La gobernanza de modelos de IA es el proceso organizativo continuo de establecer políticas, asignar responsabilidades, definir la tolerancia al riesgo y supervisar los modelos durante todo su ciclo de vida, tal como lo describe el NIST AI RMF. El EU AI Act y las directrices de la OCC elevan el nivel de exigencia. Empiece con una política escrita, responsables designados y monitorización continua; después, incorpore una evaluación independiente. En Lexic auditamos agentes conversacionales.
En resumen:
- En los agentes conversacionales, gobierne los prompts, las herramientas, las fuentes de recuperación de información, las políticas y las reglas de derivación junto con las versiones del modelo; los cambios en cualquier componente pueden alterar su comportamiento.
- Designe un responsable del modelo, un responsable de aprobar las versiones, un validador independiente, un responsable de monitorización y un responsable de las medidas correctivas; los desarrolladores no deben validar su propio trabajo ni aprobar versiones.
- Supervise la fundamentación en fuentes, las respuestas perjudiciales, los eventos de privacidad, las derivaciones omitidas, la latencia, las reclamaciones y la deriva, con umbrales definidos por nivel de riesgo, alertas, revisión humana y plazos de respuesta.
- Algunas obligaciones de la UE para sistemas de alto riesgo entran en vigor el 2 de diciembre de 2027 o el 2 de agosto de 2028, según su clasificación; compruebe las fechas en las disposiciones transitorias vigentes.
Índice
- Qué es la gobernanza de modelos de IA y en qué se diferencia de la gobernanza general de la IA
- Por qué importa ahora la gobernanza de modelos de IA
- Principios y normas fundamentales en los que basar su programa
- Gobernar, mapear, medir y gestionar: convertir las funciones en responsabilidades
- Roles, rendición de cuentas y separación de funciones
- Documentación, inventario, linaje y fichas de modelo
- Monitorización y métricas para modelos en producción
- Panorama normativo y calendario de cumplimiento
- Una hoja de ruta de implantación con hitos de madurez
- Prácticas de evaluación independiente y auditoría
- Llevar la gobernanza a la práctica: herramientas, integraciones e informes
- Credenciales del autor y evidencias de Lexic
- Gobernanza de agentes de IA conversacional: qué distingue sus retos
- Buenas prácticas de privacidad y seguridad de los datos de clientes en la IA conversacional
- Recopilar e integrar las opiniones de los clientes en la gobernanza
- Perspectiva profesional: cómo funcionan las rutinas de gobernanza en el día a día
- Cómo respondemos a las necesidades de gobernanza de esta guía
- Preguntas frecuentes
- Fuentes
Qué es la gobernanza de modelos de IA y en qué se diferencia de la gobernanza general de la IA
La gobernanza de modelos es un proceso organizativo continuo, no una revisión puntual. El NIST la define como las políticas, la rendición de cuentas, la tolerancia al riesgo y la supervisión aplicadas durante todo el ciclo de vida del sistema, y subraya que la gobernanza es transversal: debe integrarse en el mapeo, la medición y la gestión, en lugar de quedar relegada a un comité de ética separado o a una aprobación final. Los programas sólidos conectan el apetito de riesgo de la dirección con las pruebas técnicas y la monitorización operativa.
La gobernanza general de la IA establece la orientación de la organización: principios, usos aceptables, compromisos éticos e informes al consejo de administración. La gobernanza de modelos es donde esos compromisos se aplican a un sistema concreto y generan un rastro de evidencias. Responde a preguntas más específicas. ¿Quién aprobó el despliegue de este modelo? ¿Con qué criterios se probó? ¿Qué ocurre cuando se comporta de forma inadecuada en producción?
Hay una distinción especialmente importante para los agentes conversacionales. Se gobierna el sistema desplegado, no solo el artefacto del modelo. El Perfil de IA generativa del NIST apunta a conservar evidencias sobre prompts, herramientas, fuentes de recuperación de información, versiones del modelo, políticas, derivaciones a personas y resultados reales, no únicamente puntuaciones en pruebas de referencia. Un modelo puede superar todas las pruebas fuera de producción y aun así fallar dentro de un flujo de trabajo.
