La política de IA en seis preguntas
Qué es
El documento en el que la dirección fija cómo se usa y se gobierna la IA en la empresa, y a quién obliga cada regla.
- Quién
- La aprueba la dirección. La redacta quien gobierna la IA, con jurídico, seguridad y personas. Obliga a toda la plantilla y, por contrato, a los proveedores.
- Cuándo
- En cuanto la plantilla usa herramientas de IA con datos de la empresa. Se revisa cada año y cuando cambian la ley, las herramientas o el negocio.
- Dónde
- Junto a las políticas de seguridad y de protección de datos. Las normas de uso llegan a cada persona, en una o dos páginas.
- Por qué
- La ley de secretos empresariales protege lo que la empresa protege con medidas razonables. La ISO/IEC 42001 también empieza por esta política.
- Cómo
- Con pocos apartados, y con reglas que digan quién, qué, cuándo, con qué valor y qué pasa si no se cumplen. Detalle abajo.
Qué lleva el documento
La política tiene dos capas. La primera es la política que aprueba la dirección: principios, quién decide y cómo se gobierna la IA. La segunda son las normas de uso para toda la plantilla: qué herramientas, con qué datos y a quién preguntar.
Los apartados, uno por línea:
- Para qué sirve: el propósito y los objetivos de IA de la empresa.
- A quién y a qué aplica: personas, áreas, herramientas y sistemas, también los de proveedores.
- Definiciones: los términos que usan las reglas, al principio.
- Principios: pocos, y cada uno desarrollado después en reglas.
- Quién decide: quién aprueba una herramienta o un uso nuevo, y quién responde de cada sistema.
- Reglas: lo que se debe hacer, lo que no y lo que se puede hacer.
- Excepciones: quién las concede, por qué motivo y hasta cuándo.
- Incumplimientos: qué pasa, y a quién se avisa de un incumplimiento o un incidente.
- Revisión: quién la revisa, cada cuánto y qué cambios obligan a revisarla antes.
La ISO/IEC 42001 pide, en su apartado 5.2, que la política sirva de marco para los objetivos de IA. También pide que comprometa a cumplir los requisitos aplicables y a mejorar de forma continua. La guía NIST SP 800-12 describe los mismos apartados para una política sobre un tema concreto.
Cómo se escribe cada regla
Cada regla responde a seis preguntas:
| Parte | Ejemplo |
|---|---|
| Quién: el cargo o el equipo obligado | «El responsable de cada equipo» |
| Fuerza: debe, no debe, debería o puede | «debe» |
| Qué: una acción que se pueda comprobar | «dar de alta la herramienta en el inventario de IA» |
| Cuándo: lo que activa la regla | «antes de usarla con datos de clientes» |
| Valor y dueño: el plazo, umbral o lista, y quién lo fija | «el comité de IA responde en cinco días laborables» |
| Si no se cumple: la consecuencia | «seguridad bloquea la herramienta hasta el alta» |
Las cuatro fuerzas son las formas verbales de las Directivas ISO/IEC, parte 2, con las que se redactan las normas ISO. «Debe» obliga, «no debe» prohíbe, «debería» recomienda y «puede» permite. Quien no sigue un «debería» tiene que poder explicar por qué.
Cuatro comprobaciones para cada regla:
- Una regla, una idea. Si lleva un «y» entre dos acciones, son dos reglas.
- Un obligado a la vista. «Se revisarán los resultados» no dice quién los revisa.
- Sin palabras que no se pueden medir. «Adecuado», «razonable» o «responsable» se cambian por un valor o por quién decide.
- Un dueño para cada juicio. Si la regla pide decidir caso a caso, dice quién decide.
El método sirve para cualquier política: calidad, seguridad de la información o protección de datos.
Un ejemplo, paso a paso
Una regla de partida: «Se velará por un uso responsable de las herramientas de IA».
- Quién. «Se velará» no tiene obligado. Pasa a «Cada responsable de equipo velará…».
- Fuerza y qué. «Velar» y «uso responsable» no se pueden comprobar. Pasa a «Cada responsable de equipo debe dar de alta en el inventario de IA cada herramienta que use su equipo».
- Cuándo. Se añade «antes de usarla con datos de clientes».
- Valor y dueño. El plazo va en una regla aparte: «El comité de IA debe responder a cada alta en cinco días laborables».
- Excepción y consecuencia. Dos reglas más: «Solo el comité de IA puede autorizar un uso antes del alta, por escrito y durante 30 días como máximo». Y «Seguridad debe bloquear las herramientas de IA sin alta».
De una frase salen cuatro reglas. Cada una tiene quién, qué y cuándo, y alguien puede comprobar si se cumplen. Las altas forman además el inventario: qué IA se usa, para qué y quién responde de ella.
Cómo hacemos el inventario de la IA de una empresa, con la política de uso y los responsables de cada sistema: inventario de la IA.
