GRCreal // expediente: academia curso: ISO 42001 Lead Auditor
CLÁUSULA 6 · RIESGOS IA · IMPACTO · OBJETIVOS
Módulo 4

Planificación y Gestión de Riesgos en IA

La IA no es un riesgo en sí misma.
El riesgo está en cómo se diseña, despliega y opera.

MÓDULO 04 / 10ISO 42001 · Lead Auditor IA
FOCOPlanificación y Gestión de Riesgos en IA

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 6.1
Acciones para abordar riesgos y oportunidades
La organización debe determinar los riesgos y oportunidades que afectan al SGIA. El auditor evalúa si la metodología es coherente, documentada y repetible.
“El enfoque basado en riesgos no es opcional. Es el corazón del SGIA.”
ISO 42001:2023
📋Entradas auditables · Contexto de la organización, partes interesadas, tipo de sistema IA, datos utilizados, posibles impactos en personas.
📄Salidas auditables: Nivel de riesgo documentado, criterios de aceptación, decisiones de tratamiento aprobadas, matriz de riesgos actualizada.
Criterios de riesgo de IA: La organización debe establecer criterios que permitan distinguir riesgos aceptables de no aceptables. El auditor verifica que estos criterios existen y se aplican consistentemente.
Cláusula 6.1.2
Evaluación de riesgos de IA
La organización debe definir y establecer un proceso de evaluación de riesgos de IA que sea consistente, válido y comparable.
🔍Qué debe incluir · Identificación de riesgos que ayudan o impiden objetivos, análisis de consecuencias (para organización, individuos, sociedad), evaluación de probabilidad realista, determinación de niveles de riesgo.
⚠️Riesgos específicos de IA: Sesgo algorítmico, deriva del modelo, falta de explicabilidad, robustez insuficiente, seguridad del modelo, dependencia de proveedores, impacto en derechos fundamentales.
ISO 23894 como referencia: Aunque no es certificable en este esquema, ISO 23894 proporciona orientación metodológica para evaluar riesgos específicos de IA. El auditor puede usarla como referencia de buenas prácticas.
Cláusula 6.1.4
Evaluación de impacto del sistema de IA
La organización debe definir un proceso para evaluar las posibles consecuencias para individuos, grupos o sociedades que pueden resultar del desarrollo, provisión o uso de sistemas de IA.
“Una evaluación de impacto 'sin dueño' ni fecha de revisión es evidencia débil ante una auditoría.”
Criterio auditor
🎯Cuándo aplica · Sistemas IA que pueden afectar derechos o intereses de personas: decisiones crediticias, selección de personal, diagnóstico médico, vigilancia, etc.
📋Evidencia auditable: Metodología definida, alcance de la evaluación, resultados documentados, decisiones de mitigación, seguimiento de acciones, actualización ante cambios.
Cláusula 6.1.3
Tratamiento del riesgo de IA
La organización debe seleccionar opciones apropiadas de tratamiento del riesgo e implementar los controles necesarios.
⚙️Opciones de tratamiento · Evitar el riesgo, modificar el riesgo (controles), compartir el riesgo (seguros, contratos), retener el riesgo (decisión informada).
📋Plan de tratamiento: Debe incluir acciones específicas, responsables, plazos, recursos, y debe ser aprobado por la dirección designada.
Cláusula 6.2
Objetivos de IA y planificación para lograrlos
La organización debe establecer objetivos de IA en funciones y niveles relevantes. Deben ser coherentes con la política, medibles (si es posible), monitoreados y comunicados.
“Un objetivo sin indicador es una intención, no un objetivo.”
Regla del auditor
📊Ejemplos de objetivos auditables · "Reducir sesgo en decisiones de crédito por debajo del X% en 6 meses", "Alcanzar 99% de explicabilidad para decisiones denegatorias", "Implementar monitoreo de deriva en todos los modelos críticos".
📋Plan de objetivos: Qué se hará, recursos requeridos, responsable, plazo, cómo se evaluarán los resultados. Sin plan, el objetivo es declarativo.
Conexión crítica
La trazabilidad que todo auditor debe verificar
El auditor debe poder reconstruir el razonamiento desde el riesgo identificado hasta el control implementado.
🔗Cadena de trazabilidad · Riesgo identificado → Evaluación de impacto (si aplica) → Decisión de tratamiento → Control seleccionado → SoA → Evidencia de implementación → Verificación de eficacia.
❌Ruptura típica: Un riesgo alto identificado no tiene control asociado, o el control no tiene evidencia de implementación, o la SoA no refleja el control realmente usado.
Caso auditor
Evaluación de riesgos incompleta
Escenario: Una organización ha implementado un sistema de IA para selección de personal (curriculum vitae screening). Hallazgos del auditor: - La evaluación de riesgos identificó riesgos de seguridad de datos, pero no riesgos de sesgo por género o etnia. - No se realizó evaluación de impacto del sistema de IA antes del despliegue. - El tratamiento del riesgo para "falta de explicabilidad" fue "aceptar riesgo" sin justificación documentada. - Los objetivos de IA miden solo precisión del modelo, no equidad por subgrupos.
“La organización ha tratado la IA como software tradicional. Ha ignorado los riesgos específicos de IA.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por omisión de riesgos críticos (sesgo, impacto en personas) y falta de evaluación de impacto pre-despliegue. Acción requerida: Reevaluar riesgos incluyendo sesgo e impacto, realizar evaluación de impacto, revisar tratamiento del riesgo.
Resumen del módulo
Lo que debes llevarte de aquí
1La organización debe identificar riesgos específicos de IA: sesgo, deriva, explicabilidad, robustez, impacto en personas.
2La evaluación de impacto del sistema IA (6.1.4) es obligatoria cuando el sistema puede afectar derechos o intereses de personas.
3Los objetivos de IA (6.2) deben ser medibles y tener un plan asociado con responsables y plazos.
4El auditor debe verificar trazabilidad: riesgo → decisión → control → SoA → evidencia.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Planificación y Gestión de Riesgos en IA», comienza delimitando criterios, escenarios, consecuencias, controles existentes y tratamiento. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del AIMS e inventario de sistemas de IA
  • riesgos e impactos evaluados
  • roles, responsabilidades y criterios de uso
  • documentación del ciclo de vida, pruebas y cambios
  • monitorización, incidentes, revisión y mejora
CASO DE REVISIÓN

