El desafío
Una empresa de desarrollo de software y soluciones tecnológicas contaba con un Sistema de Gestión de Seguridad de la Información (SGSI) basado en ISO/IEC 27001 y necesitaba incorporar la gobernanza de Inteligencia Artificial a su estructura de gestión.
Debía definir responsabilidades, criterios para gestionar los riesgos propios de la IA, controles a lo largo del ciclo de vida de sus sistemas y mecanismos para evaluar su desempeño. La condición era clara: aprovechar lo que ya funcionaba y evitar un segundo sistema que duplicara esfuerzos y complejidad.
Qué hice y cómo
Participé en la actualización del SGSI y en la implementación de un Sistema de Gestión de Inteligencia Artificial basado en ISO/IEC 42001. El criterio de diseño fue distinguir qué podía reutilizarse, qué debía ampliarse y qué era genuinamente nuevo.
Lo que se extendió desde el SGSI
- Metodología de gestión de riesgos, ampliada para incorporar los riesgos específicos de la IA.
- Control de la información documentada.
- Auditoría interna, acciones correctivas y seguimiento del desempeño.
- Revisión por la dirección y asesoramiento a la Alta Dirección.
Lo que se construyó específicamente para la IA
- Política de IA y objetivos del sistema.
- Identificación de los sistemas de IA dentro del alcance y del rol de la organización respecto de ellos.
- Evaluación de impacto de los sistemas de IA.
- Declaración de Aplicabilidad frente a los controles del Anexo A de ISO/IEC 42001.
- Controles para el ciclo de vida de los sistemas de IA.
Posteriormente asumí la administración externa del Sistema Integrado de Gestión, con responsabilidades de coordinación técnica y acompañamiento estratégico.
Resultados
La organización cuenta hoy con todos los elementos que requiere ISO/IEC 42001: política, objetivos, evaluación de riesgos e impactos, Declaración de Aplicabilidad, auditoría interna y revisión por la dirección. El Sistema de Gestión de IA opera integrado con el SGSI bajo una administración común.
Con el sistema implementado, la organización se encuentra en el proceso de auditoría de certificación.
El aprendizaje
La gobernanza de IA no tiene que construirse desde cero cuando una organización ya dispone de un sistema de gestión sólido.
La pregunta útil es qué se puede reutilizar, qué hay que ampliar y qué es realmente nuevo. Responderla bien determina el costo, el plazo y la sostenibilidad del sistema.
Pregunta para la Alta Dirección
¿Qué partes de su sistema de gestión actual ya podrían sostener la gobernanza de la IA que su organización utiliza o desarrolla?