Gobierno de IA y uso aceptable

El marco de gestión de riesgos de IA del NIST (AI RMF 1.0, publicado el 26 de enero de 2023) organiza el trabajo en cuatro funciones: Gobernar (políticas, roles y cultura), Mapear (el contexto y los riesgos de cada sistema), Medir (evaluar y seguir esos riesgos) y Gestionar (tratarlos y priorizarlos). Existe también una norma internacional de sistemas de gestión de IA, la ISO/IEC 42001, que aborda lo mismo como un sistema de gestión certificable; esta sala no la desarrolla.

La función que sostiene a las demás es Gobernar: sin políticas ni responsables, un buen análisis técnico no tiene a quién llegar.

Abre SELECT * FROM registro_sistemas_ia. Un sistema de IA que trata datos personales, que ordena la atención de pacientes y no tiene evaluación de riesgo ni revisión humana ni aprobación del comité es una decisión tomada por omisión. No hace falta que esté mal: hace falta que alguien lo haya mirado.

Cuando una política dice «solo herramientas aprobadas» y el personal usa otras, rara vez hay mala intención: la herramienta oficial no existe, es incómoda o no resuelve la tarea. Lo que cuenta es qué datos viajan. Abre SELECT * FROM uso_de_herramientas: la que tiene más personas no es la que preocupa por sí sola, sino la que lo hace junto con el envío de datos clasificados y la falta de aprobación.

Una evaluación de riesgo es una foto: cambian los datos, el modelo, el uso y las amenazas. Sin una periodicidad escrita, la evaluación se vuelve un trámite de una sola vez. La política interna de Altamira Salud no fija el plazo en este informe; lo que sí se puede medir es la antigüedad.

El informe es del 7 de octubre de 2026.

Ciento doce personas usan una herramienta no aprobada porque les ayuda a trabajar. Bloquearla sin más tiene un costo: el uso se traslada a donde nadie lo ve. Dejarla tampoco es opción, porque los datos clasificados salen.