AI Business Core El sistema detrás de cada documento.

Documento base para constituir el comité de IA a escala de la organización (sin comité en el nivel básico, 3-5 miembros en el estándar, 5-7 en el reforzado): mandato, quórum, sesiones, actas y escalamiento.

Políticas y normas internasR2 · Estándar

Define cómo se redactan, aprueban, versionan, publican y retiran las políticas y registros de IA, con responsables y evidencias. Mantiene trazable la documentación que pide un cliente o un auditor.

Procedimientos y protocolosR2 · Estándar

Reporte periódico para la dirección con indicadores de uso, riesgo, incidentes, controles, apetito de riesgo y valor de las iniciativas de IA, cada uno con dueño, frecuencia, fuente y umbral.

Evaluaciones, matrices e informesR2 · Estándar

Texto base, para adaptar y publicar en el sitio web, que explica cómo la organización usa la IA, sus compromisos y el canal de contacto. Ayuda a comunicar el uso de IA a clientes y usuarios.

Políticas y normas internasR1 · Corto

Cuestionario y escala para medir la madurez de la organización en estrategia, datos, gobierno, riesgos y talento de IA, con una lista priorizada de próximos pasos.

Evaluaciones, matrices e informesR2 · Estándar

Fija criterios de calidad, procedencia, minimización, acceso y conservación de los datos usados para entrenar, ajustar o alimentar sistemas de IA.

Políticas y normas internasR2 · Estándar

Define cuándo y cómo una persona revisa, corrige o anula los resultados de un sistema de IA, con competencias, registros y escalamiento.

Procedimientos y protocolosR2 · Estándar

Estructura para justificar una iniciativa de IA con línea base, beneficios, costos, riesgos y criterios para escalarla o retirarla.

Evaluaciones, matrices e informesR2 · Estándar

Plantilla para definir visión, objetivos, hoja de ruta por fases, responsables, presupuesto e indicadores de la adopción de IA a 12-18 meses, empezando por la contención de la IA no autorizada.

Planes y programasR2 · Estándar

Regula cómo se solicitan, evalúan, aprueban y retiran herramientas con IA, incluidas las funciones de IA dentro de software ya contratado, para reducir la IA no autorizada.

Políticas y normas internasR2 · Estándar

Reglas para usar IA en reclutamiento, filtrado y evaluación de candidatos: transparencia, supervisión humana, pruebas de sesgo y derechos de los candidatos.

Políticas y normas internasR2 · Estándar

Política que fija qué se informa a las personas sobre el uso de IA y el circuito para atender sus solicitudes de explicación: canal, plazo, responsable, modelo de respuesta y registro de explicaciones entregadas, con aviso previo que incluye la oposición o exclusión y variantes para la UE, Perú, Ecuador, Colombia, Brasil y Estados Unidos.

Políticas y normas internasR2 · Estándar

Establece cómo se seleccionan, contratan, supervisan y dan de baja los proveedores de IA, con requisitos de datos, seguridad, entrenamiento de modelos y salida.

Políticas y normas internasR2 · Estándar

Define controles para prevenir y corregir sesgos, errores y daños de los modelos a lo largo del ciclo de vida: pruebas, umbrales, monitoreo y acciones correctivas.

Políticas y normas internasR2 · Estándar

Regula los derechos sobre contenidos creados con IA generativa, el uso de material protegido en instrucciones y entrenamientos, y la revisión antes de publicar.

Políticas y normas internasR2 · Estándar

Política modular que fija los usos permitidos y prohibidos de la IA, las reglas para datos confidenciales y personales, la revisión humana y las responsabilidades, con módulos para integración por API, modelos alojados o de pesos abiertos, entrenamiento y agentes, y una versión básica para organizaciones pequeñas.

Políticas y normas internasR2 · Estándar

Registro de las propuestas, pilotos e iniciativas de IA con su estado, nivel de riesgo, puntuación de la matriz de priorización, dueño y decisión.

Registros, fichas y actasR2 · Estándar

Documento breve que fija los principios que guían todo uso de IA en la organización: beneficio, equidad, transparencia, seguridad, privacidad, supervisión humana y rendición de cuentas.

