La gobernanza de modelos de IA es el proceso organizativo continuo de establecer políticas, asignar responsabilidades, definir la tolerancia al riesgo y supervisar los modelos a lo largo de su ciclo de vida, tal como lo describe el NIST AI RMF. El EU AI Act y las directrices de la OCC elevan el nivel de exigencia. Empiece con una política escrita, responsables designados y una monitorización continua; después, incorpore una evaluación independiente. En Lexic auditamos agentes conversacionales.
En resumen:
- En los agentes conversacionales, gestione los prompts, las herramientas, las fuentes de recuperación de información, las políticas y las reglas de derivación junto con las versiones del modelo; los cambios en cualquier componente pueden alterar su comportamiento.
- Designe un responsable del modelo, un responsable de aprobar los despliegues, un validador independiente, un responsable de monitorización y un responsable de subsanación; los desarrolladores no deben validar su propio trabajo ni aprobar los despliegues.
- Supervise la fundamentación de las respuestas, las salidas perjudiciales, los eventos de privacidad, las derivaciones omitidas, la latencia, las reclamaciones y la deriva, con umbrales definidos por nivel de riesgo, alertas, revisión humana y plazos de respuesta.
- Algunas obligaciones de alto riesgo de la UE entran en vigor el 2 de diciembre de 2027 o el 2 de agosto de 2028, según la clasificación; compruebe las fechas conforme a las normas transitorias vigentes.
Índice
- Qué es la gobernanza de modelos de IA y en qué se diferencia de la gobernanza general de la IA
- Por qué importa ahora la gobernanza de modelos de IA
- Principios y normas fundamentales en los que basar su programa
- Gobernar, mapear, medir y gestionar: convertir las funciones en responsabilidades
- Roles, rendición de cuentas y separación de funciones
- Documentación, inventario, linaje y fichas de modelo
- Monitorización y métricas para modelos en producción
- Panorama normativo y calendario de cumplimiento
- Una hoja de ruta de implantación con puntos de control de madurez
- Prácticas de evaluación y auditoría independientes
- Poner en práctica la gobernanza: herramientas, integraciones e informes
- Credenciales del autor y evidencias de Lexic
- Gobernanza de agentes de IA conversacional: en qué difieren los retos
- Buenas prácticas de privacidad y seguridad de los datos de clientes en la IA conversacional
- Recopilar e integrar las opiniones de los clientes en la gobernanza
- Perspectiva profesional: cómo se desarrollan las rutinas de gobernanza en el día a día
- Cómo respondemos a las necesidades de gobernanza de esta guía
- Preguntas frecuentes
- Fuentes
Qué es la gobernanza de modelos de IA y en qué se diferencia de la gobernanza general de la IA
La gobernanza de modelos es un proceso organizativo continuo, no una revisión puntual. El NIST la define como las políticas, la rendición de cuentas, la tolerancia al riesgo y la supervisión aplicadas durante todo el ciclo de vida del sistema, y subraya su carácter transversal: debe integrarse en el mapeo, la medición y la gestión, en lugar de quedar relegada a un comité de ética separado o a una aprobación final. Los programas sólidos conectan el apetito de riesgo de la dirección con las pruebas técnicas y la monitorización operativa.
La gobernanza general de la IA establece la orientación de la organización: principios, usos aceptables, compromisos éticos e informes al consejo de administración. La gobernanza de modelos es donde esos compromisos se aplican a un sistema concreto y generan una trazabilidad de evidencias. Responde a preguntas más específicas. ¿Quién aprobó el despliegue de este modelo? ¿Con qué criterios se probó? ¿Qué ocurre cuando se comporta de forma incorrecta en producción?
Hay una distinción especialmente importante para los agentes conversacionales. Se gobierna el sistema desplegado, no solo el artefacto del modelo. El Perfil de IA generativa del NIST apunta a conservar evidencias sobre prompts, herramientas, fuentes de recuperación de información, versiones del modelo, políticas, derivaciones a personas y resultados reales, no solo puntuaciones en pruebas comparativas. Un modelo puede superar todas las pruebas fuera de producción y aun así fallar dentro de un flujo de trabajo.
