los efectos reputacionales y el esfuerzo razonable realizado por la persona para corregir el error pueden evaluarse como parte de la reparación. No todo resultado adverso genera automáticamente un derecho al pago, pero debe existir una vía real y motivada para examinarlo. Si un error raíz puede afectar a otras personas de la misma clase, la institución no puede limitarse a corregir el caso de quien presentó la queja. Debe examinar decisiones similares, ponerse en contacto proactivamente con las personas afectadas y aplicar una corrección colectiva. Una solicitud de impugnación, detención, salida o reparación no puede justificar etiquetar a la persona como difícil, sospechosa, de poco valor, poco colaboradora o de alto riesgo; empeorar el servicio; aumentar el precio; retrasar el proceso; ni adoptar otras represalias.

La vía de tutela debe ser accesible para personas con distintas lenguas, discapacidades, edades y competencias técnicas; no puede reducirse a un bucle con un bot, un formulario invisible o una carga probatoria imposible de asumir. Debe existir para la persona una única vía de tutela con un responsable claro. La institución no puede trasladarle la carga de su cadena interna de agentes, unidades, proveedores de modelos, servicios de pago y plataformas externas. Toda persona tiene derecho a recibir un recibo de la vía de tutela que muestre cuándo se recibió la impugnación, si se conservaron las pruebas, si se aplicó protección provisional, quién examinó el expediente y con qué facultades, qué correcciones se hicieron, qué no pudo revertirse y en qué estado se encuentra la reparación.

La persona no tiene que obtener una resolución favorable en todas sus impugnaciones. Pero no puede ser silenciada ante el dictamen del sistema, obligada a esperar mientras aumenta el daño, retenida como rehén en una relación de servicio ni abandonada sola con los efectos de un error confirmado. La impugnación es la voz de la persona. La detención es el poder de esa voz para cambiar la conducta. La salida es la retirada de la delegación. La reparación exige que el sistema corrija no solo su propio registro, sino también el resultado en la vida real de la persona.

Así, la persona sabe que la máquina actúa, cuestiona las verdaderas razones de la decisión, impugna el error, detiene el daño en curso, abandona el sistema que no quiere y solicita reparación por el efecto material producido. Pero aún queda abierta la última y más difícil pregunta: ¿quién responderá a la impugnación? ¿Quién está obligado a operar el mecanismo de detención? Si un proveedor externo no corrige el registro, ¿quién responderá ante la persona? Cuando una decisión errónea causa pérdidas de dinero, salud, trabajo o reputación, ¿quién asumirá la carga de la reparación? ¿Puede la institución dispersar la responsabilidad diciendo «Lo hizo el modelo», «Lo envió un subagente»,

«Así funcionaba el sistema del proveedor» o «La persona pulsó por sí misma el botón final»? Un sistema de inteligencia artificial puede tener una identidad técnica propia. Puede existir un rastro de la decisión y un recibo de la acción. Pero la máquina no definió por sí misma la finalidad, no se vinculó por sí sola a la cuenta institucional, no convirtió por sí misma el límite de sus facultades en un orden jurídico, no puede aceptar el riesgo residual en nombre de la institución ni reparar con sus propios recursos a la persona perjudicada. La vía de tutela humana solo se completa cuando existe frente a ella una institución real y un orden humano real que asuman la responsabilidad.

Por eso, la última disposición fundacional de la serie es esta: ARTÍCULO 13 — LA INSTITUCIÓN NO PUEDE DELEGAR SU RESPONSABILIDAD EN LA MÁQUINA