Un modelo de madurez de la gobernanza de IA mide cuánto están definidas, aplicadas y demostradas las prácticas de una organización para usar la IA con responsabilidad. Esta autoevaluación usa ocho dimensiones alineadas con las funciones del NIST AI RMF (gobernar, mapear, medir, gestionar) y con los requisitos de la ISO/IEC 42001, y entrega un índice, un nivel de 1 a 5, las brechas prioritarias y recomendaciones prácticas.
Cómo usar
- Si quieres, indica el tamaño y el sector de la organización.
- Califica cada dimensión de 1 a 5, con las descripciones de nivel de cada campo.
- Lee el índice, el nivel y las tres brechas con sus recomendaciones.
- Usa la certificación sugerida para planificar la capacitación del equipo y exporta el resultado en PNG, PDF o DOCX.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Tamaño de la organización (opcional) | Elige el tamaño |
| Sector (opcional) | Elige el sector |
| Gobernar: política, roles y liderazgo | 1: nadie responde por la IA. 3: política aprobada y roles definidos. 5: comité activo, metas y revisión por la dirección. |
| Mapear: inventario y contexto de uso | 1: no se sabe qué sistemas de IA existen. 3: inventario con responsable por sistema. 5: todo caso nuevo pasa por un filtro antes de entrar en uso. |
| Medir: evaluación de riesgo y pruebas | 1: ninguna prueba antes del uso. 3: evaluación de riesgo e impacto en los sistemas sensibles. 5: métricas de sesgo, robustez y precisión monitoreadas. |
| Gestionar: controles, supervisión e incidentes | 1: ningún control definido. 3: supervisión humana y plan de incidentes en los sistemas críticos. 5: monitoreo continuo y lecciones aprendidas aplicadas. |
| Datos y privacidad | 1: los datos personales entran en la IA sin análisis. 3: base jurídica y EIPD cuando corresponde. 5: privacidad desde el diseño en todo proyecto de IA. |
| Proveedores y terceros | 1: herramientas de IA contratadas sin evaluación. 3: cuestionario y cláusulas en los contratos nuevos. 5: reevaluación periódica y derecho de auditoría. |
| Personas y alfabetización en IA | 1: ninguna orientación a las personas. 3: capacitación básica para quien usa IA. 5: rutas por rol y evidencias de capacitación. |
| Documentación y aseguramiento | 1: nada documentado. 3: registros mínimos por sistema. 5: auditoría interna y revisión por la dirección, como exige la ISO/IEC 42001. |
Ejemplo
Una financiera ficticia de tamaño mediano calificó con 3 Gobernar, Gestionar y Personas, con 4 Datos y privacidad y con 2 Mapear, Medir, Proveedores y Aseguramiento. El índice quedó en 41 de 100, nivel 3 (Definido). Las brechas para atacar primero son Mapear, Medir y Proveedores, con recomendaciones como armar el inventario de IA y evaluar a los proveedores con un cuestionario estándar. La certificación sugerida para el equipo es la RAIP Responsible AI Practitioner.
Cuándo usar
- Al inicio de un programa de gobernanza de IA, para tener una línea de base.
- Antes de presentar el tema a la dirección o al directorio.
- Una vez al año, para comparar la evolución con la evaluación anterior.
- Al preparar la implementación de un sistema de gestión de IA según la ISO/IEC 42001.
Preguntas frecuentes
¿Qué es la madurez de la gobernanza de IA?
Es el grado en que las prácticas para usar la IA con responsabilidad están definidas, se aplican de forma consistente y se respaldan con evidencias. Una organización en el nivel inicial depende de iniciativas aisladas; en el nivel optimizado, mide resultados y mejora de forma continua.
¿Por qué las dimensiones siguen el NIST AI RMF y la ISO/IEC 42001?
Son las referencias más usadas para organizar la gobernanza de IA. El NIST AI RMF divide el trabajo en gobernar, mapear, medir y gestionar; la ISO/IEC 42001 agrega el sistema de gestión, con documentación, auditoría interna y revisión por la dirección.
¿Cómo se calcula el índice?
La herramienta promedia los puntajes de las dimensiones respondidas y convierte el promedio a una escala de 0 a 100. El nivel va de 1 (Inicial) a 5 (Optimizado), y las brechas son las tres dimensiones con los puntajes más bajos.
¿El resultado vale como auditoría o certificación de la organización?
No. Es una autoevaluación educativa que refleja la percepción de quien respondió, no una auditoría, una certificación de la organización ni una asesoría legal. Para confirmar el nivel, reúne evidencias y haz una auditoría interna.
¿Qué certificación DPCert cubre este tema?
La estructuración del programa de gobernanza de IA es tema de la RAIL Responsible AI Leader. La herramienta también sugiere otra certificación según las brechas, como la RAIF Responsible AI Foundation, de nivel inicial, para darle una base común al equipo.
¿Quién debe responder la autoevaluación?
Lo ideal es un grupo pequeño con gobernanza, tecnología, legal o privacidad y un área de negocio que usa IA. Las respuestas de una sola persona tienden a reflejar solo su propia área.