Política interna y evidencia para auditoría

El marco de gestión de riesgos de IA del NIST (AI RMF 1.0, publicado en enero de 2023 como NIST AI 100-1) ordena el trabajo en cuatro funciones: gobernar (políticas, roles, responsabilidades y cultura), mapear (el contexto y los riesgos de cada sistema), medir (evaluar y seguir esos riesgos) y gestionar (priorizar y tratar). En julio de 2024 el NIST publicó un perfil para IA generativa, NIST AI 600-1, que aplica ese marco a los riesgos propios de los modelos generativos. Del lado de las normas, ISO/IEC 42001 define un sistema de gestión de IA que una organización puede implantar y certificar.

Ninguno de los tres sustituye a la política propia: la política dice qué hace la empresa, y la evidencia demuestra que lo hace. A la auditoría no le basta con que el control exista en el papel.

Abre la consola y ejecuta SELECT * FROM politica_ia y SELECT * FROM inventario_sistemas_ia. Una evaluación de riesgo tiene fecha y la política le pone caducidad. Contar los meses contra la fecha de hoy es lo primero que hará la auditoría, y no hace falta esperarla para hacerlo.

Ejecuta SELECT * FROM proxy_servicios_ia. Mientras la empresa decide, la gente usa servicios de IA por su cuenta: lo que se suele llamar IA en la sombra. Una consulta suelta a un servicio no aprobado es una falta menor; subir archivos a ese servicio es otra cosa, porque los archivos de una aseguradora suelen llevar datos de asegurados.

Ejecuta SELECT * FROM evidencias. Un control sin evidencia vigente es, para la auditoría, un control que no se cumple, aunque en la práctica se haga. Llegar sabiendo cuántos faltan permite pedir plazo y plan, en vez de recibir el hallazgo.

El comité quiere una línea sobre lo que encontró el proxy. La experiencia con cualquier herramienta no aprobada es la misma: si solo se prohíbe, el uso se esconde; si se ignora, los datos salen.