En esta decisión, ¿la persona decide, comprueba o está ausente, y es eso lo correcto?
Baseline: 2Enhanced: 13 controles
A quién se aplica
Se entra en cada sistema de IA. Algunos de sus controles solo aplican si actúa por su cuenta (B3) o si decide sobre personas (B2). Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Elige, para cada caso de uso, dónde se sitúa exactamente la persona respecto de la IA, y deriva esa elección de la clasificación de reversibilidad que ya hiciste en gobernanza. Hay tres posiciones, y la diferencia entre ellas no es cosmética. En una, decide la persona y la IA solo asiste: la IA propone, la persona dispone y nada surte efecto sin ella. En otra, la IA actúa y la persona vigila, con capacidad de intervenir: adecuada para grandes volúmenes y menos en juego, donde detener cada acción desvirtuaría el propósito pero alguien tiene que poder cazar y parar lo que salga mal. En la tercera, la IA actúa sola: apropiada solo donde la acción es plenamente reversible. Asigna la posición correcta a cada uso, deliberadamente, y regístrala.
Qué hacer
Asigna una de las tres posiciones a cada caso de uso que actúa, a partir de su reversibilidad. Las acciones irreversibles llevan a una persona decidiendo; las reversibles con coste llevan a una persona vigilando y capaz de parar; solo las plenamente reversibles obtienen autonomía. Es la misma regla que fijaste en gobernanza, convertida ahora en una decisión operativa sobre dónde se sitúa una persona concreta dentro de un flujo de trabajo concreto.
No dejes que «la persona vigila» se convierta sin ruido en «la persona no está». La posición en la que se supone que una persona vigila e interviene es la que más deprisa se deteriora: con el tiempo, sin que nada salga visiblemente mal, se deja de vigilar. Protégete de eso deliberadamente, con las medidas de interfaz y de competencia que siguen, porque quien vigila solo de nombre es autonomía disfrazada, y falla justo cuando por fin hace falta.
Pon a una persona entre el contenido generado por IA y el mundo exterior. Todo lo que sale de la organización —un artículo publicado, una carta o una respuesta a un cliente, un informe para un cliente, una publicación pública— lo comprueba una persona nombrada antes de que salga: en busca de hechos y fuentes inventados, de afirmaciones que la organización no sostendría y de adecuación a su público. Esto vale tanto si el uso decide sobre personas o actúa por su cuenta como si no; el contenido hace daño por ser creído.
Controles
Baseline2 controles
Control 192
Asigna una posición de supervisión (la persona decide, la persona vigila o autónoma) a cada caso de uso que actúe.
BaselinePreventivotodos los rolespor sistemadecide sobre personasactúa por su cuenta
Qué es
Determinada por la clasificación de reversibilidad y registrada por caso de uso.
Cómo implantarlo · Contenido mínimo
Caso de uso y la acción que la IA ejecuta o propone, incluidas las que afectan a personas
Reversibilidad, según la clasificación ya hecha: totalmente reversible, reversible con coste o irreversible
Posición: decide una persona (irreversible), una persona vigila y puede detener (reversible con coste), autónomo (solo totalmente reversible)
Persona o rol designado que ocupa esa posición
Fecha de asignación y quién la aprobó
Cómo arrancar
Enumera cada uso en el que la IA actúa por su cuenta o decide sobre personas, toma su clase de reversibilidad y anota la posición al lado.
Evidencia
La posición de supervisión registrada por caso de uso, con su clase de reversibilidad.
Modo: ligero / estándar / completo
ligero
Una columna en la hoja de cálculo del inventario de IA, aprobada por el gerente.
estándar
Registrada en el inventario por caso de uso y aprobada por cada responsable de sistema.
completo
Verificada en la aprobación del despliegue, con la posición configurada en el flujo de trabajo para que no pueda saltarse.
Control 241
Haz que una persona designada verifique el contenido generado por IA antes de que se publique o se entregue fuera de la organización.
BaselinePreventivotodos los rolespor sistema
Qué es
Se comprueba su exactitud, la ausencia de hechos y fuentes inventados y su idoneidad para el público; quién lo verificó queda registrado junto con la publicación.
Cómo implantarlo · Pasos
Alcance: todo lo que sale de la organización — artículos publicados, cartas y respuestas a clientes, informes para clientes, publicaciones públicas
Comprueba hechos, cifras, nombres y citas contra una fuente; elimina cualquier referencia que no se encuentre
Comprueba que la organización respaldaría cada afirmación y que el contenido se ajusta al destinatario
Registra quién verificó y la fecha junto con la publicación, p. ej. iniciales en el documento o un campo en el registro de envíos
Cómo arrancar
Comunica al personal que el contenido externo redactado con IA necesita un verificador designado y añade una línea «verificado por» al paso de publicación de cada tipo de contenido.
Evidencia
Registros de publicación con el nombre de quien verificó cada contenido generado con IA enviado o publicado.
Modo: ligero / estándar / completo
ligero
El autor o un compañero revisa el contenido y lo firma con sus iniciales en el documento o el correo.
estándar
Revisores editoriales o de entrega al cliente dan el visto bueno en el flujo de publicación o de documentos.
completo
El flujo de publicación impide publicar hasta completar el campo del verificador, con comprobaciones periódicas por muestreo.
Enhanced1 controles
Control 193
Ajusta la posición a lo que está en juego y vuelve a examinarla ante cualquier cambio.
EnhancedPreventivotodos los rolespor sistema
Qué es
Se reevalúa cuando cambian el uso, el modelo o el impacto.
Cómo implantarlo · Reglas mínimas
Comprobación de impacto: además de la reversibilidad, pondera el efecto sobre personas, dinero y reputación; pasa a una posición más supervisada si el impacto es alto
Reevalúa cuando cambie el uso: nueva finalidad, nuevo grupo de usuarios, nuevo tipo de acción
Reevalúa cuando cambie el modelo o el proveedor, incluidas las actualizaciones que anuncie el proveedor
Reevalúa cuando cambie el impacto: más volumen, importes mayores, más personas afectadas
Cada reevaluación queda registrada: desencadenante, decisión mantenida o cambiada, aprobador, fecha
Cómo arrancar
Añade «reexaminar la posición de supervisión» como punto obligatorio del proceso de cambios de este sistema.
Evidencia
Registros de reevaluación con el desencadenante, la decisión y quién la aprobó.
Modo: ligero / estándar / completo
ligero
El gerente revisa la posición cuando quien usa la herramienta le comunica un cambio.
estándar
El responsable del sistema la reevalúa en cada solicitud de cambio y anota la decisión en el inventario.
completo
La gestión de cambios bloquea la publicación hasta registrar la reevaluación, con muestreos periódicos de la función de gobierno.
Evidencia
La asignación de la posición de supervisión para cada caso de uso; la correspondencia entre reversibilidad y posición; los registros de reevaluación; los registros de publicación que nombran a quien verificó el contenido generado por IA que se publicó o se entregó fuera de la organización.