El resto de esta guía utiliza como marco las cuatro funciones del AI RMF: Gobernar, Mapear, Medir y Gestionar. Cada una se traduce en controles que se pueden asignar a una persona y comprobar con una periodicidad definida.
Por qué importa ahora la gobernanza de modelos de IA
Los reguladores están pasando de los principios a las fechas y las expectativas de supervisión. El EU AI Act aplica una estructura basada en el riesgo con fechas de aplicación escalonadas, y los supervisores bancarios estadounidenses esperan responsabilidades definidas desde el desarrollo hasta la validación y la monitorización. La gobernanza se ha convertido en un elemento del calendario de cumplimiento, no en una iniciativa futura.
Los daños operativos son concretos, y un programa de gobernanza existe para detectarlos a tiempo:
- Deriva del modelo: el rendimiento se degrada silenciosamente a medida que cambian las entradas, los clientes o las políticas.
- Salidas perjudiciales o sin fundamento: los sistemas conversacionales afirman hechos incorrectos con seguridad.
- Fallos de derivación: los agentes no transfieren la conversación a una persona cuando deberían hacerlo.
- Fugas de datos: los agentes mal configurados exponen información interna o de clientes, como en un caso documentado de un chatbot de gestión de siniestros destinado a empleados que quedó expuesto en internet.
A continuación llegan las consecuencias empresariales: multas, costes de subsanación, pérdida de confianza de los clientes e interrupciones del servicio cuando hay que retirar un modelo con urgencia.
Las directrices revisadas de 2026 de la OCC abarcan expresamente tanto los modelos estadísticos tradicionales como los modelos de IA generativa y agéntica en la banca. Los supervisores ya no consideran que los sistemas conversacionales y agénticos queden fuera de la gestión del riesgo de modelos.
Principios y normas fundamentales en los que basar su programa
Varios marcos ofrecen una base defendible. Coinciden más de lo que discrepan, así que elija uno como eje y establezca las correspondencias con los demás.
- NIST AI RMF: la gobernanza abarca todo el ciclo de vida y se organiza en Gobernar, Mapear, Medir y Gestionar. El marco se desarrolló con la contribución de más de 240 organizaciones y es voluntario, lo que lo convierte en un vocabulario común práctico.
- ISO/IEC 42001: una norma de sistemas de gestión para establecer, implantar, mantener y mejorar continuamente un sistema de gestión de la IA. Considérela el marco organizativo, con un ciclo de Planificar-Hacer-Verificar-Actuar para las políticas, la revisión interna y las acciones correctivas.
- Marco modelo de gobernanza de la IA de Singapur: directrices agrupadas en estructuras de gobernanza interna, supervisión humana, gestión de operaciones e interacción con las partes interesadas. Su idea más útil es ajustar la intervención humana a la probabilidad y la gravedad del daño.
A partir de estos marcos, extraiga los componentes de política que necesita cualquier programa. La clasificación por niveles de riesgo ordena los modelos según su impacto para que el esfuerzo se ajuste a la exposición. Los criterios de documentación definen qué evidencias debe producir cada nivel. La frecuencia de revisión establece cada cuánto se reexamina cada nivel. Un proceso de excepciones registra quién puede aceptar el riesgo residual y durante cuánto tiempo.
Gobernar, mapear, medir y gestionar: convertir las funciones en responsabilidades
La guía práctica del AI RMF propone acciones para cada función. La unidad práctica es una decisión sobre riesgos respaldada por evidencias: un registro que vincula la finalidad prevista y las personas afectadas con los riesgos, el diseño de la evaluación, los umbrales, la aceptación del riesgo residual, los responsables y la decisión de despliegue.
- Gobernar: plantillas de políticas, un inventario de modelos, un patrocinador ejecutivo, un apetito de riesgo declarado y formación según el rol.
- Mapear: documentar la finalidad, las partes interesadas, las fuentes de datos, las dependencias y los impactos previstos antes de establecer controles.