Políticas y normas internasR2 · Estándar

Reglas para usar asistentes de programación con IA (GitHub Copilot, Cursor y similares): secretos y datos, licencias del código generado, revisión humana y seguridad.

Políticas y normas internasR2 · Estándar

Define qué acciones pueden ejecutar los agentes de IA, con qué permisos, límites de autonomía, memoria y registro, y cuándo necesitan aprobación humana.

Políticas y normas internasR2 · Estándar

Acta que designa a la persona responsable de IA o del algoritmo, con funciones, independencia, recursos y línea de reporte.

Registros, fichas y actasR1 · Corto

Define quién decide qué sobre la IA según el tamaño de la organización: responsable de IA, comité ligero, RACI por decisión, carriles y plazos de aprobación, y umbrales de escalado por importe, datos, alcance y tecnología.

Políticas y normas internasR2 · Estándar

Instrumento para evaluar, antes del despliegue, los efectos de un sistema de IA sobre personas y procesos, con riesgos, controles, decisión de avance y plan de seguimiento.

Evaluaciones, matrices e informesR3 · Extenso

Matriz de referencia para clasificar cada caso de uso de IA por nivel de riesgo con criterios trazables y proponer controles mínimos para cada nivel.

Evaluaciones, matrices e informesR3 · Extenso

Cruza valor de negocio y nivel de riesgo para decidir qué iniciativas de IA impulsar, condicionar o descartar.

Evaluaciones, matrices e informesR2 · Estándar

Proceso para identificar, puntuar (probabilidad × impacto), tratar, aceptar y revisar riesgos de IA, con el registro de riesgos único de la organización, roles, plazos y escalamiento.

Procedimientos y protocolosR2 · Estándar

Plan anual de auditorías internas o externas de sistemas de IA: alcance, criterios, muestreo, evidencias, hallazgos y seguimiento.

Planes y programasR2 · Estándar

Lista de verificación para revisar si algún uso de IA de la organización podría acercarse a prácticas prohibidas: manipulación, puntuación social, reconocimiento de emociones en el trabajo o la escuela, biometría indebida, entre otras.

Evaluaciones, matrices e informesR1 · Corto

Plantilla para evaluar, antes de usar un sistema de IA de alto riesgo, su impacto en los derechos de las personas afectadas, con medidas de mitigación, supervisión y reclamación.

Evaluaciones, matrices e informesR3 · Extenso

Plantilla de informe con tasas de selección e impact ratio por sexo, raza o etnia y su intersección, resumen publicable y conservación de registros, más un anexo opcional para crédito y seguros (bases protegidas de la ECOA, tasas de aprobación y diferencias de precio). Donde la Ciudad de Nueva York exige un auditor independiente, sirve de referencia para estructurar su informe; no sustituye la auditoría.

Evaluaciones, matrices e informesR3 · Extenso

Política para gestionar el riesgo de los modelos, incluidos los de IA, en entidades financieras: inventario con niveles de materialidad, validación independiente, monitoreo y responsables.

Políticas y normas internasR3 · Extenso

Lista de verificación que recorre el art. 26(1)-(12) del Reglamento de IA de la UE para quien usa un sistema de alto riesgo de un proveedor: qué hacer, qué evidencia guardar y en qué documento base se trabaja cada apartado, con el disparador de la FRIA (art. 27) y la explicación a las personas afectadas (art. 86).

Evaluaciones, matrices e informesR2 · Estándar

Declaración que fija cuánto riesgo de IA acepta la organización, quién puede aceptarlo y con qué condiciones: escala común Bajo/Medio/Alto/Inaceptable, carriles de aprobación, posturas por categoría, límites, indicadores de tolerancia y equivalencia con categorías legales.

Políticas y normas internasR2 · Estándar

Controles mínimos de seguridad para cargas de IA: identidad y accesos, protección de datos e instrucciones, inyección de instrucciones, cadena de suministro de modelos y registro de eventos.

