Las cuatro funciones del marco de NIST

El marco de gestión de riesgos de IA del NIST (AI RMF 1.0, publicación NIST AI 100-1, del 26 de enero de 2023) es un documento de uso voluntario. No es una ley, no es una norma con auditoría de certificación y no trae una lista de pasos que se tachan. Su núcleo se organiza en cuatro funciones, cada una dividida en categorías y subcategorías, y el propio documento aclara que sus acciones no son una lista de verificación ni un orden obligatorio. Se aplican de forma iterativa y a lo largo de todo el ciclo de vida del sistema.

Conviene comprobar siempre la versión vigente en la página oficial del NIST: en octubre de 2026 la versión 1.0 sigue siendo la publicada y el propio NIST indica que está en revisión. Las subcategorías que verás en este módulo son las de la 1.0.

Las cuatro funciones responden a cuatro preguntas. GOVERN (gobernar): ¿quién decide, con qué políticas y con qué responsabilidades? Es transversal: el marco la presenta como una función que se integra en las otras tres. MAP (mapear): ¿para qué se usa el sistema, quién lo usa y qué puede salir mal? MEASURE (medir): ¿cómo se analiza y se sigue ese riesgo, con qué pruebas y qué vigilancia? MANAGE (gestionar): ¿cuáles riesgos se atienden primero y cómo se responde?

Una regla práctica: las respuestas de MAP alimentan a MEASURE y a MANAGE. Si nadie documentó para qué sirve el sistema, no hay a qué aplicarle métricas ni a qué priorizarle respuestas.

Abre la tabla de funciones y lee la columna de la nota del marco.

El equipo de IA de Cántaro hizo ocho actividades en el trimestre y las archivó cada una bajo una subcategoría del marco. Una auditoría interna no comprueba que haya muchas citas, sino que cada cita diga lo que la actividad hace. Para comprobarlo se cruzan tres tablas: lo que se hizo, lo que el equipo citó y lo que la subcategoría realmente dice.

Una de las ocho actividades está archivada bajo una función que no es la suya: describe un trabajo de contexto y uso, y el equipo la justificó como una medición. Mira las tres tablas.

Cuando se corrige una cita el recuento por función cambia, y el informe del comité debe reflejar el dato corregido y no el original. Un informe que reparte las actividades por función sirve para ver si el programa está desbalanceado: mucho GOVERN y nada de MEASURE es un programa de papeles; lo contrario es un programa de pruebas sin dueño.

Cuenta cuántas de las ocho actividades quedan bajo MEASURE una vez que la actividad mal archivada pasa a la función que le corresponde.

Mira en la tabla de subcategorías las de MEASURE y las de MANAGE: sus resúmenes hablan de seguridad, de desempeño y de riesgos «de prioridad alta» que MAP identificó. Es la forma en que el marco encadena las funciones: sin la ficha de contexto de MAP, una prueba de seguridad no sabe qué sistema ni qué componentes debe cubrir, y un plan de respuesta no sabe qué riesgo es prioritario.