Se entra una sola vez, para toda la organización. Llega hasta donde alcance la letra de tu organización, e implántalo en tu modo.
Por qué existe
Mide el gobierno, o acepta que es un sistema de creencias. Cada área de este dominio produce cosas que se pueden contar —sistemas sin propietario, herramientas descubiertas fuera del registro, hallazgos abiertos, incidentes, proveedores evaluados o no— y, si no las cuentas, descubrirás su estado como lo descubren siempre las organizaciones: durante el incidente. Construye los indicadores, y construye la vía que los lleva hacia arriba, al nivel que puede actuar sobre ellos.
Qué hacer
Mide indicadores que exijan una acción, no indicadores que decoren una diapositiva. Elige medidas cuyo movimiento le diga a alguien que haga algo concreto: el número de sistemas de IA sin propietario nombrado (cada uno es un hueco de responsabilidad que cerrar); herramientas detectadas en uso pero ausentes del registro (cada una entra en el proceso de alta); hallazgos críticos de seguridad abiertos fuera de plazo; incidentes de IA y su resolución; proveedores con la evaluación vencida; sistemas cuyo comportamiento se ha desviado de lo que se validó. Un recuento bruto de «proyectos de IA en marcha» no le dice a nadie que haga nada; retira las medidas así.
Trata el cumplimiento normativo como un indicador vivo y medido, no como una casilla anual. Informa, en cada ciclo, de la situación de la organización frente a las normas de IA que le aplican en cada jurisdicción en la que opera: qué aplica, qué se cumple, qué está abierto y quién posee cada brecha. Tanto las normas como el panorama de amenazas se mueven más deprisa que una revisión anual; un ejercicio de cumplimiento al año certifica el pasado, no el presente.
Publica transparencia hacia fuera cuando tu uso de la IA lo justifique. Más allá de decir a cada persona cuándo está tratando con una IA (ya exigido en estrategia y dirección), mantén —cuando estés regulado o de cara al público— una exposición permanente de qué IA usas, para qué fines y bajo qué supervisión. Expectativas de este tipo se están endureciendo hasta volverse obligaciones en varias jurisdicciones; publicar en tus propios términos, antes de que te obliguen, es a la vez más barato y más creíble.
Lleva los informes hacia arriba a través de órganos con nombre y a la profundidad que corresponda. Encamina los indicadores del comité de IA a la función de riesgos y de ahí al consejo, de modo que cada nivel reciba la profundidad que necesita: el comité ve todas las medidas, la función de riesgos ve las tendencias y las excepciones, el consejo ve las exposiciones que podrían dañar a la organización y las decisiones que solo él puede tomar. Un informe que se queda en el comité gobierna al comité; la idea es alcanzar al nivel que posee la consecuencia.
Controles
Baseline1 controles
Control 55
Verifica de forma permanente que cada sistema de IA tiene un responsable.
BaselineDetectivotodos los rolestoda la organización
Qué es
La comprobación individual más sencilla y reveladora de este dominio; las excepciones son riesgos, no papeleo.
Cómo implantarlo · Pasos
Mantén un responsable designado (una persona, no un equipo) para cada sistema de IA del inventario
Comprueba al menos cada mes, o en cada ciclo del comité, responsables vacíos o que se han ido o cambiado de puesto
Contrasta los responsables con la lista de bajas y cambios de Recursos Humanos
Registra cada sistema sin responsable como riesgo, asigna uno nuevo en un plazo fijado y escala si se incumple
Informa al comité del número de sistemas sin responsable
Cómo arrancar
Revisa hoy el inventario, lista cada sistema cuyo responsable esté vacío o se haya ido y asígnale uno.
Evidencia
Registros fechados de la comprobación con los sistemas sin responsable detectados y cuándo se asignó cada uno.
Modo: ligero / estándar / completo
ligero
La gerencia revisa cada mes la hoja de inventario y asigna los responsables directamente.
estándar
El responsable de IA hace la comprobación con datos de Recursos Humanos e informa de las excepciones al comité.
completo
Una comprobación automática compara el inventario con el directorio de personal y abre un ticket por cada carencia.
Enhanced4 controles
Control 56
Define y gestiona el conjunto de indicadores de IA.
EnhancedDetectivotodos los rolestoda la organización
Qué es
Medidas accionables, cada una con un responsable designado y una respuesta definida cuando se mueve.
Cómo implantarlo · Estructura mínima
Conjunto inicial: sistemas sin responsable; herramientas detectadas fuera del registro; hallazgos de seguridad críticos vencidos; incidentes de IA abiertos y resueltos; proveedores con evaluación vencida; sistemas desviados del comportamiento validado
Por indicador: definición, fuente de datos, responsable y frecuencia
Por indicador: umbral y respuesta obligada cuando se supera
Retira los recuentos que no llevan a ninguna acción, como el número de proyectos de IA en curso
Revisa el conjunto una vez al año
Cómo arrancar
Define en una página los seis indicadores iniciales, cada uno con responsable y umbral, y obtén a mano los primeros valores.
Evidencia
Las definiciones de los indicadores y sus valores fechados, con las respuestas adoptadas al superarse los umbrales.
Modo: ligero / estándar / completo
ligero
El responsable de IA sigue tres o cuatro indicadores en una hoja de cálculo cada mes.
estándar
La función de gobierno mantiene el conjunto completo en un cuadro de mando compartido alimentado en parte a mano.
completo
Una función dedicada opera el conjunto con responsables en seguridad, compras y riesgos, y revisa los umbrales cada año.
Control 57
Informa a los órganos de gobierno con una periodicidad fija.