Políticas y normas internasR2 · Estándar

Anexo para contratos, términos o avisos de privacidad que informa los derechos de las personas ante sistemas de IA: información, explicación, oposición, revisión humana y reclamación.

Avisos, cartas y formulariosR2 · Estándar

Anexo contractual entre cliente y proveedor de IA sobre el tratamiento de datos personales: finalidades, no entrenamiento con datos del cliente, subencargados, seguridad, transferencias y auditoría.

Contratos y cláusulasR3 · Extenso

Tabla de referencia para ordenar, por país, las normas de IA y de datos que la organización identifique, con cada obligación, fecha de exigibilidad, documento de respaldo, responsable y estado.

Evaluaciones, matrices e informesR3 · Extenso

Proceso para atender solicitudes de revisión humana, explicación e impugnación de decisiones tomadas total o parcialmente por IA, con plazos y registros.

Procedimientos y protocolosR2 · Estándar

Prueba en tres pasos (finalidad, necesidad y ponderación) para documentar el interés legítimo como base legal al entrenar o usar IA con datos personales.

Evaluaciones, matrices e informesR2 · Estándar

Cláusula para cartas de encargo o contratos de servicios profesionales que informa al cliente y recaba su consentimiento para usar IA generativa, protegiendo la confidencialidad.

Contratos y cláusulasR1 · Corto

Política de gestión algorítmica y modelos de aviso escrito a trabajadores, candidatos y sus representantes sobre el uso de IA y algoritmos que deciden sobre su trabajo o su candidatura: parámetros, reglas, efectos y cómo pedir una alternativa o un ajuste.

Políticas y normas internasR2 · Estándar

Formulario de autorización para clonar, sintetizar o modificar con IA la voz o la imagen de una persona, con alcance, duración, revocación y compensación.

Avisos, cartas y formulariosR1 · Corto

Acta para designar al delegado de protección de datos, oficial de datos personales o encarregado, con funciones, independencia, recursos y comunicación a la autoridad.

Registros, fichas y actasR1 · Corto

EIPD adaptada a tratamientos con IA: descripción, necesidad y proporcionalidad, riesgos para las personas, medidas y consulta previa, con variantes por país.

Evaluaciones, matrices e informesR3 · Extenso

Documenta los envíos de datos personales a proveedores de IA en otros países: inventario de flujos, base de la transferencia, cláusulas, evaluación del país de destino y medidas adicionales.

Evaluaciones, matrices e informesR3 · Extenso

Aviso de privacidad integral y simplificado, y política de tratamiento, que informan del uso de IA, las decisiones automatizadas, los encargados y las transferencias.

Avisos, cartas y formulariosR2 · Estándar

Criterios de uso de dispositivos digitales y avisos previos de videovigilancia y geolocalización, pactados con la representación de los trabajadores.

Políticas y normas internasR2 · Estándar

Aviso en línea y aviso directo a padres, consentimiento separado para compartir con terceros, política escrita de conservación y programa de seguridad.

Políticas y normas internasR2 · Estándar

Política escrita y pública de conservación y destrucción de identificadores biométricos, con consentimiento y avisos, y un módulo opcional con las medidas de la orden de la FTC contra Rite Aid como prácticas de referencia para el reconocimiento facial.

Políticas y normas internasR2 · Estándar

Criterios y puntuación para comparar herramientas de IA por funcionalidad, seguridad, privacidad, costo, soporte y riesgo antes de comprarlas.

GuíasR2 · Estándar

Plantilla para documentar las APIs y conexiones de IA: flujos de datos, credenciales, proveedores, límites, dependencias y responsables.

Registros, fichas y actasR1 · Corto

Canal y proceso para recibir, investigar y resolver quejas de personas afectadas por sistemas de IA, con plazos, respuesta y medidas de reparación.

Procedimientos y protocolosR2 · Estándar

Define qué técnicas de explicabilidad usar según el tipo de modelo y de público, cómo documentarlas y cómo convertirlas en explicaciones comprensibles.

Procedimientos y protocolosR2 · Estándar

Indicadores, umbrales, frecuencia y responsables para vigilar el rendimiento, la deriva, el sesgo, los incidentes y las quejas de un sistema de IA en producción.

