Políticas de uso y auditoría del asistente

El marco de gestión de riesgos de IA del NIST (AI RMF 1.0, de enero de 2023) organiza el trabajo en cuatro funciones: gobernar, mapear, medir y gestionar. La primera, gobernar, es la que cubre las políticas, los roles y la rendición de cuentas, y atraviesa a las otras tres. Para un SOC que adopta un asistente, es el punto de partida: quién puede usarlo, para qué, con qué datos y quién responde si algo sale mal.

Una norma de gestión específica para IA, la ISO/IEC 42001, pide lo mismo desde el lado de un sistema de gestión: responsables, políticas y revisión periódica. Aquí se usa el marco del NIST solo como mapa.

Una política que nadie comprueba no protege. La comprobación sale de la bitácora: cada interacción con el asistente deja hora, persona, caso, acción y quién revisó el resultado. Prueba SELECT * FROM bitacora_asistente y luego SELECT * FROM bitacora_asistente WHERE revisado_por = "-".

El riesgo no es el mismo en todas las filas: un resumen sin revisar de un caso de severidad baja pesa menos que una consulta nueva sobre un caso de severidad alta.

La política exige revisión humana de todo lo que se lleva a un caso. Para saber si se cumple se mide: el porcentaje de interacciones del día que sí tienen revisor. Es una cifra simple y se puede seguir semana a semana.

Una política de uso de un asistente no necesita ser larga. Necesita decir qué datos pueden entrar, qué revisión humana exige, qué se registra, quién responde por ella y cada cuánto se revisa. Prueba SELECT * FROM politica_de_uso para ver los cinco controles de ejemplo.