El resto de esta guía utiliza como marco las cuatro funciones del AI RMF: gobernar, mapear, medir y gestionar. Cada una se traduce en controles que puede asignar a una persona y comprobar de forma programada.
Por qué importa ahora la gobernanza de modelos de IA
Los reguladores están pasando de los principios a las fechas y las expectativas de supervisión. El EU AI Act aplica una estructura basada en el riesgo con fechas de aplicación escalonadas, y los supervisores bancarios de Estados Unidos esperan responsabilidades definidas desde el desarrollo hasta la validación y la monitorización. La gobernanza se ha convertido en un elemento del calendario de cumplimiento, no en una iniciativa futura.
Los daños operativos son concretos, y un programa de gobernanza existe para detectarlos de forma temprana:
- Deriva del modelo: el rendimiento se degrada silenciosamente a medida que cambian las entradas, los clientes o las políticas.
- Respuestas perjudiciales o sin fundamento: los sistemas conversacionales presentan datos incorrectos con seguridad.
- Fallos de escalado: los agentes no derivan la conversación a una persona cuando deberían.
- Fuga de datos: los agentes mal configurados exponen información interna o de clientes, como en un caso documentado de un chatbot de gestión de siniestros para empleados que quedó expuesto a internet.
Las consecuencias empresariales no tardan en aparecer: multas, costes de subsanación, pérdida de confianza de los clientes e interrupciones del servicio cuando hay que retirar un modelo con urgencia.
Las directrices revisadas de 2026 de la OCC abarcan expresamente tanto los modelos estadísticos tradicionales como los modelos de IA generativa y agéntica en el sector bancario. Los supervisores ya no consideran que los sistemas conversacionales y agénticos queden fuera de la gestión del riesgo de modelos.
Principios y normas fundamentales en los que basar su programa
Varios marcos ofrecen una base defendible. Coinciden más de lo que discrepan, por lo que conviene elegir uno como eje y establecer las correspondencias con los demás.
- NIST AI RMF: la gobernanza abarca todo el ciclo de vida y se organiza en gobernar, mapear, medir y gestionar. El marco se elaboró con la contribución de más de 240 organizaciones y es voluntario, lo que lo convierte en un vocabulario común práctico.
- ISO/IEC 42001: una norma de sistemas de gestión para establecer, implantar, mantener y mejorar continuamente un sistema de gestión de la IA. Considérela el marco organizativo, con un ciclo de planificar, hacer, verificar y actuar para las políticas, la revisión interna y las acciones correctivas.
- Marco modelo de gobernanza de la IA de Singapur: directrices agrupadas en estructuras internas de gobernanza, supervisión humana, gestión de operaciones e interacción con las partes interesadas. Su idea más útil es ajustar la intervención humana a la probabilidad y la gravedad del daño.
Extraiga de estos marcos los componentes de las políticas que necesita cualquier programa. La clasificación por niveles de riesgo ordena los modelos según su impacto para que el esfuerzo sea proporcional a la exposición. Los criterios de documentación definen qué evidencias debe generar cada nivel. La periodicidad de revisión establece con qué frecuencia se reexamina cada nivel. Un procedimiento de excepciones registra quién puede aceptar el riesgo residual y durante cuánto tiempo.
Gobernar, mapear, medir y gestionar: convertir las funciones en responsabilidades
La guía práctica del AI RMF ofrece acciones sugeridas para cada función. La unidad práctica es una decisión sobre el riesgo respaldada por evidencias: un registro que vincula la finalidad prevista y las personas afectadas con los riesgos, el diseño de la evaluación, los umbrales, la aceptación del riesgo residual, los responsables y la decisión de despliegue.
- Gobernar: plantillas de políticas, un inventario de modelos, un patrocinador ejecutivo, un apetito de riesgo declarado y formación adaptada a cada rol.
- Mapear: documentar la finalidad, las partes interesadas, las fuentes de datos, las dependencias y los impactos previstos antes de diseñar los controles.