Planes y programasR2 · Estándar

Clasificación, roles, pasos de contención, investigación, comunicación y lecciones aprendidas para incidentes causados por sistemas de IA.

Procedimientos y protocolosR2 · Estándar

Reglas para diseñar, ejecutar y evaluar pilotos de IA: hipótesis, alcance, datos, controles, criterios de éxito y decisión de escalar o detener.

Procedimientos y protocolosR2 · Estándar

Define cuándo y cómo desactivar, revertir o degradar un sistema de IA a un estado seguro, con disparadores, responsables y comunicación.

Procedimientos y protocolosR2 · Estándar

Patrones de arquitectura para integrar IA de forma segura y gobernable: capas, entornos, registro, gestión de modelos, datos y controles.

GuíasR2 · Estándar

Pasos operativos ante caídas del proveedor, degradación del modelo, salidas dañinas o pérdida de datos, con alternativas manuales y tiempos de recuperación.

Procedimientos y protocolosR2 · Estándar

Textos de aviso para chatbots, voz y formularios, y un procedimiento breve para marcar contenido generado o manipulado con IA: deepfakes, imágenes, audio y textos publicados.

Avisos, cartas y formulariosR1 · Corto

Modelo de carta para explicar a una persona por qué una decisión automatizada le fue desfavorable, con las razones principales, los datos usados y cómo pedir revisión humana.

Avisos, cartas y formulariosR1 · Corto

Pasos, plazos, destinatarios y modelos de notificación de brechas de seguridad a autoridades y afectados en cada país, incluidas las que involucran sistemas de IA.

Procedimientos y protocolosR3 · Extenso

Reglas para chatbots que pueden interactuar con menores o personas en riesgo: verificación de edad, recordatorios periódicos, detección de autolesiones, derivación a ayuda y reportes.

Procedimientos y protocolosR2 · Estándar

Define cuándo y cómo un cliente atendido por un chatbot o un sistema de respuesta automática pasa a una persona: derecho a pedirlo, tiempos, registro y calidad del traspaso.

Procedimientos y protocolosR2 · Estándar

Protocolo para validar herramientas de IA clínica antes y durante su uso: desempeño, población objetivo, sesgo, supervisión del profesional, registro y vigilancia.

Procedimientos y protocolosR3 · Extenso

Guía para desplegar asistentes y copilotos de IA: cuentas empresariales, licencias por segmento, preparación de datos y permisos, oleadas, métricas, licencias ociosas y costes.

GuíasR2 · Estándar

Procedimiento para detectar IA no autorizada, abrir una ventana de regularización, decidir cada caso y publicar un catálogo de herramientas autorizadas por tipo de dato.

Procedimientos y protocolosR2 · Estándar

Plan y mensajes para una campaña interna que difunde los principios y las reglas de uso de IA: públicos, canales, calendario, piezas e indicadores.

GuíasR2 · Estándar

Criterios para hablar del uso de IA en público, marketing y prensa sin exagerar capacidades: mensajes, aprobaciones, avisos y gestión de crisis.

GuíasR2 · Estándar

Plan de formación en IA con un módulo por perfil de uso (herramientas compradas, API, modelos alojados, entrenamiento y agentes), itinerarios por rol, evaluación y registro único de formación, más una versión básica para organizaciones pequeñas.

Planes y programasR2 · Estándar

Estructura para crear una red de embajadores de IA por área: selección, funciones, formación, incentivos y medición del impacto en la adopción.

Planes y programasR2 · Estándar

Proceso para respaldar con evidencia cada afirmación publicitaria sobre capacidades de IA antes de publicarla, con expediente, aprobación legal y revisión periódica.

Procedimientos y protocolosR2 · Estándar

Plan de arranque de 90 días para el gobierno y la adopción de IA, con el conjunto mínimo de documentos por perfil de uso y nivel, y el mapa de dependencias de todo el catálogo: qué va primero, de qué depende y a qué alimenta.

