¿Qué es la familia de normas ISO/IEC sobre IA?

Cómo funciona

Es una arquitectura de normas, no un código único

La expresión "familia de normas ISO/IEC sobre IA" es una forma abreviada de referirse a un conjunto interconectado de normas internacionales, no a un instrumento cerrado. El trabajo se desarrolla principalmente en ISO/IEC JTC 1/SC 42, el comité conjunto de ISO e IEC para la normalización de la IA. Esto es relevante porque estos documentos son instrumentos de organismos de normalización, no legislación, ni tratados, ni métodos de proveedores.

En otras palabras, la familia ofrece una arquitectura de gobernanza. Las organizaciones pueden utilizarla directamente, los compradores pueden incorporarla al aseguramiento de proveedores, y los reguladores pueden remitirse a partes de ella en orientaciones o marcos técnicos. Sin embargo, las propias normas siguen siendo voluntarias salvo que otro instrumento, como un contrato, una norma de contratación o una regulación, haga obligatorio su uso en un contexto específico.

La capa de terminología establece el lenguaje común

La familia comienza con conceptos y terminología comunes. ISO/IEC 22989 existe para establecer el vocabulario de la IA y describir los conceptos fundamentales del campo. Puede parecer básico, pero es una de las capas más importantes en la práctica. El trabajo de gobernanza se complica cuando "sistema de IA", "modelo", "autonomía", "sesgo", "riesgo" o "uso" significan cosas distintas para ingeniería, cumplimiento, compras y auditoría.

Un documento de apoyo relacionado, ISO/IEC 23053, ofrece un marco genérico para describir sistemas de IA que utilizan aprendizaje automático. Juntos, estos documentos ayudan a los equipos a describir con precisión qué es lo que se está gobernando. Proporcionan a las normas posteriores una base común y reducen la confusión en políticas, cuestionarios de diligencia debida, criterios de auditoría e informes internos.

La capa del sistema de gestión es el ancla organizativa

ISO/IEC 42001 es el miembro de la familia que ancla la gobernanza global de la IA en la organización. Es una norma de requisitos para un sistema de gestión de inteligencia artificial, o AIMS. Esto significa que indica a una organización que establezca las políticas, objetivos, funciones, procesos y mecanismos de revisión necesarios para gestionar la IA de forma responsable en toda la empresa.

Esta es una distinción crucial respecto a un benchmark de modelos o una prueba técnica. ISO/IEC 42001 actúa a nivel organizativo. Trata sobre liderazgo, responsabilidad, gestión de riesgos, gobernanza de datos, información de transparencia, seguimiento y mejora continua. Es el documento con más probabilidades de convertirse en la columna vertebral de los informes al consejo, el aseguramiento interno y la gobernanza de proveedores, porque pregunta si la organización cuenta con una estructura de gestión fiable para la IA, no solo si un modelo funcionó bien en un laboratorio.

La capa de riesgos e impacto añade profundidad operativa

ISO/IEC 23894 ofrece orientación sobre la gestión de riesgos relacionados con la IA. Su función es ayudar a las organizaciones que desarrollan, producen, despliegan o utilizan IA a integrar el trabajo de gestión de riesgos específicos de la IA en sus procesos de gobernanza y operativos existentes. No pretende sustituir la gestión de riesgos empresariales, sino añadir a ella el pensamiento específico sobre IA.

ISO/IEC 42005 ofrece orientación para la evaluación del impacto de los sistemas de IA. Su enfoque es diferente: pide a las organizaciones que examinen cómo un sistema de IA, y sus aplicaciones previsibles, pueden afectar a personas, grupos o a la sociedad. En la práctica, esto significa que la evaluación del impacto es el miembro de la familia más claramente orientado a documentar los efectos humanos, sociales y societales más amplios de un sistema concreto a lo largo del tiempo.

Estas dos normas son complementarias, no intercambiables. La gestión de riesgos pregunta qué peligros, fallos, incertidumbres o debilidades de control deben gestionarse. La evaluación del impacto pregunta quién puede verse afectado, de qué manera, en qué condiciones y qué seguimiento de gobernanza es necesario. Una buena gobernanza de la IA suele necesitar ambas perspectivas.

La capa de conformidad convierte la gobernanza en aseguramiento

Las propias reglas de redacción de ISO son relevantes aquí. Los documentos que contienen requisitos pueden utilizarse para la evaluación de la conformidad. Los documentos que son solo orientación no están concebidos para ese uso. Por eso ISO/IEC 42001 ocupa una posición diferente a la de ISO/IEC 23894 e ISO/IEC 42005. Estas dos últimas son normas de apoyo importantes, pero no son el principal referente contra el que una organización busca certificarse.

ISO/IEC 42006 se sitúa sobre ISO/IEC 42001 y establece los requisitos adicionales para los organismos que auditan y certifican sistemas de gestión de IA. Se basa en ISO/IEC 17021-1 y también es relevante para los organismos de acreditación que evalúan a esos certificadores. Este es el inicio de una infraestructura de conformidad reconocible para los sistemas de gestión de IA: una organización implementa un AIMS, un organismo de certificación externo lo audita, y un organismo de acreditación puede evaluar si ese certificador es competente para hacerlo.

Esto tampoco crea un sello de aprobación público universal para cada producto de IA. Crea una forma estructurada de evaluar el sistema de gestión de IA de una organización. ISO/IEC 42006 también señala una dirección de avance más amplia, ya que puede integrarse en esquemas de evaluación de la conformidad más amplios para productos, procesos o servicios de IA; sin embargo, la arquitectura de aseguramiento publicada por la familia es más sólida a nivel del sistema de gestión.

La familia apoya la regulación sin sustituir a la ley

El estatus jurídico es claro. ISO declara que sus normas internacionales son voluntarias y no desplazan al derecho nacional. La ley nacional tiene precedencia. Por tanto, la familia de normas ISO/IEC sobre IA no crea obligaciones legales por sí misma, y no existe una única autoridad de aplicación global para ella.

Su valor regulatorio es diferente. La familia ofrece a las organizaciones una forma disciplinada de generar evidencia: términos definidos, políticas de gobernanza, asignación de funciones, registros de riesgos, registros de evaluación del impacto, auditorías internas, revisiones de gestión y, si se opta por ello, certificados de terceros. Esa evidencia puede respaldar la contratación, las revisiones de proveedores, las conversaciones con supervisores y la rendición de cuentas interna. Sin embargo, nada de esto debe confundirse con el cumplimiento legal automático. Las normas nacionales sobre IA, privacidad, sector y consumo siguen debiendo identificarse y cumplirse en sus propios términos.