ISO/IEC 23894

La ISO/IEC 23894 es una norma de orientación, por lo que contiene recomendaciones y no requisitos certificables. Adopta la estructura conocida de la ISO 31000, con principios, un marco de referencia y un proceso de identificación, análisis, valoración y tratamiento de riesgos, y explica qué cambia cuando la fuente de riesgo es un sistema de IA. Sus anexos describen objetivos habituales relacionados con la IA, como equidad, transparencia, robustez, seguridad y privacidad, fuentes de riesgo típicas, como la falta de transparencia, el nivel de automatización, la complejidad del aprendizaje automático y la calidad de los datos, y cómo se aplica la gestión de riesgos en cada etapa del ciclo de vida de la IA.

Su principal valor es la integración. Quien ya gestiona riesgos empresariales con la ISO 31000 puede extender a la IA el mismo vocabulario, apetito de riesgo y líneas de reporte. También respalda las cláusulas de evaluación y tratamiento de riesgos de la ISO/IEC 42001. Por ejemplo, el equipo de riesgos puede registrar la deriva de un modelo de detección de fraude como un riesgo con probabilidad, impacto, responsable y plan de tratamiento, igual que cualquier otro riesgo operativo.