Gestión de riesgos de IA

¿Tenemos una lista honesta de los 10 riesgos reales de cómo usamos IA hoy, con dueño y mitigación para los 5 mayores?

El riesgo real —el junior subiendo la base de clientes a una herramienta gratuita— no figura en las matrices heredadas de papers. Y el mapa debe incluir el riesgo de no adoptar.

Dónde estamos · los cuatro niveles

N1Exploración. Sin mapa de riesgos de IA: los incidentes se descubren cuando ocurren.
N2Piloto. Riesgos principales identificados y listados, sin dueños ni mitigación.
N3Adopción sistemática. Riesgos gestionados: matriz viva con dueños, mitigaciones concretas (revisión humana en decisiones sensibles, cláusulas de PI, alternativas de proveedor) y plan de respuesta a incidentes.
N4Transformación. Gestión integrada al negocio: apetito de riesgo definido por la dirección, revisión periódica, simulacros; marco alineable con ISO/IEC 42001.

Cómo subir un nivel

N1→N2

Taller de 2 horas con las cabezas técnicas y de negocio: listar los 10 riesgos reales de cómo se usa IA hoy.

Tiempo (est.): 1 tallerQuién: Dirección + CTO + seguridadEvidencia de hecho: Lista de 10 riesgos priorizada.

N2→N3

Para los 5 riesgos de mayor exposición: dueño, mitigación y disparador de escalamiento; definir qué es un 'incidente de IA' y qué se hace cuando ocurre; incluir la propiedad intelectual del conocimiento capturado (propio y del cliente).

Tiempo (est.): 1 trimestreQuién: Dueños de riesgo + legalesEvidencia de hecho: Matriz viva; plan de respuesta a incidentes publicado; PI incluida.

N3→N4

Llevar el apetito de riesgo a la dirección (qué delegamos en IA y qué no) y revisarlo como el riesgo financiero; evaluar alinear el sistema con ISO/IEC 42001 (conocer, cumplir, después certificar).

Tiempo (est.): 2 trimestresQuién: DirecciónEvidencia de hecho: Apetito de riesgo aprobado; revisión semestral registrada.

Qué medir

Riesgos con dueño y mitigación sobre el total identificado
Incidentes de IA detectados y tiempo de respuesta
Antigüedad de la última revisión de la matriz

Tablero: Se lee con M5 y M8.

Variante por perfil

PyME (≈30 personas). La matriz de una página con 5 riesgos gestionados es N3 legítimo.

Empresa grande (≈500). Integrar al ERM existente en lugar de crear una burocracia paralela.

Anti-patrón

El riesgo teórico: sesgo algorítmico en un equipo que hace CRUD, mientras el riesgo real no figura.

En qué se apoya

Agrawal et al., Prediction Machines (el juicio incluye el costo de cada tipo de error: la matriz lo hace explícito) · Abbosh, Nunes & Downes (el riesgo mayor del incumbente es no liberar el valor atrapado a tiempo).

Ver también: G.2 Protección de datos y cumplimiento · G.3 Gobernanza del delivery · 4.4 Gestión del conocimiento

Ficha G.4 en PDF Hacer la autoevaluación Plantilla del plan de 90 días (PDF)

Los tiempos son estimaciones de la Mesa de Innovación para una organización que dedica un responsable con tiempo protegido; se calibran con el piloto del tablero.