No basta con diseñar controles.
Hay que operarlos, monitorearlos y demostrar su eficacia.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📋 | Qué auditar en operación · ¿Existen criterios claros para los procesos? ¿Se implementan los controles según lo planificado? ¿Hay registros de ejecución? |
| ⚠️ | Error típico: Un procedimiento existe, pero las personas no lo siguen. O el control se ejecuta de forma inconsistente sin trazabilidad. |
| 🔄 | Qué debe incluir la gestión de cambios · Análisis de impacto del cambio, aprobación previa por responsables, actualización de evaluación de riesgos, revisión de la SoA si aplica, verificación post-cambio. |
| 📋 | Evidencia auditable: Registro de solicitud de cambio, análisis de impacto, aprobación documentada, evidencia de pruebas, actualización de documentación, verificación posterior. |
| 📋 | Qué verificar en proveedores IA · Evaluación y selección del proveedor, requisitos contractuales (SLAs, auditorías, notificación de cambios), monitoreo continuo del desempeño, acceso a evidencias. |
| 📄 | Evidencias: Contratos con cláusulas de SGIA, informes de auditoría de proveedor, evidencias de supervisión periódica, registros de incidentes del proveedor. |
| 1️⃣ | A.2 Políticas relacionadas con IA · Política de IA, alineación con otras políticas, revisión. |
| 2️⃣ | A.3 Organización interna · Roles y responsabilidades de IA, reporte de preocupaciones. |
| 3️⃣ | A.4 Recursos para sistemas de IA · Documentación de recursos, datos, herramientas, sistema y cómputo, recursos humanos. |
| 4️⃣ | A.5 Evaluación de impactos de sistemas IA · Proceso de evaluación, documentación, impacto en individuos, impactos sociales. |
| 5️⃣ | A.6 Ciclo de vida del sistema IA · Desarrollo responsable, requisitos, verificación y validación, despliegue, operación y monitoreo, registro de eventos. |
| 6️⃣ | A.7 Datos para sistemas de IA · Datos para desarrollo, adquisición, calidad, procedencia, preparación. |
| 7️⃣ | A.8 Información para partes interesadas · Documentación, reporte externo, comunicación de incidentes. |
| 8️⃣ | A.9 Uso de sistemas de IA · Procesos para uso responsable, objetivos, uso previsto. |
| 9️⃣ | A.10 Relaciones con terceros y clientes: Asignación de responsabilidades, proveedores, clientes. |
| 📊 | A.5 Evaluación de impacto · El auditor verifica que se realiza antes del despliegue, que considera impactos en individuos y sociedad, y que sus resultados se vinculan al tratamiento del riesgo. |
| 🔄 | A.6 Gestión del ciclo de vida: El auditor verifica que existe trazabilidad desde requisitos hasta retiro, que hay verificación y validación documentadas, y que el monitoreo en producción está definido. |
| 📈 | A.7 Calidad y procedencia de datos · El auditor verifica que los datos de entrenamiento son representativos, que se documenta la procedencia, y que hay controles de calidad antes del uso. |
| 👁️ | A.9 Uso responsable: El auditor verifica que existe supervisión humana cuando es necesaria, que los límites de uso están definidos, y que hay mecanismos de apelación para decisiones automatizadas. |
| 📐 | Diseño adecuado · El control, en teoría, puede reducir el riesgo si se implementa correctamente. Ejemplo: "Un procedimiento de monitoreo de deriva está documentado." |
| ⚙️ | Implementación consistente: El control se ejecuta según lo diseñado. Ejemplo: "Los registros muestran que el monitoreo de deriva se ejecuta semanalmente." |
| 📊 | Resultado eficaz · El control realmente reduce el riesgo. Ejemplo: "Las alertas de deriva han llevado a acciones correctivas que mantienen el modelo dentro de umbrales aceptables." |
| 1 | La operación (8.1) debe estar planificada y controlada con criterios claros y registros de ejecución. |
| 2 | La gestión de cambios en IA es crítica: cualquier cambio (modelo, datos, proveedor) debe ser controlado y aprobado. |
| 3 | Los proveedores externos no eximen de responsabilidad. La organización debe supervisarlos. |
| 4 | El Anexo A tiene 38 controles en 9 grupos. No es obligatorio implementarlos todos, pero la selección debe justificarse. |
| 5 | El auditor evalúa tres niveles: diseño, implementación y resultado. Una falla en cualquiera debilita el control. |
Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Operación y Controles del Anexo A», comienza delimitando necesidad, aplicabilidad, diseño, implantación, operación y eficacia. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta necesidad, aplicabilidad, diseño, implantación, operación y eficacia.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
El revisor humano aprueba el 99 % de las salidas en menos de tres segundos.
Panel de revisión, alertas y decisiones.
¿Qué indicio muestra supervisión débil?
Respuesta orientativa: La aprobación casi automática sin análisis.
el revisor solo interviene en casos de baja confianza?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Sigue una decisión real: excepción, aceptación, escalado o priorización.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Planificación y control operacional
Gestión de cambios en sistemas de IA
Proveedores externos y responsabilidad residual