- Medir: pruebas de validación, comprobaciones de equidad, pruebas de robustez y un diseño de monitorización que refleje el uso previsto.
- Gestionar: respuesta a incidentes, control de cambios, criterios de retirada y un responsable designado para cada subsanación.
Las funciones no son fases secuenciales. Un incidente en producción obliga a volver a Mapear, porque el contexto documentado era incompleto. Una validación fallida obliga a volver a Gobernar, porque el umbral o la política no estaban claros.
Consejo profesional: Defina los criterios de reversión y retirada en el momento del despliegue, cuando nadie está bajo presión para defender el modelo.
Roles, rendición de cuentas y separación de funciones
La rendición de cuentas es un problema de diseño organizativo, no de documentación. Los supervisores bancarios federales destacan que la asignación clara de responsabilidades y la separación de funciones reducen la probabilidad de que los incentivos de entrega se impongan a la validación, o de que la auditoría interna acabe ejecutando los controles que debe evaluar.
Un conjunto viable de roles sería el siguiente:
- Patrocinador ejecutivo: se responsabiliza del apetito de riesgo y resuelve los conflictos entre los equipos de entrega y de riesgos.
- Responsable del modelo: responde por la finalidad, el rendimiento y la documentación del modelo.
- Equipo de desarrollo: construye y prueba, pero no aprueba su propio despliegue.
- Validación y aseguramiento de la calidad: comprueba de forma independiente las evidencias frente a los umbrales y puede bloquear el despliegue.
- Responsable de monitorización: vigila el comportamiento en producción y activa la respuesta a incidentes.
- Auditoría interna: evalúa todo el sistema de control sin operarlo.
- Asesoría jurídica y cumplimiento: realiza el seguimiento de las obligaciones y da su conformidad a la adecuación normativa.
La regla de separación es sencilla. Defina antes del despliegue quién puede aprobarlo, quién puede bloquearlo, quién valida las evidencias y quién se responsabiliza de la subsanación. Quien construye no debe validar, y quien valida no debe monitorizar su propia aprobación.
La periodicidad mantiene los roles operativos: una reunión de aprobación del despliegue, un punto de control de validación antes de cada cambio sustancial y una vía de escalado con personas designadas y plazos de respuesta. Para profundizar en la medición de la rendición de cuentas, este análisis de la puntuación de rendición de cuentas muestra cómo evaluar las decisiones de gobernanza frente a los resultados obtenidos.
Documentación, inventario, linaje y fichas de modelo
Tanto los auditores como los operadores necesitan encontrar evidencias rápidamente. Para ello se requiere un inventario único y una ficha de modelo homogénea para cada entrada.
Campos mínimos para cada modelo:
- Finalidad y usuarios previstos
- Fuentes de datos y cómo se obtuvieron
- Detalles del entrenamiento y la validación
- Valores de referencia del rendimiento y umbrales de aceptación
- Limitaciones conocidas y usos fuera de alcance
- Reglas de escalado y condiciones de derivación a una persona
- Nivel de riesgo y fecha de revisión
- Historial de versiones y registros de aprobación
El linaje conecta esos registros en una cadena: conjuntos de datos, preprocesamiento, ingeniería de características y versiones del modelo. Para los agentes conversacionales, amplíelo a los prompts, las instrucciones del sistema, las herramientas, las fuentes de recuperación de información y los documentos de políticas, ya que un cambio en cualquiera de ellos modifica el comportamiento sin alterar los pesos del modelo.
Trate la documentación como información sensible. Aplique acceso basado en roles para que solo las personas autorizadas puedan leer los prompts, los datos de evaluación y los registros de incidentes, y establezca plazos de conservación que satisfagan tanto las necesidades de auditoría como las obligaciones de privacidad. Una ficha de modelo que revela detalles de los datos de entrenamiento o ejemplos de clientes se convierte en un problema de seguridad por sí misma.
