Planifique antes de implementar: la cláusula 6 de ISO/IEC 42001 y el enfoque de riesgos detrás de una IA que se autorregula

Una organización que regula su propia IA debe anticipar lo que podría salir mal antes de que suceda. La cláusula 6 convierte esa previsión en un proceso de planificación repetible.

Hasta ahora, en esta serie hemos analizado la cláusula 4, en la que una organización define su contexto y sus partes interesadas. También hemos abordado la cláusula 5, en la que la alta dirección asume la responsabilidad mediante una política de IA y roles claramente definidos. La cláusula 6, Planificación, es donde esa comprensión y ese liderazgo se convierten en acciones concretas.

La cláusula 6 de ISO/IEC 42001 requiere que las organizaciones aborden los riesgos y oportunidades, evalúen los riesgos de la IA y los impactos de los sistemas de IA, decidan cómo tratar esos riesgos, establezcan objetivos de IA medibles y planifiquen de manera controlada los cambios en el sistema de gestión. Para cualquier organización que se tome en serio la autorregulación, esta cláusula es el núcleo de la norma.

Por qué la autorregulación depende de la planificación

La autorregulación no consiste solo en reaccionar ante los problemas, sino en anticiparlos. Los sistemas de IA pueden fallar de maneras en que el software tradicional no falla: los modelos pueden desviarse con el tiempo (deriva del modelo), los datos de entrenamiento pueden contener sesgos ocultos, los resultados pueden utilizarse de forma indebida y las decisiones pueden afectar a personas que nunca aceptaron formar parte del proceso. Una organización que espera a que las quejas o los hallazgos de las autoridades regulatorias revelen estos problemas no se está autorregulando: son otros quienes la regulan.

La cláusula 6 ofrece a las organizaciones una forma estructurada de identificar esos riesgos de manera temprana, decidir qué hacer al respecto y documentar el razonamiento. Ese registro es lo que permite a una organización demostrar, ante sí misma y ante los demás, que sus decisiones sobre la IA fueron deliberadas.

6.1 Acciones para abordar riesgos y oportunidades

A partir de las cuestiones y de los requisitos de las partes interesadas identificados en la cláusula 4, la organización debe determinar los riesgos y oportunidades que es necesario abordar para que el AIMS logre sus resultados previstos, prevenga o reduzca los efectos no deseados y logre la mejora continua. También debe establecer criterios de riesgo de IA que permitan distinguir los riesgos aceptables de los no aceptables. A continuación, la cláusula 6.1 establece tres procesos especializados.

• Evaluación de riesgos de la IA (6.1.2): un proceso definido y repetible para identificar, analizar y valorar los riesgos de la IA, considerando tanto la probabilidad de los eventos como sus posibles consecuencias para la organización, las personas y la sociedad.
• Tratamiento de riesgos de la IA (6.1.3): elegir las opciones de tratamiento adecuadas, determinar los controles necesarios y compararlos con los controles del Anexo A para asegurarse de que no se haya pasado por alto nada importante. El resultado se documenta en una Declaración de Aplicabilidad que explica qué controles se incluyen o se excluyen y por qué.
• Evaluación de impacto de los sistemas de IA (6.1.4): un proceso para evaluar las posibles consecuencias que el desarrollo, el suministro o el uso de un sistema de IA podría tener en las personas, los grupos de personas y las sociedades. Los resultados retroalimentan la evaluación de riesgos.

La evaluación de impacto es una de las características que distinguen a ISO/IEC 42001 de otras normas de sistemas de gestión. Pide a la organización que mire más allá de sus propios riesgos de negocio y tome en cuenta a las personas que reciben los efectos de su IA. Para la autorregulación, esa perspectiva orientada hacia el exterior es esencial.

6.2 Objetivos de IA y planificación para lograrlos

La organización debe establecer objetivos de IA en las funciones y niveles pertinentes. Esos objetivos deben ser coherentes con la política de IA, medibles (cuando sea factible), objeto de seguimiento, comunicados y actualizados según corresponda. Para cada objetivo, la organización debe planificar qué se hará, qué recursos se requerirán, quién será responsable, cuándo se finalizará y cómo se evaluarán los resultados.

Los objetivos bien redactados convierten compromisos generales en metas verificables. “Ser justos” es un principio. “Completar una evaluación de sesgos de cada modelo dirigido a clientes antes de su lanzamiento” es un objetivo. Cuanto más específico sea el objetivo, más fácil le resultará a la organización rendir cuentas ante sí misma.

6.3 Planificación de los cambios

Cuando la organización determina que se necesitan cambios en el AIMS, estos deben llevarse a cabo de manera planificada. Los entornos de IA cambian con rapidez con la llegada de nuevos modelos, proveedores, regulaciones y casos de uso. Una gestión planificada de los cambios ayuda a que la gobernanza mantenga el ritmo sin generar brechas ni romper los controles existentes.

Cómo poner en práctica la cláusula 6: pasos concretos

1. Defina primero sus criterios de riesgo. Acuerde qué se considera un riesgo aceptable y uno no aceptable antes de evaluar cada sistema, para que las decisiones sean coherentes.
2. Utilice un método común de evaluación de riesgos. Aplique el mismo enfoque de evaluación a todos los sistemas de IA para que los resultados puedan compararse y priorizarse. ISO/IEC 23894 ofrece orientación útil sobre la gestión de riesgos de la IA.
3. Convierta las evaluaciones de impacto en una práctica habitual. Integre las evaluaciones de impacto de los sistemas de IA en los procesos de recepción de proyectos y de gestión de cambios, no solo en la implementación inicial.
4. Analice el Anexo A con detenimiento. Trate la declaración de aplicabilidad como un registro razonado, con una justificación clara para cada control incluido o excluido.
5. Redacte objetivos de IA SMART. Establezca objetivos específicos, medibles, alcanzables, relevantes y con un plazo definido. Asigne un responsable a cada uno.
6. Revise las evaluaciones de forma periódica. Actualice las evaluaciones de riesgos e impacto cuando cambien los sistemas, los datos, las leyes o los usos previstos.

Errores comunes que se deben evitar

• Copiar un registro de riesgos genérico. Los riesgos tomados de plantillas que no reflejan sus sistemas de IA reales generan una falsa sensación de seguridad.
• Centrarse solo en los riesgos de negocio. Ignorar los impactos en las personas y en la sociedad deja de lado el propósito de la evaluación de impacto.
• Tratar la declaración de aplicabilidad como una lista de verificación. Excluir controles sin una justificación sólida debilita todo el proceso de tratamiento de riesgos.
• Objetivos vagos. Lo que no puede medirse no puede ser objeto de seguimiento; lo que no recibe seguimiento no puede regularse.

En resumen

La cláusula 6 es donde la autorregulación se vuelve proactiva. Al evaluar los riesgos e impactos de la IA, elegir los controles de forma deliberada y establecer objetivos medibles, una organización construye un programa de gobernanza que mira hacia adelante en lugar de hacia atrás. En la próxima publicación analizaremos la cláusula 7, Apoyo, junto con las personas, los recursos y la documentación necesarios para poner en práctica estos planes. Para obtener más información, escríbanos a [email protected] o, para solicitar una cotización de la certificación ISO 42001, haga clic aquí.