EnhancedDetectivotodos los rolestoda la organización
Qué es
El comité, la función de riesgos y el consejo reciben cada uno su nivel de la visión, según el calendario.
Cómo implantarlo · Estructura mínima
Calendario fijado con un año de antelación: p. ej. comité mensual o trimestral, función de riesgos trimestral, consejo al menos dos veces al año
Informe al comité: todos los indicadores, asuntos abiertos y decisiones necesarias
Informe a la función de riesgos: tendencias, excepciones y riesgos por encima del apetito
Informe al consejo: exposiciones que podrían dañar a la organización y decisiones que solo él puede tomar
Las actas recogen decisiones, responsables y plazos
Cómo arrancar
Fija el calendario de informes de los próximos doce meses y envía el primer informe al comité.
Evidencia
El calendario de informes y los informes y actas de cada ciclo.
Modo: ligero / estándar / completo
ligero
Si no hay función de riesgos ni consejo separados, el responsable de IA informa a la dirección en las fechas fijadas.
estándar
La función de gobierno prepara los tres informes a partir de un único conjunto de datos según el calendario.
completo
Una secretaría gestiona el ciclo; los informes se generan desde el conjunto de indicadores y se hace seguimiento de lo tratado en el consejo.
Control 58
Informa de la situación regulatoria como un indicador continuo.
EnhancedDetectivotodos los rolestoda la organización
Qué es
Normas aplicables, situación actual, carencias abiertas y responsables de cada carencia, en cada ciclo, no cada año.
Cómo implantarlo · Contenido mínimo
Norma: cada norma de IA, de protección de datos y sectorial aplicable, por cada jurisdicción en que operas
Requisito: la obligación concreta y los sistemas a los que afecta
Estado: cumplido, parcialmente cumplido o abierto, con referencia a la evidencia
Responsable y plazo de cada carencia abierta
Cambios desde el último ciclo: normas nuevas, criterios, fechas de entrada en vigor
Resumen del ciclo para el informe al comité: número de cumplidos y abiertos, carencias vencidas
Cómo arrancar
Crea un registro de las normas aplicables a tu uso de IA, con estado y responsable, e incluye su resumen en el próximo informe al comité.
Evidencia
El registro normativo y su resumen en el informe de cada ciclo.
Modo: ligero / estándar / completo
ligero
Una persona designada lleva el registro en una hoja de cálculo y un asesor externo lo revisa una vez al año.
estándar
El área jurídica o de cumplimiento lo mantiene y actualiza el estado en cada ciclo.
completo
La función de cumplimiento lo gestiona con vigilancia de cambios normativos y vincula cada carencia al registro de riesgos.
Control 59
Publica informes de transparencia externos cuando tu exposición lo justifique.
EnhancedPreventivotodos los rolestoda la organización
Qué es
Por iniciativa propia, en la forma que esperan tus reguladores y el público.
Cómo implantarlo · Estructura mínima
Decisión sobre si procede: actividad regulada, servicios al público o IA usada en decisiones sobre personas
Qué IA usa la organización y con qué fines
Supervisión: dónde revisan personas y cómo se puede preguntar o impugnar un resultado
Resumen de los datos que usa la IA
Punto de contacto; actualización ante cambios relevantes y al menos una vez al año
Cómo arrancar
Decide y deja constancia de si tu exposición lo justifica; si es así, redacta una página web sobre tus usos de IA, fines y supervisión y haz que la apruebe la dirección.
Evidencia
La declaración publicada con fecha y aprobación, o la decisión registrada de que no procede.
Modo: ligero / estándar / completo
ligero
Una página breve en la web, redactada y aprobada por la gerencia.
estándar
Comunicación y el área jurídica la redactan a partir del inventario y la aprueba el comité.
completo
Un informe de transparencia mantenido y generado desde el inventario, revisado por el área jurídica y aprobado por la alta dirección.
Advanced1 controles
Control 60
Automatiza la supervisión y extiéndela al nivel del consejo.
AdvancedDetectivotodos los rolestoda la organización
Qué es
Indicadores generados a partir de los propios sistemas en lugar de compilados a mano, con la información al consejo como punto permanente del orden del día.
Cómo implantarlo · Reglas mínimas
Calcula los indicadores directamente desde los sistemas de origen: inventario, sistema de tickets, hallazgos de seguridad, monitorización, registro de proveedores
Actualiza al menos cada semana; superar un umbral alerta al responsable del indicador
Señala las fuentes de datos ausentes o desactualizadas en lugar de mostrar valores antiguos
Conserva el histórico de valores para tendencias y auditoría
Supervisión de la IA como punto fijo del orden del día del consejo, con el informe extraído de los mismos datos
Cómo arrancar
Elige el indicador que más a menudo se elabora a mano y conéctalo directamente a su sistema de origen.
Evidencia
El cuadro de mando automatizado con sus fuentes de datos y los órdenes del día del consejo con el punto fijo.
Modo: ligero / estándar / completo
ligero
Una hoja de cálculo alimentada por exportaciones programadas del inventario y del sistema de tickets, con la IA como punto fijo en las reuniones de dirección.
estándar
La función de gobierno automatiza los indicadores principales e informa al consejo en un punto fijo del orden del día.
completo
Un equipo de datos gestiona flujos automáticos y alertas, y el informe al consejo se genera desde el cuadro de mando en cada ciclo.
Evidencia
Las definiciones de los indicadores y los cuadros de mando; las comprobaciones de que cada sistema tiene propietario; los informes al comité, a riesgos y al consejo; los informes de situación normativa; el material de transparencia publicado; el registro de incidentes.