Política de inventario y ciclo de vida de modelos y datasets

Cómo usar este documento

• Para qué sirve. Es una política base que fija qué modelos de IA, conjuntos de datos y servicios de IA de terceros (APIs) deben inventariarse, con qué metadatos mínimos, quién los mantiene, qué controles se aplican en cada etapa del ciclo de vida y cómo se retiran. Incluye la plantilla del inventario con instrucciones por campo y un ejemplo completado.
• Quién debe ser su dueño. Normalmente ciencia de datos, arquitectura o el área de gestión de riesgos de modelos, con gobierno de IA, TI y privacidad. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida dónde vivirá el inventario (plataforma de MLOps, base de gestión de configuración o una hoja controlada) (sección 11), cómo se clasifica la materialidad de los modelos (sección 5), quién valida los modelos de nivel alto (sección 9) y cuánto tiempo se conservan los registros de los activos retirados (sección 10).
• Relación con otros documentos. El «Inventario de sistemas de IA» es el registro único de herramientas, sistemas, agentes y modelos, con su nivel de riesgo, perfil, desarrollador, licencia y modalidad de alojamiento. Esta política no lo duplica: fija el ciclo de vida y el detalle técnico de los modelos y conjuntos de datos (versiones, validación, monitoreo, retirada) y se vincula con él por identificadores. Cada conjunto de datos tiene su «Ficha técnica de conjunto de datos (datasheet)» y cada modelo de terceros, su «Ficha de procedencia de modelos de terceros y de pesos abiertos».
• Campos a completar. Sustituya los textos entre corchetes, como [NOMBRE DE LA ORGANIZACIÓN], [ÁREA RESPONSABLE], [COMITÉ DE IA], [FRECUENCIA DE REVISIÓN] y [COMPLETAR]. Ajuste los campos de la sección 6 a su herramienta de inventario.
• Variantes por país. Este documento no tiene variantes por país. Las entidades financieras y aseguradoras, y las que operan en sectores con reglas de gestión de riesgo de modelos, deben revisar en «Referencias normativas relacionadas» si su supervisor exige campos, comités o informes adicionales y añadirlos.
• Revisión. Pida a gestión de riesgos, privacidad y seguridad que revisen las secciones 5, 7 y 10, y a legal que confirme los plazos de conservación.
• Aprobación y publicación. Haga que la apruebe la dirección o el [COMITÉ DE IA], registre la aprobación en «Control de versiones» y comuníquela a los equipos de datos, desarrollo, arquitectura, compras y a los dueños de procesos que usan IA.

Política de inventario y ciclo de vida de modelos y datasets

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable de la política y del inventario	[RESPONSABLE]
Aprobada por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Ubicación del inventario	[COMPLETAR: herramienta o enlace]
Contacto	[EMAIL DE GOBERNANZA DE IA]

1. Propósito

1.1 [NOMBRE DE LA ORGANIZACIÓN] mantiene un inventario único y actualizado de los modelos de IA, los conjuntos de datos y los servicios de IA de terceros que usa, para saber en todo momento qué IA opera en sus procesos, quién responde de cada activo, qué datos consume, qué riesgo tiene y en qué estado de su ciclo de vida está.

1.2 El inventario sirve para gestionar riesgos, responder a auditorías, clientes y autoridades, atender solicitudes de personas sobre sus datos, controlar costos y proveedores y retirar de forma ordenada lo que ya no se usa.

2. Alcance

2.1 Deben inventariarse:

a) Modelos propios, ajustados o de terceros que estén en piloto con datos reales o en producción, o que influyan en decisiones, procesos o productos;
b) Conjuntos de datos usados para entrenar, ajustar, validar o probar esos modelos, o para alimentarlos en operación, incluidas las bases de conocimiento de los sistemas de recuperación aumentada;
c) Servicios de IA de terceros integrados en aplicaciones o procesos de la organización (APIs de modelos, servicios cognitivos, funciones de IA activadas en software contratado), y los modelos de pesos abiertos descargados y ejecutados por la organización; su entrada principal está en el «Inventario de sistemas de IA» y aquí se gestionan su versión y sus cambios (sección 6.3);
d) [OPCIONAL] Configuraciones relevantes de los sistemas de IA generativa, como instrucciones de sistema, herramientas conectadas a agentes y filtros de contenido, cuando determinan el comportamiento del sistema.

2.2 Quedan fuera los experimentos y prototipos que solo usan datos ficticios, públicos o anonimizados y no se conectan a sistemas de producción. Pasan a inventariarse en cuanto usan datos reales de la organización o se promueven a piloto.

2.3 Esta política aplica a todas las áreas, filiales y equipos, incluidos los proveedores que desarrollan u operan modelos por cuenta de la organización.