Monitorización y métricas para modelos en producción
Las pruebas fuera de producción no bastan. El Perfil de IA generativa del NIST indica que la monitorización de la calidad de los sistemas conversacionales debe combinar el rendimiento en las tareas con otras señales: tasas de salidas perjudiciales, eventos de privacidad y seguridad, fundamentación o exactitud factual, impacto desigual, comportamiento de rechazo y derivación, latencia y disponibilidad, reclamaciones de usuarios y deriva. Vincule cada métrica al uso previsto.
El Perfil de IA generativa del NIST recomienda medir el comportamiento de derivación y las reclamaciones de los usuarios junto con la exactitud, porque una respuesta que parece correcta puede no resolver la necesidad del cliente.
Un esquema práctico de monitorización:
- Corrección: éxito en las tareas y fundamentación respecto a un conjunto de referencia o una fuente de recuperación de información.
- Seguridad frente a daños: tasa de salidas perjudiciales, incumplimientos de políticas e intentos de inyección de prompts.
- Privacidad y seguridad: aparición de datos personales en las salidas, anomalías de acceso y lagunas en los registros.
- Comportamiento de derivación: proporción de conversaciones que deberían haberse derivado y no se derivaron.
- Estado operativo: latencia, disponibilidad y tasas de error.
- Voz del cliente: reclamaciones, contactos reiterados y cambios de sentimiento.
A continuación, defina umbrales, alertas y acuerdos de nivel de servicio de subsanación por nivel de riesgo. Un modelo de alto riesgo podría requerir una clasificación inicial el mismo día cuando una métrica de seguridad supere su límite, mientras que uno de bajo riesgo se revisa semanalmente. Combine las comprobaciones automatizadas con una revisión humana periódica para que la deriva lenta no quede oculta entre el ruido diario.
Panorama normativo y calendario de cumplimiento
El EU AI Act establece una estructura basada en el riesgo que abarca las prácticas prohibidas, los sistemas de alto riesgo, las obligaciones de transparencia y los modelos de uso general. Las fechas de aplicación son escalonadas, y una modificación de 2026 trasladó determinadas obligaciones de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, según la clasificación. Las obligaciones varían según el rol, la clasificación y la jurisdicción, por lo que debe comprobar sus fechas conforme al texto consolidado vigente del Reglamento (UE) 2024/1689 y sus disposiciones transitorias.
Para los bancos estadounidenses, el boletín de la OCC establece expectativas sobre la gobernanza de modelos, incluidas la separación de funciones y la validación independiente.
Aspectos que deben supervisarse:
- Fechas de aplicación del EU AI Act para las clasificaciones de sus sistemas
- Modificaciones, actos delegados y actualizaciones del marco normativo de la Comisión
- Directrices federales de supervisión de EE. UU. y proyectos de ley estatales como el SB 1047 de California
- Actualizaciones de ISO/IEC 42001 y del NIST AI RMF
Designe un responsable del seguimiento normativo, normalmente en asesoría jurídica o cumplimiento, con un proceso documentado para convertir cada cambio en una actualización de los controles. Un calendario de cumplimiento desactualizado constituye por sí mismo un fallo de gobernanza. El historial legislativo de la UE muestra lo rápido que pueden cambiar las fechas.
Una hoja de ruta de implantación con puntos de control de madurez
Una gobernanza madura se construye por fases. Intentar implantarlo todo a la vez suele atascar el proceso en debates sobre herramientas.
- Fase 1, fundamentos: inventaríe todos los modelos, asigne niveles de riesgo, publique una política básica y ejecute un piloto de alto riesgo de principio a fin. Punto de control: cada modelo en producción tiene un responsable y un nivel de riesgo.
- Fase 2, repetibilidad: automatice la monitorización, complete las fichas de modelo, establezca un calendario de revisiones periódicas y normalice la validación. Punto de control: cada modelo clasificado tiene una ficha, un panel de monitorización y una próxima fecha de revisión.
- Fase 3, aseguramiento: encargue evaluaciones independientes, conecte los hallazgos con la gestión de incidentes, informe a la dirección con una periodicidad fija e incorpore las lecciones aprendidas a las políticas. Punto de control: los hallazgos de auditoría tienen responsables y fechas de cierre.