- Medir: pruebas de validación, comprobaciones de equidad, pruebas de robustez y un diseño de monitorización que refleje el uso previsto.
- Gestionar: respuesta a incidentes, control de cambios, criterios de retirada y un responsable designado para cada medida correctiva.
Las funciones no son fases secuenciales. Un incidente en producción obliga a volver a mapear, porque el contexto documentado estaba incompleto. Una validación fallida obliga a volver a gobernar, porque el umbral o la política no estaban claros.
Consejo práctico: Redacte los criterios de reversión y retirada al aprobar el despliegue, cuando nadie esté bajo presión para defender el modelo.
Roles, rendición de cuentas y separación de funciones
La rendición de cuentas es una cuestión de diseño organizativo, no de documentación. Los supervisores bancarios federales subrayan que una asignación clara de responsabilidades y la separación de funciones reducen la posibilidad de que los incentivos de entrega prevalezcan sobre la validación, o de que auditoría interna termine ejecutando los controles que debe evaluar.
Un conjunto de roles viable sería el siguiente:
- Patrocinador ejecutivo: se responsabiliza del apetito de riesgo y resuelve las discrepancias entre los equipos de entrega y de riesgos.
- Responsable del modelo: responde de la finalidad, el rendimiento y la documentación del modelo.
- Equipo de desarrollo: desarrolla y prueba, pero no aprueba su propio despliegue.
- Validación y garantía de calidad: comprueba de forma independiente las evidencias frente a los umbrales y puede bloquear el despliegue.
- Responsable de monitorización: supervisa el comportamiento en producción y activa la respuesta a incidentes.
- Auditoría interna: evalúa todo el sistema de control sin ejecutarlo.
- Asesoría jurídica y cumplimiento: realiza el seguimiento de las obligaciones y da el visto bueno a la adecuación normativa.
La regla de separación es sencilla. Defina antes del despliegue quién puede aprobar una versión, quién puede bloquearla, quién valida las evidencias y quién se responsabiliza de las medidas correctivas. Quien desarrolla no debe validar, y quien valida no debe supervisar su propia aprobación.
La periodicidad hace que los roles sean efectivos: una reunión de aprobación del despliegue, un punto de control de validación antes de cada cambio sustancial y una vía de escalado con personas designadas y plazos de respuesta. Para profundizar en la medición de la rendición de cuentas, este análisis de la puntuación de la rendición de cuentas muestra cómo evaluar las decisiones de gobernanza frente a los resultados obtenidos.
Documentación, inventario, linaje y fichas de modelo
Tanto los auditores como los equipos de operaciones necesitan encontrar evidencias con rapidez. Para ello se requiere un inventario único y una ficha de modelo homogénea para cada entrada.
Campos mínimos para cada modelo:
- Finalidad y usuarios previstos
- Fuentes de datos y cómo se obtuvieron
- Detalles del entrenamiento y la validación
- Valores de referencia del rendimiento y umbrales de aceptación
- Limitaciones conocidas y usos fuera de alcance
- Reglas de escalado y condiciones de derivación a una persona
- Nivel de riesgo y fecha de revisión
- Historial de versiones y registros de aprobación
El linaje conecta esos registros en una cadena: conjuntos de datos, preprocesamiento, ingeniería de características y versiones del modelo. En los agentes conversacionales, amplíelo a prompts, instrucciones del sistema, herramientas, fuentes de recuperación de información y documentos de políticas, ya que un cambio en cualquiera de ellos modifica el comportamiento sin alterar los pesos del modelo.
Trate la documentación como información sensible. Aplique acceso basado en roles para que solo las personas autorizadas puedan leer prompts, datos de evaluación y registros de incidentes, y establezca plazos de conservación que satisfagan tanto las necesidades de auditoría como las obligaciones de privacidad. Una ficha de modelo que filtre detalles de los datos de entrenamiento o ejemplos de clientes se convierte en un problema de seguridad en sí misma.