Planes y programasR2 · Estándar

Formulario de una página para que cualquier persona proponga un uso nuevo de IA, con triaje del responsable de IA: perfil de uso, datos, efectos sobre personas, nivel preliminar y carril. Alimenta el portafolio y el inventario.

Registros, fichas y actasR1 · Corto

Plan para la parte humana de la adopción de IA: impacto por rol, compromisos sobre el empleo, comunicación, formación, embajadores, atención de preocupaciones e indicadores de adopción.

Planes y programasR2 · Estándar

Ficha para documentar un conjunto de datos usado en IA: origen, licencia, contenido, datos personales, calidad, sesgos conocidos y usos permitidos.

Registros, fichas y actasR1 · Corto

Fija qué modelos, conjuntos de datos y APIs de IA deben inventariarse, con qué metadatos mínimos, quién los actualiza y cómo se retiran.

Políticas y normas internasR2 · Estándar

Estándar y plantilla para registrar decisiones relevantes tomadas total o parcialmente por IA: datos de entrada, resultado, intervención humana y explicación.

Registros, fichas y actasR2 · Estándar

Registro de proveedores de IA con contratos, datos tratados, certificaciones, evaluaciones realizadas, hallazgos y fechas de revisión.

Registros, fichas y actasR2 · Estándar

Registro único de herramientas, sistemas, agentes y modelos de IA: finalidad, procedencia (desarrollador, país, licencia, alojamiento), perfil de despliegue, datos, nivel de riesgo y carril de aprobación, responsable, versión y estado.

Registros, fichas y actasR3 · Extenso

Plantilla de reporte periódico con métricas de rendimiento, deriva, sesgo, incidentes y acciones para un modelo en producción.

Evaluaciones, matrices e informesR1 · Corto

Formato breve para resumir cada evaluación de impacto realizada (EIA, EIPD o FRIA): sistema, fecha, riesgos, decisión, condiciones y próxima revisión.

Registros, fichas y actasR1 · Corto

Ficha estándar de un modelo de IA: propósito, datos, métricas, limitaciones, sesgos evaluados, usos no previstos y responsables.

Registros, fichas y actasR1 · Corto

Campos adicionales para el registro de actividades de tratamiento cuando intervienen sistemas de IA: finalidad, lógica, proveedores, transferencias, decisiones automatizadas y conservación.

Registros, fichas y actasR2 · Estándar

Ficha por modelo de terceros o de pesos abiertos: procedencia y cadena de suministro, licencia y uso aceptable, restricciones por origen y matriz de residencia, integridad de los pesos, evaluación de alineación, censura y sesgo, pruebas de comportamientos ocultos y decisión de uso.

Registros, fichas y actasR2 · Estándar

Cuestionario con puntuación para evaluar proveedores de IA con profundidad Básica, Estándar o Reforzada según el riesgo, incluida la procedencia de los modelos y una autoevaluación para modelos de pesos abiertos sin proveedor.

Evaluaciones, matrices e informesR2 · Estándar

Lista de pruebas de robustez y ataques adversariales para modelos y aplicaciones de IA: inyección de instrucciones, fuga de datos, jailbreak, envenenamiento y evasión.

Evaluaciones, matrices e informesR1 · Corto

Cuestionario para medir conocimientos, uso actual, actitudes y necesidades de formación del personal, y la preparación de la organización (patrocinio, política, inventario, datos, seguridad, presupuesto), con guía para analizar los resultados.

Evaluaciones, matrices e informesR1 · Corto

Plantilla de SLA y acuerdo operativo con proveedores de IA: disponibilidad, latencia, calidad de resultados, soporte, incidentes, cambios de modelo y penalidades.

Contratos y cláusulasR2 · Estándar

Estructura de referencia para preparar el expediente técnico del Anexo IV del AI Act, el sistema de gestión de calidad, la declaración UE de conformidad y el registro.

Registros, fichas y actasR3 · Extenso

Estructura de referencia para la documentación técnica, la información para integradores, la política de derechos de autor y el resumen público de datos de entrenamiento de los arts. 53-55 del AI Act.

Registros, fichas y actasR3 · Extenso