Indicadores clave de rendimiento sugeridos por fase: proporción de modelos inventariados y clasificados; proporción con documentación completa; tiempo desde la alerta hasta la clasificación inicial; proporción de hallazgos de auditoría cerrados en plazo; y proporción de despliegues que superaron una validación independiente. Mantenga la lista breve. Un programa de gobernanza que informa sobre demasiadas métricas puede tener dificultades para actuar sobre ellas.
Prácticas de evaluación y auditoría independientes
La evaluación independiente es especialmente importante cuando los incentivos o las líneas jerárquicas podrían sesgar los resultados. Hágala proporcional al riesgo y sepárela del desarrollo y la validación, en consonancia con las directrices de supervisión mencionadas anteriormente. Una herramienta interna de bajo riesgo puede requerir una revisión limitada. Un agente de atención al cliente que gestiona reclamaciones necesita más.
Pida a los auditores que examinen toda la cadena de evidencias, no una presentación resumida:
- Documentación, incluidas las fichas de modelo, las aprobaciones y el linaje
- Resultados de pruebas con sus umbrales y las decisiones que respaldaron
- Muestreo del comportamiento en producción a partir de conversaciones reales, no solo de pruebas guionizadas
- Gestión de las derivaciones, incluidos los casos en los que el agente debería haber transferido la conversación
- Registros de subsanación que indiquen quién corrigió qué y cuándo
Deje explícitos en el registro los responsables de subsanación y los criterios de reversión. Una auditoría que identifica un fallo pero no designa un responsable ni un plazo produce un informe, no un control. Almacene las evidencias en un único lugar con acceso controlado para que el mismo conjunto pueda servir a la auditoría interna, los reguladores y los clientes.
Poner en práctica la gobernanza: herramientas, integraciones e informes
Las herramientas deben respaldar el proceso que ya ha definido, no sustituirlo. Exija capacidades específicas a cada categoría:
- Inventario y registro: un registro por modelo con responsable, nivel de riesgo y estado.
- Observabilidad y métricas: monitorización en producción con alertas vinculadas a sus umbrales.
- Linaje y metadatos: trazabilidad desde los datos hasta los prompts y las versiones del modelo.
- Seguimiento de incidentes y problemas: responsables de subsanación, plazos y evidencias de cierre.
- Repositorio de evidencias de auditoría: registros inmutables con acceso controlado.
- Paneles: vistas adaptadas a cada público.
Las integraciones determinan si las herramientas se utilizan. Conéctelas a su CRM y sus sistemas de gestión de incidencias, al inicio de sesión único y a los registros, a su SIEM y a los controles de acceso a los datos. Para los controles alineados con la seguridad, las orientaciones sobre gestión del riesgo en la nube dentro de un SGSI abordan la vertiente orientada a ISO.
Los informes deben diferenciarse. Los operadores necesitan paneles diarios o semanales con alertas e incidentes abiertos. La dirección necesita un resumen mensual o trimestral: riesgo por nivel, hallazgos abiertos, cambios normativos y decisiones necesarias.
Credenciales del autor y evidencias de Lexic
Esta guía aborda la gobernanza de la IA conversacional. Nuestra plataforma Lexic Compass audita agentes de IA de cualquier proveedor y verifica su comportamiento en condiciones reales, sus vulnerabilidades de seguridad, la gestión de las derivaciones y la información facilitada al cliente en conversaciones reales. También proporcionamos monitorización continua mediante Lexic Pulse.
Un hallazgo de nuestro propio trabajo de auditoría ilustra por qué esto importa: hemos observado agentes auditados que no derivan correctamente los problemas a representantes humanos. Se trata de una observación propia, no de una referencia sectorial, y es la razón por la que tratamos el comportamiento de derivación como una métrica prioritaria de gobernanza.
