Matriz de clasificación de riesgos de IA

Cómo usar este documento

• Para qué sirve. Es una matriz de referencia para clasificar cada sistema o caso de uso de IA con criterios trazables, en paralelo según cada régimen que pueda aplicarle (por ejemplo, el Reglamento de IA de la UE, el reglamento peruano de IA y las normas de Colorado y California sobre decisiones automatizadas) y según los criterios internos de la organización, y para asignar a cada nivel unos controles mínimos.
• Quién debe ser su dueño. El responsable de IA mantiene la matriz; el comité de IA (o la dirección, en organizaciones pequeñas) valida las clasificaciones de nivel Alto. Cada dueño del sistema propone la clasificación de su sistema. Indique el área en [ÁREA RESPONSABLE].
• Decisiones previas. Decida en qué jurisdicciones opera la organización y, por tanto, qué columnas de la ficha de clasificación paralela (sección 5) usa; si ajusta los umbrales de los criterios internos (sección 6) dentro del apetito de riesgo aprobado en la «Declaración de apetito de riesgo de IA»; y qué controles adicionales exige a cada nivel (sección 7). Quién aprueba cada nivel y en qué plazo se fija en el «Modelo operativo de gobierno de IA».
• Campos a completar. Complete una ficha de clasificación (sección 5) por sistema y traslade el resultado al inventario de sistemas de IA. Sustituya los textos entre corchetes.
• Variantes por país. Las variantes contienen los criterios de cada régimen: Unión Europea, Perú y Estados Unidos (Colorado y California). Conserve las que correspondan a los lugares donde la organización desarrolla, comercializa o usa IA, o donde están las personas afectadas, y elimine las demás.
• Revisión. La clasificación normativa es una cuestión jurídica. Pida al área legal interna o a un asesor externo que valide las clasificaciones de riesgo alto, las exclusiones y los casos dudosos. Los campos [COMPLETAR] de las variantes señalan puntos que conviene confirmar con el texto oficial vigente.
• Aprobación y uso. Haga que el comité de IA apruebe la matriz, registre la aprobación en «Control de versiones» y úsela antes de comprar, desarrollar o desplegar cualquier sistema de IA y cada vez que cambie su finalidad o su uso.

Matriz de clasificación de riesgos de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable de la matriz	[RESPONSABLE]
Validación de clasificaciones	[COMITÉ DE IA]
Aprobada por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Jurisdicciones consideradas	[COMPLETAR]

1. Propósito y alcance

1.1 Esta matriz establece cómo [NOMBRE DE LA ORGANIZACIÓN] clasifica sus sistemas y casos de uso de IA por nivel de riesgo, con criterios trazables, y qué controles mínimos aplica a cada nivel.

1.2 Se aplica a todos los sistemas de IA desarrollados, adquiridos, integrados o usados por la organización, incluidas las funciones de IA de productos ya contratados y los agentes de IA, antes de su puesta en uso y cuando cambian.

2. Principios de clasificación

2.1 Finalidad y uso real. Se clasifica según la finalidad prevista y el uso real del sistema en la organización, no según la tecnología ni la descripción comercial del proveedor.

2.2 Unidad de análisis. Cuando varios componentes, modelos o agentes producen juntos un resultado que influye de forma importante en una decisión, se clasifican como un solo sistema.

2.3 Clasificación en paralelo. Un mismo sistema puede estar sujeto a varios regímenes a la vez. Se clasifica por separado según cada régimen aplicable (sección 5) y según los criterios internos (sección 6). Las categorías de cada régimen no se trasladan de uno a otro: un sistema puede ser de alto riesgo en un régimen y no estar cubierto en otro.

2.4 Nivel interno único. El nivel interno del sistema es el más alto que resulte de la clasificación en paralelo y de los criterios internos. Ese nivel determina los controles mínimos de la sección 7, sin perjuicio de las obligaciones concretas de cada régimen.

2.5 Prohibiciones primero. Antes de cualquier otra valoración se comprueba que el uso no está prohibido en ninguna jurisdicción aplicable.

2.6 Justificación escrita. Cada clasificación, y en especial cada conclusión de que un sistema no es de alto riesgo, se justifica por escrito con referencia al criterio aplicado.

2.7 Ante la duda, nivel superior. Mientras una clasificación dudosa no se resuelve, el sistema se trata con el nivel más alto en discusión.