Una no conformidad no es un fracaso.
Es una oportunidad para aprender y mejorar.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📊 | Qué verificar · ¿La organización utiliza los resultados de auditorías, métricas y revisiones para mejorar? ¿Hay evidencia de cambios implementados? |
| 📈 | Indicadores de mejora: Reducción de incidentes, cierre de no conformidades, mejora de métricas de sesgo/deriva, actualización de la SoA. |
| 🔴 | NC Mayor · Afecta la capacidad del SGIA para lograr resultados previstos. Ausencia total o fallo grave de un requisito. Puede suspender una certificación. |
| 🟡 | NC Menor: Fallo puntual o aislado. No afecta significativamente la eficacia del SGIA. Puede corregirse sin afectar la certificación. |
| 📋 | Observación (OM) · Situación que no es NC pero que, si no se aborda, podría convertirse en una en el futuro. Es una alerta temprana. |
| 1️⃣ | Criterio · El requisito incumplido (cláusula de ISO 42001, política, procedimiento). |
| 2️⃣ | Condición: El hecho observado que evidencia el incumplimiento. Debe ser específico y verificable. |
| 3️⃣ | Evidencia · Dónde, cuándo y qué se observó o revisó (registros, logs, entrevistas trianguladas). |
| 4️⃣ | Impacto: El riesgo o consecuencia del incumplimiento. Por qué es importante corregirlo. |
| 5️⃣ | Conclusión · Declaración clara de que es una no conformidad (y su severidad). |
| 🩹 | Corrección · Solución inmediata para contener el problema. Ejemplo: Añadir a la matriz de riesgos el riesgo de sesgo que faltaba. Esto NO previene recurrencia. |
| 🔧 | Acción correctiva: Elimina la causa raíz para prevenir recurrencia. Ejemplo: Revisar el proceso de evaluación de riesgos para asegurar que TODOS los sistemas IA nuevos pasen por análisis de sesgo antes del despliegue, con responsables y checklist. |
| ❓ |
5 Porqués (ejemplo) 1. ¿Por qué no se evaluó el sesgo? "Porque no estaba en el checklist." 2. ¿Por qué no estaba en el checklist? "Porque el procedimiento no lo exige." 3. ¿Por qué el procedimiento no lo exige? "Porque se creó antes de que la organización identificara el sesgo como riesgo." Causa raíz: El procedimiento de evaluación de riesgos no se actualiza cuando cambia el contexto regulatorio. |
| ⚠️ | Causas superficiales no aceptables: "Falta de tiempo", "Error humano", "No lo sabíamos". Si la causa no explica el porqué, no es raíz. |
| 📋 | Elementos obligatorios · Acción específica, responsable, fecha de implementación, recursos asignados, evidencia esperada de implementación, KPI de eficacia. |
| ❌ | Plan deficiente: "Capacitaremos al equipo." (¿quién? ¿cuándo? ¿cómo se mide que funcionó?) |
| 📊 | Evidencia de eficacia · Nueva medición después de la implementación, nuevo muestreo que confirma que el problema no reaparece, auditoría de seguimiento. |
| ✅ | Criterio de cierre: Corrección implementada + causa raíz tratada + eficacia verificada + evidencias archivadas y trazables al hallazgo. |
| 1 | La mejora continua (10.1) debe evidenciarse con acciones reales, no solo intenciones. |
| 2 | Una NC se redacta con: Criterio + Condición + Evidencia + Impacto + Conclusión. |
| 3 | Corrección ≠ Acción correctiva. La corrección contiene; la acción correctiva previene recurrencia. |
| 4 | El auditor debe validar que el análisis de causa raíz sea profundo (no superficial). |
| 5 | Una NC solo se cierra cuando la eficacia de la acción correctiva está verificada con evidencia posterior. |
Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Mejora y No Conformidades», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Una salida errónea causa una decisión adversa, pero no se registra como incidente porque el sistema no se cayó.
Sistema IA, proceso, reclamación y logs.
¿Por qué debe registrarse?
Respuesta orientativa: Porque produjo impacto real aunque el sistema siguiera disponible.
la decisión fue corregida antes de comunicarse?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Confirma criterio, condición y suficiencia de la muestra. Una sospecha útil todavía no es una conclusión defendible.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Mejora continua del SGIA
Qué es una no conformidad en SGIA
Fórmula para redactar una NC defendible