Monitorización y métricas para modelos en producción
Las pruebas fuera de producción no bastan. El Perfil de IA generativa del NIST indica que la monitorización de la calidad de los sistemas conversacionales debe combinar el rendimiento en las tareas con otras señales: tasas de respuestas perjudiciales, eventos de privacidad y seguridad, fundamentación en fuentes o exactitud factual, impacto desigual, comportamiento de rechazo y escalado, latencia y disponibilidad, reclamaciones de usuarios y deriva. Vincule cada métrica al uso previsto.
El Perfil de IA generativa del NIST recomienda medir el comportamiento de escalado y las reclamaciones de los usuarios junto con la precisión, porque una respuesta aparentemente correcta puede seguir sin resolver la necesidad del cliente.
Un esquema práctico de monitorización:
- Corrección: éxito de la tarea y fundamentación respecto a un conjunto de referencia o una fuente de recuperación de información.
- Seguridad frente a daños: tasa de respuestas perjudiciales, incumplimientos de políticas e intentos de inyección de prompts.
- Privacidad y seguridad: datos personales que aparecen en las respuestas, anomalías de acceso y lagunas en los registros.
- Comportamiento de derivación: proporción de conversaciones que deberían haberse escalado y no lo hicieron.
- Estado operativo: latencia, disponibilidad y tasas de error.
- Voz del cliente: reclamaciones, contactos reiterados y cambios de sentimiento.
Después, defina umbrales, alertas y acuerdos de nivel de servicio para las medidas correctivas según el nivel de riesgo. Un modelo de alto riesgo podría requerir una evaluación inicial el mismo día cuando una métrica de seguridad supere su límite, mientras que uno de bajo riesgo se revisaría semanalmente. Combine las comprobaciones automatizadas con una revisión humana periódica para que la deriva lenta no quede oculta entre las fluctuaciones diarias.
Panorama normativo y calendario de cumplimiento
El EU AI Act establece una estructura basada en el riesgo que abarca prácticas prohibidas, sistemas de alto riesgo, obligaciones de transparencia y modelos de uso general. Las fechas de aplicación son escalonadas, y una modificación de 2026 trasladó determinadas obligaciones para sistemas de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, según su clasificación. Las obligaciones varían en función del rol, la clasificación y la jurisdicción, por lo que debe comprobar sus fechas en el texto consolidado vigente del Reglamento (UE) 2024/1689 y sus disposiciones transitorias.
Para los bancos estadounidenses, el boletín de la OCC establece expectativas sobre la gobernanza de modelos, incluidas la separación de funciones y la validación independiente.
Aspectos que debe seguir:
- Fechas de aplicación del EU AI Act para las clasificaciones de sus sistemas
- Modificaciones, actos delegados y actualizaciones del marco normativo de la Comisión
- Directrices federales de supervisión de Estados Unidos y proyectos de ley estatales, como el SB 1047 de California
- Actualizaciones de ISO/IEC 42001 y del NIST AI RMF
Designe un responsable del seguimiento normativo, normalmente en asesoría jurídica o cumplimiento, con un proceso documentado para convertir cada cambio en una actualización de los controles. Un calendario de cumplimiento desactualizado constituye por sí mismo un fallo de gobernanza. El historial legislativo de la UE muestra la rapidez con la que pueden cambiar las fechas.
Una hoja de ruta de implantación con hitos de madurez
Una gobernanza madura se construye por fases. Intentar implantarlo todo a la vez suele llevar al estancamiento en debates sobre herramientas.
- Fase 1, fundamentos: inventaríe todos los modelos, asigne niveles de riesgo, publique una política básica y ejecute un piloto de alto riesgo de principio a fin. Hito: todos los modelos en producción tienen un responsable y un nivel de riesgo.
- Fase 2, repetibilidad: automatice la monitorización, complete las fichas de modelo, establezca un calendario de revisiones periódicas y normalice la validación. Hito: cada modelo clasificado tiene una ficha, un panel de monitorización y una próxima fecha de revisión.
