Autoevaluación ISO 42001 (gobernanza de IA)

Está definido el alcance del sistema de gestión de IA: qué sistemas de IA desarrolla, ofrece o usa la empresa y en qué rol (proveedor, usuario, productor). 4.3

Hay una política de IA aprobada por la dirección, alineada con las demás políticas (seguridad, privacidad, calidad) y revisada periódicamente. A.2.2

Cada sistema de IA tiene responsables definidos: quién lo aprueba, quién lo opera y quién responde si falla. A.3.2

Empleados y terceros tienen un canal para reportar inquietudes sobre el comportamiento de la IA, y esos reportes se atienden. A.3.3

Se hacen auditorías internas del sistema de gestión de IA y la dirección revisa sus resultados. 9.2

Existe un método documentado para evaluar los riesgos de la IA (sesgo, errores, seguridad, privacidad) con criterios de aceptación. 6.1.2

Los riesgos identificados tienen un tratamiento definido y una declaración de aplicabilidad de los controles del Anexo A. 6.1.3

Antes de poner en marcha un sistema de IA se evalúa su impacto en las personas y grupos afectados, y se documenta. A.5.2

Hay objetivos medibles para la IA (exactitud, equidad, disponibilidad, quejas) y se hace seguimiento. 6.2

Están documentados los recursos de cada sistema de IA: datos, herramientas, infraestructura y personas con las competencias necesarias. A.4.2

Los requisitos de cada sistema de IA (qué debe hacer, qué no debe hacer, límites) se definen antes de construirlo o comprarlo. A.6.2.2

Los modelos se verifican y validan antes de salir a producción con criterios definidos (pruebas de exactitud, sesgo y seguridad). A.6.2.4

Los sistemas de IA en producción se monitorean (degradación, errores, uso indebido) y hay registros de eventos que se conservan. A.6.2.6

Se sabe qué datos se usan para entrenar, ajustar o alimentar cada sistema de IA y con qué autorización (Ley 1581 si son personales). A.7.2

Hay criterios de calidad de datos (completitud, representatividad, errores) y se verifican. A.7.4

Se registra la procedencia de los datos: de dónde vienen, cuándo se obtuvieron y qué transformaciones tuvieron. A.7.5

Los usuarios reciben información clara sobre el sistema de IA: qué hace, sus límites y cuándo interviene una persona. A.8.2

Hay un procedimiento para comunicar incidentes de IA a usuarios, clientes y autoridades cuando corresponda. A.8.4

Hay reglas para el uso responsable de la IA dentro de la empresa (herramientas aprobadas, datos prohibidos, revisión humana). A.9.2

Cada sistema de IA se usa solo para el fin previsto, y un cambio de uso pasa por una nueva evaluación. A.9.4

Los proveedores de IA (modelos, APIs, plataformas) se evalúan y sus contratos cubren datos, seguridad y responsabilidades. A.10.3

Cuando la empresa ofrece IA a sus clientes, les comunica sus responsabilidades y el uso previsto. A.10.4