Qué debe entregar una consultoría de gobernanza de IA

La gobernanza de inteligencia artificial (IA) define quién responde por cada sistema y qué límites debe respetar. Una consultoría útil entrega un inventario, una política breve y controles que funcionan. También entrega registros que permiten comprobar esos controles.

Qué debe incluir el trabajo

• Inventario. Identifica cada herramienta, modelo y agente. Incluye herramientas que el personal contrató por su cuenta. Anota quién responde por cada sistema, qué datos usa y qué acciones puede ejecutar.
• Política y riesgos. Indica qué herramientas están aprobadas y quién decide las excepciones. Ordena los sistemas por el daño que puede causar un fallo.
• Controles. Aplica permisos y aprobaciones en el software. Define qué acciones deben producir alertas.
• Evidencia y revisión. Guarda registros de acciones y pruebas. Asigna a alguien para revisar los controles cuando cambien el sistema o sus permisos.

Cómo comprobar que los controles funcionan

Una política puede exigir aprobación para cada pago. Pide una prueba que intente enviar un pago sin aprobación. El sistema debe bloquearlo y dejar un registro del intento. Comprueba después que un pago autorizado sigue el proceso correcto. Pide una demostración con un caso representativo y examina el registro que genera el sistema.

Qué pedir antes de firmar

Pregunta quién mantendrá los controles después de la entrega. Confirma que tu equipo conservará acceso a los registros y a las reglas. Pide un plan de entrega si el proveedor deja de operar el sistema.

El marco de NIST organiza la gestión del riesgo en cuatro funciones: gobernar, identificar el contexto, medir y gestionar. ISO/IEC 42001 define requisitos para un sistema de gestión de IA. Usa el marco que corresponda para ordenar el trabajo y comprobar qué cubre cada control. NIST AI RMF · ISO/IEC 42001