Cuando algo salga gravemente mal, ¿lo sabremos, y lo sabrán las personas adecuadas?
Baseline: 1Enhanced: 34 controles
A quién se aplica
Se entra en cada sistema de IA. Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Define qué cuenta como incidente de IA, detéctalo y escálalo a quien pueda actuar, porque la IA falla de maneras que tu proceso de incidentes actual quizá no reconozca siquiera como incidentes. Un modelo que lleva semanas produciendo decisiones sesgadas sin hacer ruido, un sistema que filtra datos a través de sus respuestas, un agente que actúa fuera de sus límites: puede que ninguno dispare una alarma tradicional, y sin embargo todos exigen respuesta. Nómbralos como incidentes, conecta la detección con ellos y encamínalos hacia la capacidad de incidentes de IA que levantó el programa de seguridad de la gobernanza.
Qué hacer
Define qué modos de fallo de la IA cuentan como incidentes, y detéctalos. Nombra qué califica —deriva significativa, error o sesgo sistemático, fuga de datos a través de las salidas, un agente que se pasa de sus límites, una manipulación con éxito— y conecta tu monitorización para que se detecten y se eleven, en vez de dejar que afloren como reclamaciones.
Escala al equipo de incidentes de IA, por una vía definida. Encamina los incidentes detectados al equipo multidisciplinar de incidentes de IA del programa de seguridad de gobernanza, por una vía que todo el mundo conozca, con los niveles de gravedad y los plazos decididos por adelantado.
Controles
Baseline1 controles
Control 211
Define qué se considera un incidente de IA y designa el contacto de escalado.
BaselineCorrectivotodos los rolestoda la organización
Qué es
Deriva, error o sesgo sistemático, filtración a través de los resultados, una acción fuera de límites, una manipulación lograda: todo ello por escrito, con una persona designada a la que se notifica cualquiera de ellos.
Cómo implantarlo · Estructura mínima
Definición: deriva, error sistemático o sesgo, fuga a través de los resultados, una acción fuera de límites, una manipulación con éxito — cada una con un ejemplo del uso propio
Una persona designada a quien se notifica cualquiera de ellos, con suplente
Cómo notificar: teléfono o correo, y qué incluir (herramienta, hora, qué ocurrió)
Primeras acciones del contacto: registrarlo y decidir si se detiene la herramienta
Distribuido a todos los que usan IA en el trabajo
Cómo arrancar
Redacta los cinco tipos de incidente con un ejemplo de cada uno de vuestro uso de la IA, añade el nombre y el teléfono del contacto y envíalo a toda la plantilla.
Evidencia
La definición escrita de incidente y el contacto designado, con prueba de su distribución.
Modo: ligero / estándar / completo
ligero
Una nota de media página; el gerente es el contacto.
estándar
La definición figura en la política de incidentes, con el responsable de seguridad o informática como contacto.
completo
Parte de la política de gestión de incidentes, con el contacto de guardia del equipo de incidentes de IA y un formulario de notificación en la intranet.
Enhanced3 controles
Control 209
Define los incidentes específicos de la IA y vincula la detección a ellos.
EnhancedDetectivotodos los rolespor sistema
Qué es
La deriva, el sesgo, la filtración, las acciones fuera de límites y la manipulación lograda generan incidentes.
Cómo implantarlo · Reglas mínimas
Deriva: el rendimiento cruza el umbral de acción
Error sistemático o sesgo: diferencia de resultados entre grupos por encima de la tolerancia, o impugnaciones estimadas repetidas de un mismo tipo
Fuga: datos personales o confidenciales detectados en los resultados
Acción fuera de límites: un agente que actúa fuera de su ámbito, herramientas o límites permitidos
Manipulación con éxito: una elusión confirmada de salvaguardas o instrucciones
Cada tipo conectado a una señal de vigilancia o a un revisor designado que lo notifica
Cómo arrancar
Redacta las definiciones de incidente de este sistema y, para cada una, nombra la señal de vigilancia que lo activará; cubre cualquier tipo sin señal.
Evidencia
Las definiciones de incidente, la conexión de detección de cada una y los incidentes abiertos.
Modo: ligero / estándar / completo
ligero
Cada tipo asignado a una comprobación manual o a una alerta del proveedor, con una persona designada que lo notifica.
estándar
Alertas de vigilancia configuradas para abrir incidentes de cada tipo, a cargo del responsable del sistema.
completo
Reglas de detección por tipo en la vigilancia de seguridad, probadas y ajustadas por operaciones de seguridad.
Control 210
Escala por una vía definida hasta el equipo de incidentes de IA.
EnhancedCorrectivotodos los rolespor sistema
Qué es
Niveles de gravedad y plazos fijados de antemano.
Cómo implantarlo · Estructura mínima
Niveles de gravedad, p. ej. crítico (daño a personas, fuga de datos, notificable), alto, bajo
Plazos por nivel, p. ej. crítico escalado en 1 hora, alto en 24 horas
Ruta: quien detecta → contacto de guardia → responsable del equipo de incidentes de IA → dirección
Contactos con suplentes, localizables fuera de horario para incidentes críticos
Registro de cada incidente: detectado, escalado, recibido, con marcas de tiempo
Cómo arrancar
Redacta en una página los niveles de gravedad y los plazos con los nombres de contacto y distribúyela a todos los que operan o vigilan el sistema.
Evidencia
El documento de la ruta de escalado y los registros de incidentes con sus marcas de tiempo.
Modo: ligero / estándar / completo
ligero
Una ruta de una página con el gerente y un asesor externo como equipo de incidentes.
estándar
Una ruta documentada hacia un equipo de incidentes multidisciplinar, con turno de guardia para casos críticos.
completo
Escalado integrado en el sistema de gestión de incidentes, con avisos automáticos y control de plazos.
Control 212
Notifica los incidentes graves a las autoridades competentes dentro de los plazos reglamentarios.
EnhancedCorrectivotodos los rolestoda la organización
Qué es
Cuando las normas que te son aplicables exigen notificar los incidentes graves de IA, la obligación suele vincular tanto a quienes usan la IA como a quienes la construyen. El manual de respuesta indica la autoridad, el plazo y quién notifica.
Cómo implantarlo · Estructura mínima
Qué normas obligan a la organización y qué se considera incidente grave según cada una
Autoridad competente para cada norma, con la vía de presentación
Plazo desde que se tiene conocimiento, según fije cada norma, a menudo días u horas
Notificador: una persona designada y su suplente que presentan la notificación, y quién aprueba el contenido
Coordinación con el proveedor cuando también deba notificar
Registro de cada notificación: presentada, marca de tiempo, referencia recibida
Cómo arrancar
Obtén asesoramiento jurídico sobre qué obligaciones de notificación afectan a los usos de IA de la organización y anota la autoridad, el plazo y el notificador en el manual de incidentes.
Evidencia
Las entradas del manual de incidentes y las notificaciones presentadas con sus marcas de tiempo.
Modo: ligero / estándar / completo
ligero
Un asesor externo identifica una vez las obligaciones; el gerente es el notificador.
estándar
El responsable de cumplimiento mantiene el manual y actúa como notificador, con aprobación de jurídico.
completo
Una función de notificación regulatoria con plantillas, control de plazos y aviso al consejo.
Evidencia
Las definiciones de incidente de IA; la conexión de la detección y la vía de escalado; los registros de incidentes y su tratamiento. La definición escrita de incidente y el contacto; los informes a los organismos competentes y sus marcas de tiempo.