Evalúa los riesgos, incluido el impacto en las personas
¿Con qué gravedad, con qué probabilidad, y a quién perjudica?
Baseline: 1Enhanced: 23 controles
A quién se aplica
Se entra en cada sistema de IA. Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Juzga cada riesgo por lo probable que es y por cuánto daño haría y, para la IA que afecta a personas, añade una evaluación específica del daño a sus derechos, porque ese daño suele ser el mayor y es el que peor ve la puntuación de riesgos corriente. Un modelo que para el negocio es una mera incomodidad puede ser devastador para la persona sobre la que decide mal; un proceso de riesgos que solo puntúa el impacto en el negocio situará ese riesgo demasiado abajo. Allí donde la IA toca a personas, evalúa explícitamente el impacto sobre sus derechos fundamentales —una comprobación estructurada de cómo podría el sistema afectar a los derechos, las libertades y el trato justo de quienes están sujetos a él— junto a la evaluación operativa, financiera y reputacional.
Qué hacer
Puntúa cada riesgo por probabilidad y por daño, en todas las dimensiones del daño. Evalúa el impacto operativo, financiero, normativo y reputacional y, siempre que la IA afecte a personas, añade el impacto sobre sus derechos como dimensión de primer orden, no como nota al pie. El peor daño que hace un sistema de IA es con frecuencia a una persona, no a un balance.
Haz la evaluación de derechos antes de desplegar una IA que afecte a personas. Para los sistemas que deciden o moldean de forma material decisiones sobre personas, completa la evaluación estructurada del impacto sobre sus derechos como condición de la compuerta de puesta en marcha, conectándola con las evaluaciones de privacidad y de explicabilidad de esos dominios.
Controles
Baseline1 controles
Control 223
Completa una evaluación de riesgos de IA ligera y documentada por caso de uso antes de su aprobación.
BaselinePreventivotodos los rolespor sistema
Qué es
Una página: qué puede salir mal, a quién afecta, con qué probabilidad y qué hacemos al respecto. Por encima de Baseline, la evaluación completa de esta dimensión, la evaluación de impacto en la privacidad del Dominio 3 y la evaluación de impacto del Dominio 1 se consolidan en una única evaluación de impacto del sistema de IA que abarca la finalidad, las personas afectadas, los posibles daños y beneficios, y las mitigaciones.
Cómo implantarlo · Estructura mínima
Caso de uso: qué hace la IA, quién la usa y qué datos toca
Qué puede salir mal: p. ej. se confía en una respuesta errónea, se filtran datos confidenciales, se trata injustamente a alguien
A quién afecta: la organización, clientes, personal, otros
Probabilidad y gravedad: baja, media o alta en cada caso
Qué hacemos al respecto: la medida y su responsable
Decisión: aprobado, aprobado con condiciones o rechazado; firmado y fechado
Cómo arrancar
Crea una plantilla de una página con estos apartados y complétala para el próximo uso de IA pendiente de aprobación.
Evidencia
Una evaluación firmada de una página por cada uso de IA aprobado.
Modo: ligero / estándar / completo
ligero
Quien propone el uso la rellena y la dirección la firma.
estándar
La rellena el responsable del sistema y la firma quien aprueba nuevos usos.
completo
Paso obligatorio del alta, revisado por riesgos, que alimenta la evaluación de impacto unificada.
Enhanced2 controles
Control 221
Evalúa cada riesgo catalogado según su probabilidad y su daño en todas las dimensiones de impacto.
EnhancedPreventivotodos los rolespor sistema
Qué es
Se puntúan tanto el impacto en el negocio como el impacto en las personas.
Cómo implantarlo · Contenido mínimo
Probabilidad en escala 1–5 con anclas escritas (p. ej. 1 = menos de una vez en cinco años)
Daño al negocio puntuado por separado: operativo, financiero, regulatorio, reputacional
Daño a las personas como dimensión propia: derechos, trato justo, seguridad y bienestar de los afectados
Calificación global determinada por la dimensión de daño más alta, no por la media
Evaluador, fecha y evidencia que respalda cada puntuación
Prioridad resultante y vínculo a la decisión de tratamiento
Cómo arrancar
Acuerda en una página las escalas 1–5 y sus definiciones y puntúa los diez riesgos más altos del catálogo.
Evidencia
Las evaluaciones puntuadas, con las dimensiones de negocio y de personas para cada riesgo del catálogo.
Modo: ligero / estándar / completo
ligero
La dirección y el responsable de IA puntúan juntos en una hoja de cálculo, cada año y ante cambios.
estándar
Cada responsable puntúa con riesgos, que comprueba la coherencia entre sistemas.
completo
Riesgos organiza talleres con las escalas corporativas y la dimensión de personas.
Control 222
Completa una evaluación de impacto en los derechos antes de desplegar IA que afecte a personas.
EnhancedPreventivotodos los rolespor sistema
Qué es
Una condición de compuerta para los sistemas que afectan a personas.
Cómo implantarlo · Estructura mínima
Finalidad y decisión sobre personas que el sistema toma o condiciona
Personas afectadas: colectivos, número aproximado, colectivos vulnerables
Derechos en juego: no discriminación, privacidad, posibilidad de impugnar, acceso al empleo, al crédito o a servicios
Daños posibles por colectivo, con probabilidad y gravedad
Mitigaciones: revisión humana, explicación, vía de reclamación, pruebas de sesgo; vínculos a las evaluaciones de privacidad y explicabilidad
Impacto residual, firma de puesta en producción y revisión ante cambios relevantes
Cómo arrancar
Identifica qué sistemas previstos o en uso deciden o condicionan de forma relevante decisiones sobre personas y programa la evaluación antes de su próxima puesta en producción o cambio.
Evidencia
Cada evaluación completada, referenciada en la decisión de puesta en producción de su sistema.
Modo: ligero / estándar / completo
ligero
Dos páginas sobre finalidad, afectados, daños y mitigaciones, firmadas por la dirección.
estándar
La completa el responsable; la revisa protección de datos antes de la aprobación.
completo
Evaluación completa revisada por el delegado de protección de datos y jurídico, condición del comité.
Evidencia
Las evaluaciones de riesgo con su puntuación; las evaluaciones de impacto sobre los derechos completadas y asociadas a las decisiones de puesta en marcha. Las evaluaciones de riesgo de una página; la evaluación de impacto unificada, cuando proceda.