Monitoriza el riesgo de forma continua e infórmalo hacia arriba
¿Está al día nuestra visión del riesgo de la IA, y llega a quienes responden de las consecuencias?
Enhanced: 22 controles
A quién se aplica
Se entra en cada sistema de IA cuya letra es E o A (esta área no tiene controles Baseline). Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Mantén al día la fotografía del riesgo a medida que el mundo se mueve, y llévala al nivel que puede actuar sobre ella, porque el riesgo de IA cambia más deprisa que cualquier revisión periódica: aparecen ataques nuevos, los modelos cambian, los usos se amplían, las regulaciones se mueven. Una evaluación de riesgos es exacta el día en que se escribe y se deteriora a partir de ahí. Vigila lo que cambia, actualiza la fotografía e infórmala a través de los órganos de gobierno, para que quienes poseen las consecuencias vean el riesgo mientras aún pueden actuar sobre él.
Qué hacer
Sigue el panorama cambiante del riesgo y actualiza la fotografía. Vigila las amenazas nuevas, los modelos cambiados, los usos ampliados y las normas que se mueven, y actualiza el catálogo de riesgos y las evaluaciones a medida que cambian, impulsado por los eventos de cambio que sacan a la luz los dominios anteriores, incluido el aviso de cambio de modelo del proveedor.
Informa del riesgo hacia arriba por los órganos de gobierno, a la profundidad que corresponda. Alimenta con la fotografía actual del riesgo la vía de informes del área de supervisión de gobernanza —comité, función de riesgos, consejo— para que el riesgo de IA se gobierne junto a cualquier otro riesgo corporativo y no en un silo propio.
Controles
Enhanced2 controles
Control 229
Actualiza el catálogo de riesgos y las evaluaciones a medida que cambia el panorama.
EnhancedDetectivotodos los rolespor sistema
Qué es
Según los eventos de cambio, no según el calendario.
Cómo implantarlo · Reglas mínimas
Disparadores: aviso de cambio de modelo del proveedor, nueva versión del modelo, nuevo uso o grupo de usuarios, nueva fuente de datos o herramienta conectada
También: una técnica de ataque recién divulgada, un cambio en las normas aplicables, un incidente o cuasi incidente
Ante un disparador: reevalúa los riesgos afectados antes de que el cambio entre en producción, o en 30 días si es externo
Cada fuente de disparadores tiene responsable: p. ej. sistemas para avisos del proveedor, jurídico o dirección para cambios normativos
Registra cada actualización: disparador, fecha, riesgos revisados, cambios hechos
Cómo arrancar
Enumera los eventos de cambio y quién avisará de cada uno al responsable de riesgos; suscríbete a los avisos de cambios de cada proveedor de IA.
Evidencia
El registro de actualizaciones que vincula cada evento de cambio con los cambios hechos en el catálogo y las evaluaciones.
Modo: ligero / estándar / completo
ligero
El responsable de IA recibe los avisos por correo y actualiza la hoja de riesgos.
estándar
Gestión de cambios pregunta si afecta al riesgo de IA y deriva los síes a riesgos.
completo
Los eventos de cambio abren tareas de revisión automáticas en la herramienta de riesgos.
Control 230
Informa del riesgo de IA hacia arriba a través de los órganos de gobierno.
EnhancedDetectivotodos los rolespor sistema
Qué es
Con una profundidad proporcionada, alimentando la gestión de riesgos corporativos.
Cómo implantarlo · Estructura mínima
Principales riesgos de IA con su calificación actual y tendencia desde el último informe
Riesgos por encima del apetito y estado de su tratamiento
Riesgos residuales aceptados desde el último informe y por quién
Riesgos nuevos e incidentes derivados de eventos de cambio
Decisiones que se solicitan al órgano que recibe el informe
Periodicidad: p. ej. trimestral al comité o a la dirección, al menos anual al consejo; inmediata para riesgos por encima del apetito
Cómo arrancar
Incluye un punto de riesgo de IA con los cinco riesgos principales en el orden del día de la próxima reunión de dirección o de riesgos.
Evidencia
Los informes y actas, y los riesgos de IA incorporados al registro de riesgos corporativo.
Modo: ligero / estándar / completo
ligero
El responsable de IA presenta un resumen de una página a la dirección.
estándar
Riesgos informa trimestralmente al comité de IA y al informe corporativo.
completo
Riesgos integra la IA en la información al comité de riesgos y al consejo.
Evidencia
El historial de actualización del riesgo frente a los eventos de cambio; los informes de riesgo a los órganos de gobierno; la evidencia de que el riesgo de IA está integrado con el riesgo corporativo.