El registro de riesgos de IA es la lista viva de los riesgos de un sistema de inteligencia artificial, con la probabilidad y el impacto de cada uno, los controles existentes, el riesgo que queda después de ellos (residual), el responsable y el tratamiento decidido. Muestra dónde actuar primero, respalda las decisiones de la alta dirección y vincula la gestión de riesgos de IA con la gestión de riesgos corporativos de la organización.
Cómo usar
- Describe el sistema: origen, si es generativo, finalidad, peso en la decisión, datos personales y personas afectadas.
- Completa la tabla con un riesgo por fila, con probabilidad e impacto de 1 a 5, el control existente, su eficacia y el responsable. Con la tabla vacía, el resultado sugiere un registro inicial según el contexto.
- Lee las cinco prioridades, el mapa de calor del riesgo residual, los avisos y las categorías que faltan.
- Exporta en DOCX, CSV, PDF o Markdown y lleva los riesgos a la EIPD cuando haya datos personales.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Sistema de IA | El nombre con el que la organización conoce el sistema. |
| Origen del sistema | |
| ¿Es IA generativa? | |
| Finalidad y contexto | Qué hace el sistema, quién usa el resultado y para qué decisión. |
| Peso en la decisión | Cuánto decide el resultado sobre las personas. |
| Datos personales | El tipo más sensible de dato personal que el sistema recibe o genera. |
| Personas afectadas | Quién siente los efectos del resultado. Déjalo vacío si nadie se ve afectado. |
| Próxima revisión del registro | Fecha en la que se revisará el registro. |
| Categoría | |
| Descripción del riesgo | Ej.: un resumen con un hecho inventado lleva a una prioridad errónea |
| Probabilidad (1 a 5) | 1 rara, 5 casi segura. |
| Impacto (1 a 5) | 1 insignificante, 5 grave para las personas o la organización. |
| Control existente | Ej.: un analista compara el resumen con los documentos |
| Eficacia del control | |
| Responsable | Ej.: gerente de siniestros |
Ejemplo
Una aseguradora ficticia registra ocho riesgos de su asistente de clasificación de siniestros, una IA generativa de un proveedor que recomienda la prioridad de análisis. La inyección de prompts por el texto libre del aviso (5 × 4 = 20, sin control) queda crítica y va a la alta dirección; que los analistas acepten la sugerencia sin revisarla (4 × 5, control débil, residual 15) queda alto y sin responsable. Tres riesgos quedan medios y tres bajos, y la herramienta señala propiedad intelectual y uso indebido como categorías que faltan.
Cuándo usar
- Antes de poner un sistema de IA en producción o de ampliar su uso.
- Cuando el inventario de IA muestra un sistema de riesgo medio o alto.
- Para llevar los riesgos de IA al comité de riesgos o a la alta dirección con una escala común.
- En la revisión periódica, después de un incidente o de un cambio de modelo o de proveedor.
Preguntas frecuentes
¿Qué debe tener un registro de riesgos de IA?
Para cada riesgo: categoría, descripción, probabilidad, impacto, control existente y su eficacia, riesgo residual, tratamiento, responsable y fecha de revisión. La herramienta agrega el mapa de calor, las prioridades y la relación de cada categoría con el NIST AI RMF, la ley de IA de la UE y el RGPD.
¿Cómo se calcula el riesgo residual?
El riesgo inherente es probabilidad por impacto, de 1 a 25. El control reduce la probabilidad en 0, 1, 2 o 3 niveles según su eficacia (ninguna, débil, parcial o fuerte), nunca por debajo de 1, y el impacto no cambia. La eficacia marcada sin un control descrito cuenta como ninguna.
¿Cuáles son las franjas y el tratamiento?
De 1 a 4 el riesgo es bajo y puede aceptarse; de 5 a 9 es medio y debe monitorearse; de 10 a 16 es alto y necesita un plan de mitigación; de 17 a 25 es crítico y debe escalarse a la alta dirección. Ajusta la escala al apetito de riesgo de tu organización.
¿De dónde sale el registro inicial sugerido?
Del contexto que indicas. La IA generativa trae inexactitud, propiedad intelectual y uso indebido; un proveedor trae riesgos de terceros; los datos personales traen privacidad; una recomendación o decisión automática trae supervisión humana. Los puntajes iniciales son estimaciones para que los ajustes.
¿El registro reemplaza la EIPD o la FRIA?
No. El registro ordena todos los riesgos del sistema; la EIPD trata los riesgos para las personas en el tratamiento de datos personales, y la FRIA, cuando la exige la ley de IA de la UE, trata los derechos fundamentales y puede reutilizar la EIPD. La herramienta es educativa; no es asesoría legal ni una auditoría.
¿Qué certificación DPCert cubre este tema?
La evaluación de riesgo e impacto de IA es un dominio de la RAIP Responsible AI Practitioner. La integración de los riesgos de IA en la gestión de riesgos corporativos es tema de la RAIL Responsible AI Leader.