Fija la rendición de cuentas a lo largo de la cadena de suministro
Cuando interviene el modelo de un tercero, ¿quién responde del resultado?
Enhanced: 22 controles
A quién se aplica
Se entra en cada sistema de IA cuya letra es E o A (esta área no tiene controles Baseline). Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Resuelve, por adelantado y por escrito, quién responde de qué cuando una decisión pasa por el modelo de un tercero, porque la responsabilidad que no se fija se discutirá justo en el momento en que importa. No puedes delegar la rendición de cuentas en tu proveedor (principio del dominio de gobernanza), pero puedes y debes repartir las responsabilidades concretas a lo largo de la cadena: qué fallos son tuyos, cuáles del proveedor y cómo se acredita. Hazlo en el contrato, antes del incidente, y no en la discusión posterior.
Qué hacer
Reparte las responsabilidades concretas en el contrato. Usando la capa contractual del área de aprovisionamiento, declara qué fallos y qué daños corresponden al proveedor y cuáles a ti, y cómo se acredita cada uno. «Lo hizo el modelo del proveedor» no es una defensa; «nuestro contrato hace responsable al proveedor de este fallo concreto, y aquí está el registro» sí es una posición.
Quédate con la rendición de cuentas allí donde la norma te la deja a ti. Para muchos resultados —en especial las decisiones sobre personas—, la rendición de cuentas ante la persona afectada y ante el organismo supervisor sigue siendo tuya con independencia del contrato. Reconócelo explícitamente, para no construir un modelo de gobierno que dé por supuesta una transferencia que la norma no permite.
Controles
Enhanced2 controles
Control 186
Asigna contractualmente las responsabilidades de la cadena de suministro, por tipo de fallo.
EnhancedPreventivotodos los rolespor sistema
Qué es
Quién responde de qué y cómo se acredita.
Cómo implantarlo · Estructura mínima
Tipos de fallo: resultado erróneo o dañino, fuga de datos, cambio de modelo no anunciado, caída del servicio, brecha de seguridad
Para cada tipo: quién responde (proveedor, organización, tercero) y qué debe hacer cada uno
Prueba: registros, historial de versiones e informes de incidentes que el proveedor debe aportar, y en qué plazo
Aviso: el proveedor informa de incidentes y cambios de modelo en un plazo pactado
Remedios por tipo de fallo: corrección, créditos de servicio, indemnización o resolución
Cómo arrancar
Toma el contrato vigente de este sistema y asigna cada tipo de fallo a la cláusula que lo cubre; los huecos forman la lista de negociación.
Evidencia
El contrato o anexo firmado con el reparto de responsabilidades por tipo de fallo.
Modo: ligero / estándar / completo
ligero
Si las condiciones no son negociables, anota qué fallos dejan en manos de la organización.
estándar
Un anexo de responsabilidades negociado con cada proveedor relevante, revisado por asesoría jurídica.
completo
Un anexo tipo de responsabilidades aplicado por compras y jurídico a todo proveedor de IA, controlado en el registro de contratos.
Control 187
Registra en qué casos la rendición de cuentas sigue recayendo en ti con independencia del proveedor.
EnhancedPreventivotodos los rolespor sistema
Qué es
Para que el modelo de gobernanza refleje la ley y no una transferencia deseada.
Cómo implantarlo · Contenido mínimo
Sistema y caso de uso afectado
Responsabilidad retenida: decisiones sobre personas, respuestas debidas a los afectados, deberes ante el regulador, obligaciones sobre los datos personales
Motivo por el que no se puede transferir: la norma legal o el límite contractual
Responsable interno que responde de cada responsabilidad retenida
Cómo la cubre el modelo de gobierno: posición de supervisión, registros de decisión, vía de reparación
Cómo arrancar
Para este sistema, enumera a quién afectan sus decisiones y qué obligaciones hacia ellos siguen siendo de la organización diga lo que diga el contrato; confirma la lista con asesoría jurídica.
Evidencia
El registro de responsabilidades retenidas, firmado por su responsable y vinculado al reparto contractual.
Modo: ligero / estándar / completo
ligero
Un apartado breve en la ficha del sistema, redactado una vez con un abogado o asesor externo.
estándar
Un registro por sistema que mantiene el responsable jurídico o de cumplimiento.
completo
Parte del modelo de gobierno, revisada por jurídico en cada cambio de proveedor o de las normas aplicables.
Evidencia
El reparto contractual de responsabilidades; el registro de las responsabilidades que se retienen; la evidencia empleada para atribuir un fallo concreto a lo largo de la cadena.