- Fase 3, aseguramiento: encargue evaluaciones independientes, conecte los hallazgos con la gestión de incidentes, informe a la dirección con una periodicidad fija e incorpore las lecciones aprendidas a las políticas. Hito: los hallazgos de auditoría tienen responsables y fechas de cierre.
Indicadores clave de rendimiento sugeridos por fase: proporción de modelos inventariados y clasificados; proporción con documentación completa; tiempo desde la alerta hasta la evaluación inicial; proporción de hallazgos de auditoría cerrados en plazo; y proporción de versiones que superaron la validación independiente. Mantenga una lista breve. Un programa de gobernanza que informa de demasiadas métricas puede tener dificultades para actuar sobre ellas.
Prácticas de evaluación independiente y auditoría
La evaluación independiente es especialmente importante cuando los incentivos o las líneas jerárquicas pueden sesgar los resultados. Haga que sea proporcional al riesgo y esté separada del desarrollo y la validación, de acuerdo con las directrices de supervisión mencionadas anteriormente. Una herramienta interna de bajo riesgo puede necesitar una revisión ligera. Un agente de atención al cliente que gestiona reclamaciones necesita más.
Pida a los auditores que examinen toda la cadena de evidencias en lugar de una presentación resumida:
- Documentación, incluidas fichas de modelo, aprobaciones y linaje
- Resultados de las pruebas con sus umbrales y las decisiones que respaldaron
- Muestreo del comportamiento en servicio a partir de conversaciones reales, no solo pruebas con guion
- Gestión del escalado, incluidos los casos en los que el agente debería haber derivado la conversación
- Registros de medidas correctivas que indiquen quién corrigió qué y cuándo
Deje explícitos en el registro los responsables de las medidas correctivas y los criterios de reversión. Una auditoría que identifica un fallo pero no asigna un responsable ni un plazo produce un informe, no un control. Almacene las evidencias en un único lugar con acceso controlado para que el mismo conjunto sirva a auditoría interna, reguladores y clientes.
Llevar la gobernanza a la práctica: herramientas, integraciones e informes
Las herramientas deben respaldar el proceso que ya ha definido, no sustituirlo. Exija capacidades específicas en cada categoría:
- Inventario y registro: un registro por modelo con responsable, nivel de riesgo y estado.
- Observabilidad y métricas: monitorización en producción con alertas vinculadas a sus umbrales.
- Linaje y metadatos: trazabilidad desde los datos hasta los prompts y las versiones del modelo.
- Seguimiento de incidentes y problemas: responsables de medidas correctivas, plazos y evidencias de cierre.
- Repositorio de evidencias de auditoría: registros inmutables con acceso controlado.
- Paneles: vistas adaptadas a cada público.
Las integraciones determinan si las herramientas se utilizan. Conéctelas con sus sistemas de CRM y gestión de solicitudes, inicio de sesión único y registro de eventos, su SIEM y sus controles de acceso a los datos. Para los controles alineados con la seguridad, las directrices sobre gestión del riesgo en la nube dentro de un SGSI cubren la vertiente orientada a ISO.
Los informes deben diferenciarse por destinatario. Los equipos de operaciones necesitan paneles diarios o semanales con alertas e incidentes abiertos. La dirección necesita un resumen mensual o trimestral: riesgo por nivel, hallazgos abiertos, cambios normativos y decisiones necesarias.
Credenciales del autor y evidencias de Lexic
Esta guía aborda la gobernanza de la IA conversacional. Nuestra plataforma Lexic Compass audita agentes de IA de cualquier proveedor y verifica su comportamiento en situaciones reales, las vulnerabilidades de seguridad, la gestión del escalado y la información facilitada al cliente en conversaciones reales. También ofrecemos monitorización continua mediante Lexic Pulse.
Un hallazgo de nuestro propio trabajo de auditoría ilustra por qué esto importa: hemos observado agentes auditados que no derivaban adecuadamente los problemas a representantes humanos. Se trata de una observación propia, no de una referencia sectorial, y es la razón por la que tratamos el comportamiento de escalado como una métrica de gobernanza de primer orden.