Gobernanza de agentes de IA conversacional: en qué difieren los retos
Los agentes conversacionales rompen los supuestos establecidos para los modelos tradicionales. Un modelo de puntuación devuelve un número para una entrada definida. Un agente produce lenguaje abierto, invoca herramientas, recupera documentos y mantiene el contexto entre turnos. Su comportamiento puede cambiar cuando se modifica un prompt, una base de conocimiento o una herramienta conectada, sin que haya una nueva versión del modelo.
Esto genera necesidades de gobernanza específicas. En primer lugar, la unidad de control es el sistema completo: prompts, herramientas, fuentes de recuperación de información, políticas y reglas de derivación. En segundo lugar, los fallos suelen ser conversacionales, no numéricos, como un agente que nunca reconoce la incertidumbre o uno que mantiene a un cliente frustrado atrapado en un bucle. En tercer lugar, las salidas llegan directamente a los clientes, por lo que un fallo se convierte rápidamente en un incidente de atención al cliente.
Estrategias que funcionan:
- Defina reglas de derivación por nivel de riesgo y pruébelas con muestras de conversaciones reales.
- Versione los prompts y las configuraciones de herramientas del mismo modo que versiona el código.
- Exija que se informe al cliente de que está hablando con una IA, cuando corresponda.
- Tome muestras de conversaciones en producción de forma continua, en lugar de depender únicamente de las pruebas previas al despliegue.
- Incluya los agentes de terceros en el alcance: las garantías del proveedor no sustituyen sus propias evidencias.
Este último punto explica por qué auditamos agentes de cualquier proveedor. La verificación independiente de lo que un agente hace con los clientes constituye una evidencia más sólida que el informe del propio proveedor.
Buenas prácticas de privacidad y seguridad de los datos de clientes en la IA conversacional
Las conversaciones contienen abundantes datos personales: nombres, datos de cuentas y circunstancias médicas o financieras, aportados espontáneamente sin que se soliciten. La gobernanza debe asumir que la propia transcripción es sensible.
Prácticas que deben incorporarse:
- Minimizar la recopilación: recoja solo lo que necesita el caso de uso y oculte los identificadores antes del almacenamiento o el análisis siempre que sea posible.
- Controlar el acceso: aplique permisos basados en roles a las transcripciones, los prompts y los datos de evaluación, y registre quién consultó qué.
- Establecer límites de conservación: mantenga los registros el tiempo suficiente para la auditoría y la gestión de reclamaciones; después, elimínelos conforme al calendario previsto.
- Comprobar posibles fugas: someta a prueba a los agentes para detectar la revelación de datos personales, instrucciones internas e información de otros clientes.
- Defenderse frente a la inyección: pruebe escenarios de inyección de prompts y uso indebido de herramientas antes y después del despliegue.
- Proteger la cadena de proveedores: confirme dónde se procesan los datos, qué conserva el proveedor y si utiliza sus conversaciones para entrenar modelos.
El Perfil de IA generativa del NIST incluye los eventos de privacidad y seguridad entre las señales que deben monitorizarse en producción, por lo que debe incorporar la detección de datos personales en las salidas a su sistema de alertas. Alinee el programa con un sistema de gestión de la seguridad de la información para que estos controles formen parte de un marco auditado, en lugar de quedar al margen. Registre las decisiones de privacidad en la ficha de modelo para que los revisores puedan ver por qué se autorizó una fuente de datos y qué salvaguardas se aplican.
Recopilar e integrar las opiniones de los clientes en la gobernanza
Los clientes detectan fallos que las pruebas internas pasan por alto. Un ciclo de retroalimentación convierte esas observaciones en evidencias de gobernanza. Las directrices del NIST sobre sistemas generativos contemplan mecanismos de comentarios y reclamación, de modo que las personas afectadas por un sistema puedan comunicar problemas y solicitar una reparación.
Métodos que funcionan en la práctica:
- Señales dentro de la conversación: valoraciones positivas o negativas, solicitudes de «hablar con una persona» y abandono.
- Análisis de reclamaciones e incidencias: etiquete los contactos que mencionan al agente y realice un seguimiento de los contactos reiterados sobre el mismo problema.
