En la contribución anterior, Estándares ISO relacionados con el gobierno, la gestión y la calidad de la IA (I), presentamos las normas que abordan temas relacionados con el gobierno de la IA. En esta ocasión abordaremos las normas [1] relacionadas con la gestión organizacional de la IA, que no hay que confundir con el gobierno de la misma.
Sistemas de Gestión de IA
ISO/IEC 42001 Information technology — Artificial intelligence — Management system
Esta norma internacional especifica los requisitos y proporciona directrices para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Inteligencia Artificial (SGIA) dentro del contexto de una organización. Está diseñada para organizaciones que desarrollan, proveen o utilizan productos o servicios que basan su funcionamiento en sistemas de IA. Su objetivo central es ayudar a la organización a gestionar sus responsabilidades de forma sistemática, asegurar la confiabilidad, la transparencia y la rendición de cuentas, equilibrando la innovación con la gestión de riesgos.
La norma exige de forma estricta dos procesos analíticos fundamentales en su etapa operativa:
- Evaluación del riesgo de la IA: Identificar y analizar los riesgos específicos asociados a la confiabilidad, seguridad, sesgos y fallos técnicos de los sistemas de IA de la organización.
- Evaluación del impacto del sistema de IA: Evaluar de manera explícita cómo los sistemas de IA afectan a los individuos, los grupos sociales y la sociedad (impactos éticos, de privacidad y derechos fundamentales).
La norma incluye el Anexo A, el cual contiene una serie de objetivos de control y controles específicos que la organización debe considerar a través de una Declaración de Aplicabilidad (SoA).
El propósito fundamental de esta norma es actuar como una guía práctica de implementación para las organizaciones que desean adoptar, desarrollar o certificar un SGIA basado en los requisitos obligatorios de la norma principal, la ISO/IEC 42001.
A diferencia de la ISO/IEC 42001 (que dicta qué requisitos se deben cumplir), la ISO/IEC 42003 se centra en el cómo, estructurándose en torno a los siguientes ejes:
- Competencias Profesionales: Especifica los conocimientos, habilidades y competencias que deben poseer los profesionales encargados de diseñar, auditar y mantener el Sistema de Gestión de IA dentro de la empresa.
- Operacionalización de Principios: Traduce conceptos abstractos de gobierno de IA (como la transparencia, la equidad, la explicabilidad y la rendición de cuentas) en procesos de gestión, roles corporativos y métricas evaluables.
- Enfoque Basado en Riesgos: Proporciona directrices paso a paso para identificar, evaluar y mitigar los riesgos específicos de la IA (como sesgos algorítmicos, seguridad de datos e impactos éticos) a lo largo de todo el ciclo de vida del sistema.
- Integración y Mejora Continua: Explica cómo alinear los controles de IA con otros sistemas de gestión ya existentes (como ISO 9001 de calidad o ISO/IEC 27001 de seguridad de la información), promoviendo auditorías internas y la mejora constante.
A diferencia de otras normas de la familia que se aplican a las empresas que usan o desarrollan IA, la ISO/IEC 42006 va dirigida exclusivamente a los organismos certificadores de evaluación de la conformidad y a los organismos de acreditación.
Su objetivo es garantizar que cualquier auditoría realizada sobre la norma de gestión de IA (ISO/IEC 42001) sea consistente, confiable, imparcial y técnicamente sólida a nivel mundial.
El propósito central de esta norma es proporcionar un marco de alto nivel y directrices técnicas para que los propietarios de esquemas (como reguladores, asociaciones industriales u organismos de certificación) puedan diseñar, desarrollar y operar esquemas de evaluación de la conformidad específicos para SIA.
A diferencia de la ISO/IEC 42006 (que evalúa los sistemas de gestión organizacional), la ISO/IEC 42007 se enfoca en cómo estructurar programas que certifiquen o evalúen el producto o sistema de IA en sí mismo.
ISO/IEC 42005 Information technology — Artificial intelligence (AI) — AI system impact assessment
Este estándar está diseñado para ayudar a las organizaciones a identificar, evaluar y mitigar los impactos potenciales (tanto positivos como negativos) que el despliegue y uso de un sistema de IA puede tener sobre las personas, los grupos sociales, la sociedad en general y el medio ambiente. Busca ser una herramienta para garantizar una IA ética, confiable y que rinda cuentas (accountability).
La ISO/IEC 42005 sirve como un marco técnico global que facilita a las empresas el cumplimiento de legislaciones estrictas, como las obligaciones de evaluación de riesgos de alto nivel exigidas por el RIA de la Unión Europea (EU AI Act).
[1] Los resúmenes de los contenidos presentados en esta entrada han sido proporcionados directamente por GEMINI, y revisados por I2SC.