Gobernanza de agentes de IA conversacional: qué distingue sus retos
Los agentes conversacionales rompen los supuestos establecidos para los modelos tradicionales. Un modelo de puntuación devuelve un número para una entrada definida. Un agente produce lenguaje abierto, invoca herramientas, recupera documentos y mantiene el contexto entre turnos. Su comportamiento puede cambiar cuando cambia un prompt, una base de conocimiento o una herramienta conectada, sin que exista una nueva versión del modelo.
Esto genera necesidades de gobernanza específicas. En primer lugar, la unidad de control es el sistema completo: prompts, herramientas, fuentes de recuperación de información, políticas y reglas de derivación. En segundo lugar, los fallos suelen ser conversacionales en lugar de numéricos, como un agente que nunca admite incertidumbre o que mantiene a un cliente frustrado atrapado en un bucle. En tercer lugar, las respuestas llegan directamente a los clientes, por lo que un fallo se convierte rápidamente en un incidente que les afecta.
Estrategias que funcionan:
- Defina reglas de escalado por nivel de riesgo y pruébelas con muestras de conversaciones reales.
- Versione los prompts y las configuraciones de herramientas del mismo modo que versiona el código.
- Exija que se informe al cliente de que está hablando con una IA, cuando corresponda.
- Tome muestras de conversaciones en servicio de forma continua, en lugar de depender únicamente de las pruebas previas al despliegue.
- Incluya los agentes de terceros en el alcance: las garantías del proveedor no sustituyen a sus propias evidencias.
Este último punto es la razón por la que auditamos agentes de cualquier proveedor. La verificación independiente de lo que un agente hace con los clientes constituye una evidencia más sólida que el informe del propio proveedor.
Buenas prácticas de privacidad y seguridad de los datos de clientes en la IA conversacional
Las conversaciones contienen abundantes datos personales: nombres, datos de cuentas, circunstancias de salud o financieras, aportados espontáneamente sin que se soliciten. La gobernanza debe asumir que la propia transcripción es sensible.
Prácticas que deben incorporarse:
- Minimizar la recogida: capture solo lo que necesita el caso de uso y oculte los identificadores antes del almacenamiento o el análisis siempre que sea posible.
- Controlar el acceso: aplique permisos basados en roles a las transcripciones, los prompts y los datos de evaluación, con registros de quién consultó qué.
- Establecer límites de conservación: conserve los registros el tiempo necesario para la auditoría y la gestión de reclamaciones y, después, elimínelos según el calendario previsto.
- Comprobar posibles fugas: someta a los agentes a pruebas de divulgación de datos personales, instrucciones internas e información de otros clientes.
- Defenderse frente a la inyección: pruebe escenarios de inyección de prompts y uso indebido de herramientas antes y después del despliegue.
- Proteger la cadena de proveedores: confirme dónde se procesan los datos, qué conserva el proveedor y si utiliza sus conversaciones para entrenar modelos.
El Perfil de IA generativa del NIST incluye los eventos de privacidad y seguridad entre las señales que deben monitorizarse en producción, por lo que debe incorporar la detección de datos personales en las respuestas a su sistema de alertas. Alinee el programa con un sistema de gestión de la seguridad de la información para que estos controles formen parte de un marco auditado en lugar de quedar al margen. Registre las decisiones de privacidad en la ficha del modelo para que los revisores puedan ver por qué se autorizó una fuente de datos y qué salvaguardas se aplican.
Recopilar e integrar las opiniones de los clientes en la gobernanza
Los clientes detectan fallos que las pruebas internas pasan por alto. Un ciclo de retroalimentación convierte esas observaciones en evidencias de gobernanza. Las directrices del NIST sobre sistemas generativos recomiendan mecanismos de comentarios y reclamación, para que las personas afectadas por un sistema puedan comunicar problemas y solicitar una reparación.
Métodos que funcionan en la práctica:
- Señales dentro de la conversación: valoraciones positivas o negativas, solicitudes de «hablar con una persona» y abandono.
- Análisis de reclamaciones y solicitudes: etiquete los contactos que mencionan al agente y haga un seguimiento de los contactos reiterados sobre el mismo problema.
