NIST AI RMF, gobernar, mapear, medir y gestionar

El marco se organiza en cuatro funciones. Gobernar crea la cultura, las políticas, los roles y la rendición de cuentas; atraviesa a las otras tres y se mantiene siempre. Mapear sitúa el sistema en su contexto: para qué sirve, quién lo usa, a quién afecta y qué riesgos aparecen. Medir usa métricas y pruebas para analizar esos riesgos y seguirlos. Gestionar decide qué hacer con cada riesgo y lo ejecuta.

La confusión más común es entre Mapear y Medir: identificar un riesgo es mapearlo; ponerle una cifra es medirlo.

Un equipo asigna cada actividad a una función para ver qué cubre y qué no. Una asignación equivocada oculta un hueco: si una actividad de identificar riesgos queda colgada de Medir, Mapear parece más pobre de lo que es y nadie nota que falta decidir el contexto.

Abre actividades_del_equipo y funciones_del_marco, y compara el verbo de cada actividad con lo que la función dice que hace.

Medir solo sirve si hay un umbral que, al cruzarse, obliga a hacer algo. Los umbrales de una métrica pueden ser de mínimo (el valor debe ser al menos tanto) o de máximo (no debe pasar de ahí). Interpretar mal el tipo de umbral es un error muy común al leer un panel.

Lee mediciones: cuatro métricas del sistema de crédito, su tipo de umbral, el umbral y el valor medido.

Gestionar es lo que convierte la lista de riesgos en acción: cada riesgo tiene un tratamiento, un responsable y una fecha. Un riesgo identificado, medido y sin tratamiento es peor que uno ignorado, porque deja constancia de que se conocía.

El AI RMF es voluntario y no tiene un esquema de certificación: una empresa no «se certifica en el AI RMF». Lo que sí hace es dar un lenguaje común y una estructura que luego se puede cruzar con otros marcos y con obligaciones legales. El director general de Higuera pregunta si, usando el AI RMF, la empresa queda cumpliendo la Ley de IA europea.