Cómo funciona

BONSAI no se recorre de principio a fin. Respondes nueve preguntas y esas respuestas activan los controles que te corresponden.

El rol acota el espacio de soluciones; el riesgo y la regulación seleccionan dentro de él; el tamaño cambia la implantación, no la obligación.

La regla, sin fórmulas

1. Primero, qué te concierne

   Lo que haces con cada sistema (usarlo, integrarlo o entrenarlo) y lo que ese sistema hace (decidir sobre personas, actuar por su cuenta, tratar datos personales) deciden qué controles te conciernen. Un control que no te concierne no aparece como obligación: queda latente, con su motivo a la vista.

2. Después, hasta dónde

   La gravedad de un fallo, si se puede deshacer, a cuánta gente afecta, si el uso es de alto impacto y las normas que te obligan fijan una letra: B, E o A. Esa letra dice hasta qué nivel entras en cada área: con B, los controles Baseline; con E, también los Enhanced; con A, todos.

3. Por último, de qué forma

   El tamaño de la organización no quita ni añade controles. Decide el modo de implantación: ligero, estándar o completo. El Baseline no se exime nunca.

Las dos letras

Cada sistema tiene su letra, y la organización tiene la suya. Los controles que se cumplen una vez para toda la organización siguen la letra de la organización; el resto, la del sistema. Por eso una organización pequeña con un uso de alto impacto tiene que reforzar ese sistema sin tener que montar la maquinaria de gobierno de una multinacional.

Las nueve preguntas

Sobre la organización, se responden una vez

A1 ¿Qué normas te obligan en lo que haces con IA?

Si operas en varios países, piensa en el más exigente.

• Solo la normativa general de protección de datos → Letra B
• Regulación sectorial, o normas para quien usa IA en decisiones reguladas (empleo, crédito, acceso a servicios) → Letra E
• Proporcionamos sistemas o modelos de IA a terceros bajo normas de alto riesgo o de propósito general → Letra A
• No lo sé

A2 ¿Qué tamaño tiene la organización y qué funciones dedicadas tiene?

Funciones dedicadas: seguridad, legal, privacidad, cumplimiento.

• Micro o pequeña, sin funciones dedicadas → ligero
• Mediana, con algunas funciones dedicadas → estándar
• Grande, con funciones dedicadas → completo

A3 ¿Qué controles ya tienes implantados?

• Esta no es una pregunta del cuestionario: la responde tu propia checklist. Lo que ya está implantado ordena el plan, pero nunca quita un control.

Sobre cada sistema de IA

B1 ¿Cómo tenéis este sistema?

• Lo usamos tal como viene: asistente, SaaS, función de IA dentro de un software comprado → usuario (consumer)
• Integramos o configuramos un modelo de otro en nuestros procesos: API, conectores, búsqueda sobre nuestros documentos, agentes → integrador (deployer)
• Lo entrenamos, afinamos o adaptamos sustancialmente → desarrollador (developer)

B2 ¿Puntúa, clasifica, selecciona o decide sobre personas?

• Sí → decide sobre personas

B3 ¿Actúa por su cuenta, además de responder?

• Sí → actúa por su cuenta

B4 ¿Trata datos personales?

• Sí → datos personales

B5 Si falla, ¿qué consecuencias tiene?

• Gravedad del daño: Leve: una molestia o un error que se corrige en el curso normal del trabajo / Significativo: una pérdida económica, un trato injusto o un daño reputacional / Grave: un daño a la salud, a los derechos o a la seguridad de alguien
• ¿Se puede deshacer?: Fácilmente: el efecto se revierte dentro del mismo proceso / Con dificultad: hace falta intervenir aparte y queda rastro / Irreversible: el efecto no se puede revertir
• Personas afectadas: Pocas: unos pocos usuarios internos o clientes / Muchas: todo un equipo, un segmento de clientes o un grupo de candidaturas / Un número muy grande: toda la plantilla, toda la clientela o el público
• Cuenta la peor de las tres respuestas.

B6 ¿Se usa en un ámbito de alto impacto?

• Sí → Letra A

Primera etapa y objetivo

La primera etapa son todos los controles Baseline que tus respuestas activan: por donde se empieza. El objetivo es el conjunto completo que te aplica. La primera etapa no es opcional y el Baseline no se exime nunca.

Controles latentes

Los controles que hoy no te aplican no se ocultan. Se muestran con su motivo (tu rol, una bandera o tu letra), para que veas lo que adquirirías si cambia tu situación.

Cuándo volver a responder

Una vez al año, y además ante cualquiera de estos cambios:

• cambio de rol: empezáis a integrar o a entrenar
• el proveedor cambia el modelo
• un uso nuevo, o un uso cuya criticidad cambia
• una norma nueva o una jurisdicción nueva
• descubrís IA que no estaba registrada
• un incidente significativo

Ir a la evaluación El marco