- Minería de conversaciones: analice transcripciones a gran escala para detectar frustración, solicitudes sin resolver y derivaciones omitidas.
- Entrevistas específicas: contacte de nuevo con los clientes que tuvieron una mala interacción para averiguar lo que los datos no pueden mostrar.
- Canales de reclamación: ofrezca a los clientes una vía clara para contactar con una persona e impugnar un resultado.
La integración importa más que la recopilación. Canalice las opiniones al mismo sistema que el resto de los hallazgos, con un nivel de riesgo, un responsable y un plazo. Incorpore los temas recurrentes al registro de riesgos y al siguiente ciclo de validación, y establezca umbrales: un aumento de la tasa de solicitudes de derivación o del volumen de reclamaciones debe activar una revisión del mismo modo que una alerta de deriva. Informe a la dirección sobre las tendencias de las opiniones junto con la monitorización cuantitativa para que la experiencia del cliente se trate como una señal de riesgo, no como una métrica de marketing.
Perspectiva profesional: cómo se desarrollan las rutinas de gobernanza en el día a día
La buena gobernanza es, en gran medida, una rutina. El responsable de monitorización comprueba los paneles cada mañana, clasifica las alertas por nivel de riesgo y registra cualquier asunto que afecte a los datos de clientes. Semanalmente, el responsable del modelo revisa las tendencias y las subsanaciones pendientes. Mensualmente, el grupo interfuncional examina los hallazgos y los cambios normativos.
Un modelo federado permite mantener este enfoque operativo. La función central de riesgos establece los criterios, las plantillas y los umbrales, mientras que los equipos de negocio ejecutan las rutinas conforme a ellos. Los equipos siguen avanzando y las evidencias mantienen su coherencia. El fallo habitual consiste en documentar un control y no ejecutarlo nunca.
Un consejo: aplique primero su mejor monitorización al sistema de mayor riesgo y amplíela a partir de ahí.
— Sergio Llorens
Cómo respondemos a las necesidades de gobernanza de esta guía
Ofrecemos Lexic Compass para la evaluación independiente y las evidencias de auditoría que describe esta guía, incluidos el muestreo de conversaciones en producción y las comprobaciones de derivación. Lexic Pulse y Enterprise Continuous Trust cubren la monitorización continua. Si necesita una comprobación externa de cómo se comportan sus agentes con clientes reales, solicite un Audit Sprint o una demostración de Compass.
Preguntas frecuentes
¿Qué es la gobernanza de modelos de IA?
La gobernanza de modelos de IA es el proceso organizativo continuo de establecer políticas, responsabilidades, tolerancia al riesgo y supervisión a lo largo del ciclo de vida de un modelo. El NIST AI RMF la organiza en Gobernar, Mapear, Medir y Gestionar. Se aplica al sistema desplegado y a su trazabilidad de evidencias, no solo al modelo.
¿Qué es la regla del 30% en IA?
No existe ninguna regla reconocida de porcentaje fijo en las normas aquí tratadas. El NIST AI RMF, ISO/IEC 42001 y el EU AI Act establecen requisitos proporcionales basados en el riesgo, sin ningún umbral porcentual fijo. Si encuentra esta expresión en un documento de un proveedor, solicite su definición y su fuente.
¿Puede darme un ejemplo de gobernanza de la IA?
Un banco que exige que cada chatbot de atención al cliente tenga un responsable designado, una validación independiente antes del despliegue, monitorización en producción del comportamiento de derivación y un plan de reversión documentado está aplicando la gobernanza de la IA. Cada paso se corresponde con las funciones Gobernar, Medir y Gestionar, y con la separación de funciones que esperan los supervisores.
¿Cuáles son los cuatro modelos de gobernanza?
El término no tiene una definición normalizada única. En la gestión del riesgo de IA, las cuatro funciones que organizan el trabajo de gobernanza son Gobernar, Mapear, Medir y Gestionar, del núcleo del NIST AI RMF. Las organizaciones también describen modelos operativos centralizados, federados e híbridos, y las definiciones varían.