- Minería de conversaciones: analice transcripciones a gran escala para detectar frustración, solicitudes sin resolver y derivaciones omitidas.
- Entrevistas específicas: contacte de nuevo con clientes que hayan tenido una mala interacción para descubrir lo que los datos no pueden mostrar.
- Canales de reclamación: ofrezca a los clientes una vía clara para contactar con una persona e impugnar un resultado.
La integración importa más que la recopilación. Canalice las opiniones al mismo sistema que los demás hallazgos, con un nivel de riesgo, un responsable y un plazo. Incorpore los temas recurrentes al registro de riesgos y al siguiente ciclo de validación, y establezca umbrales: un aumento de la tasa de solicitudes de escalado o del volumen de reclamaciones debe activar una revisión del mismo modo que una alerta de deriva. Informe a la dirección de las tendencias de las opiniones junto con la monitorización cuantitativa, para que la experiencia del cliente se trate como una señal de riesgo, no como una métrica de marketing.
Perspectiva profesional: cómo funcionan las rutinas de gobernanza en el día a día
La buena gobernanza es, en gran medida, rutinaria. El responsable de monitorización comprueba los paneles cada mañana, clasifica las alertas por nivel de riesgo y registra todo lo que afecte a los datos de los clientes. Semanalmente, el responsable del modelo revisa las tendencias y las medidas correctivas abiertas. Mensualmente, el grupo interfuncional examina los hallazgos y los cambios normativos.
Un modelo federado permite que esto sea viable. El equipo central de riesgos establece normas, plantillas y umbrales, mientras que los equipos de negocio ejecutan las rutinas conforme a ellos. Los equipos siguen avanzando y las evidencias mantienen su coherencia. El fallo habitual es documentar un control y no ejecutarlo nunca.
Un consejo: aplique primero su mejor monitorización al sistema de mayor riesgo y amplíela a partir de ahí.
— Sergio Llorens
Cómo respondemos a las necesidades de gobernanza de esta guía
Ofrecemos Lexic Compass para la evaluación independiente y las evidencias de auditoría descritas en esta guía, incluidos el muestreo de conversaciones en servicio y las comprobaciones de escalado. Lexic Pulse y Enterprise Continuous Trust cubren la monitorización continua. Si necesita una comprobación externa de cómo se comportan sus agentes con clientes reales, solicite un Audit Sprint o una demostración de Compass.
Preguntas frecuentes
¿Qué es la gobernanza de modelos de IA?
La gobernanza de modelos de IA es el proceso organizativo continuo de establecer políticas, responsabilidades, tolerancia al riesgo y supervisión durante todo el ciclo de vida de un modelo. El NIST AI RMF la organiza en gobernar, mapear, medir y gestionar. Se aplica al sistema desplegado y a su rastro de evidencias, no solo al modelo.
¿Qué es la regla del 30% en IA?
No existe ninguna regla de porcentaje fijo reconocida en las normas aquí tratadas. El NIST AI RMF, ISO/IEC 42001 y el EU AI Act establecen requisitos proporcionales basados en el riesgo, sin un umbral porcentual fijo. Si encuentra esta expresión en un documento de un proveedor, solicite su definición y su fuente.
¿Puede darme un ejemplo de gobernanza de la IA?
Un banco que exige que cada chatbot de atención al cliente tenga un responsable designado, una validación independiente antes del despliegue, monitorización del comportamiento de escalado durante su funcionamiento y un plan de reversión documentado está aplicando la gobernanza de la IA. Cada paso se corresponde con las funciones de gobernar, medir y gestionar, y con la separación de funciones que esperan los supervisores.
¿Cuáles son los cuatro modelos de gobernanza?
El término no tiene una única definición normalizada. En la gestión del riesgo de IA, las cuatro funciones que organizan el trabajo de gobernanza son gobernar, mapear, medir y gestionar, procedentes del núcleo del NIST AI RMF. Las organizaciones también describen modelos operativos centralizados, federados e híbridos, y las definiciones varían.