Procedimiento de gestión de riesgos de IA

Cómo usar este documento

• Para qué sirve. Es un procedimiento base para identificar, analizar, evaluar, tratar, aceptar y revisar los riesgos de los sistemas de IA durante todo su ciclo de vida, con criterios definidos, un registro de riesgos y reglas de escalamiento. Su estructura sigue las funciones del NIST AI RMF (gobernar, mapear, medir y gestionar), un marco público de libre acceso.
• Quién debe ser su dueño. El responsable de IA mantiene el procedimiento y el registro de riesgos; el comité de IA (o la dirección, en organizaciones pequeñas) acepta los riesgos residuales altos. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. El apetito de riesgo no se fija aquí: se aprueba en la «Declaración de apetito de riesgo de IA», y quién decide y en qué plazo, en el «Modelo operativo de gobierno de IA». Antes de adoptar este procedimiento, confirme que ambos están aprobados, decida la vigencia máxima de las aceptaciones (sección 8.6) y si el procedimiento se integra en la gestión de riesgos corporativa existente o funciona por separado.
• Campos a completar. Sustituya los textos entre corchetes, como [NOMBRE DE LA ORGANIZACIÓN], [COMITÉ DE IA], [FRECUENCIA DE REVISIÓN] y [COMPLETAR]. Conserve las cláusulas marcadas [OPCIONAL] solo si aplican.
• Variantes por país. Este documento no tiene variantes por país. Revise «Referencias normativas relacionadas» para identificar las normas que exigen análisis de riesgos, evaluaciones de impacto o metodologías específicas en su país o sector, y conéctelas en la sección 12.
• Revisión. Pida a Legal, al delegado de protección de datos y a seguridad de la información que validen las escalas y la relación con otros procesos.
• Aprobación y publicación. Haga que lo apruebe [COMITÉ DE IA] o la alta dirección, registre la aprobación en «Control de versiones» y compártalo con los dueños de sistemas de IA y los equipos técnicos.

Procedimiento de gestión de riesgos de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable del procedimiento	[RESPONSABLE]
Apetito de riesgo aplicable	Declaración de apetito de riesgo de IA vigente
Aprobado por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]

1. Objeto

1.1 Este procedimiento establece cómo [NOMBRE DE LA ORGANIZACIÓN] identifica, analiza, evalúa, trata, acepta, monitorea y comunica los riesgos asociados a los sistemas de IA que desarrolla, adquiere, integra o utiliza.

1.2 Su objetivo es que cada riesgo relevante tenga un dueño, una evaluación documentada, un tratamiento con plazo y una decisión de aceptación tomada por quien tiene autoridad para ello.

2. Alcance

2.1 Se aplica a todos los sistemas de IA registrados en el inventario de sistemas de IA, durante todas las fases de su ciclo de vida: concepción, diseño, obtención de datos, desarrollo o adquisición, validación, despliegue, operación, cambio y retirada.

2.2 Incluye los modelos de aprendizaje automático, los modelos de lenguaje y otros sistemas de IA generativa, los agentes que ejecutan acciones, los datos de entrenamiento, validación y prueba, la infraestructura que los soporta y los servicios de terceros integrados por API o como software.

2.3 Los riesgos de IA que también son riesgos de privacidad, seguridad de la información, continuidad o cumplimiento se registran una sola vez y se coordinan con el proceso correspondiente (sección 12).