Aplicación de «Planificación y Gestión de Riesgos en IA»

Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta criterios, escenarios, consecuencias, controles existentes y tratamiento.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo el modelo y olvidar el sistema completo
  • tratar la evaluación de impacto como documento único
  • ignorar cambios de versión, datos o finalidad
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Planificación y Gestión de Riesgos en IA»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Planificación y Gestión de Riesgos en IA

Se cambia el dataset de entrenamiento sin repetir pruebas ni aprobación.

CONTEXTO TÉCNICO

Dataset, pipeline, modelo y métricas.

DECISIÓN

  • Tratar el cambio como modificación controlada.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Versión, origen, calidad, pruebas y aprobación.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Controlar el modelo y no los datos.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué evidencia falta antes del despliegue?

Respuesta orientativa: Pruebas comparativas y aprobación del cambio.

¿QUÉ CAMBIARÍA SI…?

el dataset solo añade registros recientes?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Dos equipos clasifican el mismo caso de forma distinta. ¿Qué evidencia pedirías antes de decidir?

Separa percepción de impacto, criterio definido y hechos del caso.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Acciones para abordar riesgos y oportunidades

  2. 02

    Evaluación de riesgos de IA

  3. 03

    Evaluación de impacto del sistema de IA

El siguiente paso es auditar
el soporte del SGIA
Siguiente módulo: Soporte (Cláusula 7)
← Anterior Continuar →