Implementación de la cláusula 6 de la norma ISO/IEC 42001: Gestión de riesgos para la inteligencia artificial

La cláusula 6 de la norma ISO/IEC 42001 especifica los requisitos de planificación para un Sistema de Gestión de Inteligencia Artificial (AIMS). Obliga a las organizaciones a identificar, evaluar y abordar sistemáticamente los riesgos y oportunidades asociados con los sistemas de inteligencia artificial a lo largo de su ciclo de vida operativo.

El mandato central de la cláusula 6

A diferencia de los estándares genéricos de seguridad de TI, la cláusula 6 de ISO/IEC 42001 requiere que las organizaciones evalúen los riesgos exclusivos de la IA, incluyendo la deriva del modelo (model drift), los comportamientos no deterministas, el sesgo algorítmico, las limitaciones de calidad de los datos y el impacto social.

La cláusula 6 se divide en dos requisitos principales:

• Cláusula 6.1 (Acciones para abordar riesgos y oportunidades): Establecer metodologías sistemáticas para identificar y evaluar los riesgos del sistema de IA, junto con un plan de tratamiento de riesgos de IA.
• Cláusula 6.2 (Objetivos de IA y planificación para lograrlos): Establecer objetivos medibles y alineados con las políticas en cuanto a rendimiento técnico, cumplimiento y bases de seguridad ética.

Marco de implementación paso a paso

Para implementar un proceso de gestión de riesgos de la cláusula 6 listo para auditoría, los equipos de ingeniería y gobernanza deben ejecutar un flujo de trabajo de cuatro etapas:

1. Definición del contexto y de los criterios de riesgo

Establecer los criterios de aceptación de riesgos de la organización. Definir umbrales explícitos para la varianza de sesgo aceptable, la tolerancia a las alucinaciones, la disponibilidad del sistema y los requisitos de procedencia de los datos. Asegurar la alineación con las políticas más amplias de gestión de riesgos empresariales (ERM) de la organización.

2. Identificación de riesgos de IA y perfilado de impacto

Catalogar cada sistema de IA activo y propuesto en un registro centralizado. Para cada sistema, evaluar:

• El propósito previsto y el mal uso previsible.
• La complejidad técnica y la dependencia de modelos fundacionales externos.
• Las dependencias de ingestión de datos y las restricciones de privacidad.
• Los impactos potenciales en los individuos, las operaciones y la posición regulatoria.

3. Plan formal de tratamiento de riesgos de IA

Para los riesgos identificados que superen los umbrales aceptables, seleccionar controles del Anexo A de ISO/IEC 42001. Documentar los controles de mitigación específicos, asignar la responsabilidad a los líderes técnicos designados y establecer cronogramas de verificación.

4. Generación continua de evidencia

La planificación de riesgos no puede ser un documento anual estático. La cláusula 6 requiere una evaluación continua. Integrar herramientas de monitoreo automatizado que rastreen las métricas de rendimiento del modelo, la deriva del conjunto de datos y activen reevaluaciones automáticas cuando cambien los parámetros del sistema.

Requisitos de evidencia de auditoría

Cuando los auditores externos examinan el cumplimiento de la cláusula 6, requieren pruebas tangibles:

• Metodologías de evaluación de riesgos documentadas y adaptadas específicamente a la inteligencia artificial.
• Registros de riesgos con marca de tiempo que vinculen los modelos de IA individuales con los controles técnicos de mitigación.
• Registros que demuestren la revisión ejecutiva y la aprobación de los riesgos residuales de IA.
• Declaración de aplicabilidad (SoA) formal que justifique los controles del Anexo A incluidos y excluidos.

Integrar flujos de trabajo estructurados de la cláusula 6 directamente en los ciclos de vida de entrega de software garantiza que los sistemas de IA mantengan su integridad de certificación a medida que los modelos evolucionan.