GRCreal // expediente: academia curso: ISO 42001 Lead Auditor
CLÁUSULA 5 · LIDERAZGO · POLÍTICA IA · ROLES
Módulo 3

Liderazgo y Política de IA

El liderazgo no es un título.
Es la evidencia de que la dirección gobierna la IA.

MÓDULO 03 / 10ISO 42001 · Lead Auditor IA
FOCOLiderazgo y Política de IA

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 5.1
Auditoría del liderazgo y compromiso
La alta dirección debe demostrar liderazgo y compromiso con el SGIA. No basta con declararlo: el auditor busca evidencia objetiva de acciones concretas.
“Delegar el SGIA en un área técnica sin supervisión de dirección no es liderazgo. Es abandono.”
Principio de auditoría ISO 19011
📋Qué auditar · ¿La política de IA está aprobada por alta dirección? ¿Se asignan recursos (presupuesto, personal, tiempo)? ¿La dirección revisa el desempeño del SGIA?
📄Evidencias típicas: Política firmada, actas de revisión por dirección, presupuesto asignado a riesgos de IA, comunicación de la dirección sobre la importancia del SGIA.
Pregunta clave del auditor: "¿Puede la dirección demostrar que tomó una decisión informada sobre un riesgo de IA en los últimos 6 meses?"
Cláusula 5.1 (Nota 2)
Cultura organizacional para IA responsable
ISO 42001 enfatiza que establecer, fomentar y modelar una cultura para adoptar un enfoque responsable en el uso y desarrollo de IA es una demostración importante del compromiso de la alta dirección.
🎯Indicadores de cultura positiva · Existe un comité ético de IA, se reportan incidentes sin miedo a represalias, hay canales de denuncia anónimos.
⚠️Indicadores de cultura débil: Nadie reporta incidentes (aunque ocurren), el equipo técnico desconoce la política de IA, la dirección no pregunta por riesgos en reuniones.
Cláusula 5.2
La política de IA: requisitos auditables
La política de IA es el documento estratégico que establece las intenciones y dirección de la organización respecto a la IA. Debe ser apropiada al propósito, proporcionar un marco para los objetivos, incluir compromiso de cumplimiento y mejora continua.
📝Contenido mínimo · Propósito de la IA en la organización, principios éticos (equidad, transparencia, explicabilidad), compromiso con cumplimiento regulatorio, mejora continua.
📢Comunicación: La política debe estar disponible como información documentada, comunicada dentro de la organización y disponible para partes interesadas según corresponda.
Error típico: La política existe pero nadie la conoce. El auditor debe verificar mediante entrevistas que el personal relevante conoce los compromisos de la política.
Conexión estratégica
Coherencia entre política, objetivos y riesgos
El auditor debe verificar que existe trazabilidad entre lo que promete la política y lo que realmente se mide y controla.
“Una política que declara 'equidad algorítmica' sin métricas de sesgo es una declaración sin evidencia.”
Hallazgo típico en auditorías de SGIA
🔗Trazabilidad esperada · Política → Objetivos de IA (6.2) → Riesgos identificados (6.1) → Controles (Anexo A) → Métricas (9.1)
❌Ruptura típica: La política menciona "transparencia" pero no hay objetivos medibles, ni riesgos asociados, ni controles de explicabilidad implementados.
Cláusula 5.3
Roles, responsabilidades y autoridades
La alta dirección debe asegurar que las responsabilidades y autoridades para los roles relevantes se asignen y comuniquen.
👤Responsabilidad del SGIA · Alguien debe tener la responsabilidad formal de asegurar que el SGIA cumple con ISO 42001 y reportar su desempeño a la alta dirección.
📋Evidencias: Descripciones de puesto, organigrama con roles de IA, actas que demuestran rendición de cuentas, autorizaciones documentadas.
Caso auditor
Política desacoplada de la realidad
Escenario: Una empresa de salud implementa IA para priorización de pacientes. Hallazgos del auditor: - La política de IA declara "equidad algorítmica" como principio fundamental. - No existen métricas de sesgo definidas ni monitoreadas. - La evaluación de riesgos de IA omitió el impacto en grupos vulnerables (por edad, género, condición preexistente). - No hay evaluación formal de impacto del sistema de IA. - La SoA excluye supervisión humana con justificación "confianza en el proveedor".
“No es una falla aislada. Es una ruptura sistémica en la trazabilidad: Política → Objetivo → Riesgo → Control → SoA.”
Conclusión del auditor
Clasificación probable: No Conformidad Mayor por falla sistémica de coherencia estratégica. Cláusulas afectadas: 5.2 (Política sin respaldo), 6.1 (Riesgos incompletos), 6.1.3 (SoA con exclusión injustificada).
Resumen del módulo
Lo que debes llevarte de aquí
1El liderazgo (5.1) se demuestra con acciones: recursos, revisión, comunicación, no solo con declaraciones.
2La política de IA (5.2) debe estar aprobada, comunicada y ser coherente con los objetivos y riesgos.
3El auditor verifica trazabilidad: política → objetivos → riesgos → controles → métricas.
4Los roles y responsabilidades (5.3) deben estar asignados y documentados.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Liderazgo y Política de IA», comienza delimitando finalidad, origen de datos, versión, pruebas, supervisión y cambio. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del AIMS e inventario de sistemas de IA
  • riesgos e impactos evaluados
  • roles, responsabilidades y criterios de uso
  • documentación del ciclo de vida, pruebas y cambios
  • monitorización, incidentes, revisión y mejora
CASO DE REVISIÓN

Aplicación de «Liderazgo y Política de IA»

Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta finalidad, origen de datos, versión, pruebas, supervisión y cambio.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo el modelo y olvidar el sistema completo
  • tratar la evaluación de impacto como documento único
  • ignorar cambios de versión, datos o finalidad
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Liderazgo y Política de IA»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Liderazgo y Política de IA

La evaluación de riesgos cubre ciberseguridad, pero no sesgo, explicabilidad ni impacto sobre personas.

CONTEXTO TÉCNICO

Datos, modelo, proceso de decisión y usuarios.

DECISIÓN

  • Ampliar criterios de riesgo e impacto.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Escenarios, grupos afectados, controles y seguimiento.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Reducir IA a riesgo técnico.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué dimensión falta?

Respuesta orientativa: El impacto sobre personas y grupos afectados.

¿QUÉ CAMBIARÍA SI…?

el sistema no toma decisiones automáticas?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Todos conocen al responsable. ¿Cómo comprobarías que también tiene autoridad para decidir?

Sigue una decisión real: excepción, aceptación, escalado o priorización.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Auditoría del liderazgo y compromiso

  2. 02

    Cultura organizacional para IA responsable

  3. 03

    La política de IA: requisitos auditables

El siguiente paso es planificar y
gestionar los riesgos de IA
Siguiente módulo: Planificación y Gestión de Riesgos en IA (Cláusula 6)
← Anterior Continuar →