AI assurance se traduce como aseguramiento de IA. El Gobierno británico lo define como «el proceso de medir, evaluar y comunicar la fiabilidad de los sistemas de IA». Dicho más corto: saber cómo se comporta tu IA y poder demostrarlo.
La palabra se usa de dos maneras, y conviene separarlas desde el principio:
- Aseguramiento propio. Lo hace tu organización: fija las reglas, evalúa sus sistemas y guarda la evidencia.
- Aseguramiento independiente. Lo hace alguien de fuera: la entidad que certifica tu ISO/IEC 42001, un organismo notificado o la autoridad de vigilancia del mercado. Revisa lo que le enseñas y emite su opinión o su certificado.
El segundo se apoya en el primero. Quien viene de fuera solo puede comprobar lo que dentro está hecho y escrito. Este artículo trata del aseguramiento propio. Es aseguramiento de la calidad: el que hace tu organización para tener confianza en que su IA cumple lo que se le pide.
El aseguramiento de IA en seis preguntas
Qué es
Comprobar que lo que decidiste sobre un sistema de IA se cumple, y tener la evidencia a mano. Son tres tareas: gobernar, evaluar y probar.
- Quién
- Lo hace quien construye la IA y también quien la usa en sus procesos: dirección, producto, el equipo técnico, calidad y las áreas que la usan. Lo piden clientes, auditores, organismos notificados y la autoridad de vigilancia del mercado.
- Cuándo
- Antes de sacar el sistema, y cada vez que cambian la versión, los datos o el uso. Para el alto riesgo del Anexo III, las obligaciones del Reglamento de IA se aplican desde el 2 de diciembre de 2027.
- Dónde
- En tu sistema de gestión de la calidad, en la documentación técnica y en los registros del sistema. Es donde mira quien te audita.
- Por qué
- Porque te lo van a pedir. Y porque, sin evidencia, tampoco tú sabes si tu IA hace lo que dices.
- Cómo
- Gobernando, evaluando y probando. Cada tarea tiene su apartado abajo.
Qué se entiende por aseguramiento
La palabra se usa hoy para cuatro cosas distintas:
- Certificar. Una entidad acreditada asegura que una organización cumple una norma, como la ISO/IEC 42001.
- Probar. Un laboratorio asegura que un sistema ha pasado unas pruebas concretas.
- Vigilar. Una herramienta asegura que cierto comportamiento del sistema queda registrado y vigilado.
- Prepararse. Una organización se prepara para que otro revise lo que hace.
Las cuatro se apoyan en lo mismo: controles que funcionan y evidencia de que funcionan.
De la presentación a la infraestructura
El gobierno, el riesgo y el cumplimiento (GRC) suelen vivir en presentaciones, hojas de cálculo y matrices de riesgo. Describen los controles, pero no los ejecutan ni dejan rastro.
El aseguramiento de IA consiste en llevar eso a la infraestructura. Cada control se aplica en los sistemas donde se construye y se usa la IA, se comprueba allí y deja evidencia fechada, sin que nadie tenga que redactarla al final. Cuando alguien de fuera revisa, la evidencia ya existe.
En Europa esto se nombra casi siempre por la ley: cumplir el Reglamento de IA (AI Act), gobernanza de la IA y evaluación de la conformidad. La gobernanza decide qué controlar. El aseguramiento aporta la prueba de que se controla, y esa prueba es la que se revisa en la evaluación de la conformidad.
Gobernar
Gobernar es poner de acuerdo a quien decide, a quien construye y a quien usa la IA. Se fija para qué se puede usar cada sistema, quién responde de él y qué hay que hacer antes de cambiarlo o de empezar a usar uno nuevo.
Cómo se hace depende de tu papel:
- Si usas IA en tus procesos, aunque la haya hecho otro, la norma de referencia es la ISO/IEC 42001. Te ayuda a saber qué IA tienes, quién responde de cada sistema y cómo vigilarlo. Si es de alto riesgo, además, el artículo 26 del Reglamento de IA te pide usarla según sus instrucciones, con supervisión humana y guardando sus registros.
- Si construyes IA para tus productos, el Reglamento de IA te pide un sistema de gestión de la calidad (artículo 17), y la norma que lo desarrolla es la EN 18286. Si ya trabajas con ISO 13485 o con ISO/IEC 42001, parte del camino está hecho: qué cambia entre la 42001 y la EN 18286.
Evaluar
Evaluar es comprobar qué puede salir mal, a quién afecta y si los controles funcionan. Se hace con pruebas sobre el modelo y con la gestión de riesgos del artículo 9. Aquí tienes cómo identificar los riesgos de tu sistema.
Una evaluación sirve si dice qué versión se probó, con qué datos, qué salió y qué quedó sin probar. Sin eso, nadie puede repetirla ni fiarse de ella.
Probar
Probar es tener la evidencia de lo que se ha hecho, al día y lista para enseñar. En el Reglamento de IA son la documentación técnica del Anexo IV y los registros que el sistema guarda por sí mismo (artículo 12).
La documentación tiene que poder explicar cualquier decisión: quién la tomó, sobre qué versión y con qué datos. Si se escribe a mano al final, se queda vieja en cuanto cambia el modelo. Por eso conviene que salga del trabajo diario del equipo.
Un ejemplo
Este caso es inventado. Una empresa vende un programa que ordena las radiografías de tórax por urgencia.
- Gobernar. Decide que solo se usa con adultos, que un radiólogo revisa siempre el resultado y que cada versión nueva pasa por calidad antes de salir.
- Evaluar. Prueba la versión 2.3 con 5.000 radiografías de tres hospitales. Mide cuántos casos urgentes se le escapan, por edad y por sexo. Anota que no se ha probado con equipos portátiles.
- Probar. Guarda los resultados con la versión, la fecha y los datos usados.
Seis meses después, un hospital nuevo quiere usarlo con equipos portátiles. Como el límite estaba escrito, la empresa sabe que tiene que probar antes de decir que sí. Y cuando el organismo notificado pregunta por la versión 2.3, la respuesta ya está ahí.
Aseguramiento y seguro
Assurance y insurance se parecen, pero son cosas distintas. El aseguramiento da evidencia de cómo se comporta un sistema. El seguro cubre pérdidas económicas según una póliza. Una aseguradora puede pedirte esa evidencia, pero tenerla no te garantiza cobertura ni una prima más baja.
Qué hacemos en Venturalítica
Implantamos sistemas de gobernanza y aseguramiento de IA. Trabajamos el aseguramiento propio contigo, para que llegues al independiente con todo preparado. No certificamos: con un mismo cliente, o implantamos o auditamos. Así es nuestra propuesta de AI assurance.
