Explorando la Gobernanza y Aseguramiento de la IA: ventajas de la Certificación del Sistema de Gestión de IA ISO/IEC 42001

Este documento técnico describe la necesidad y el modo en que su organización puede desarrollar, gobernar y cumplir continuamente los requisitos internos y externos para avanzar con éxito en la implantación de la IA en procesos, productos y servicios.

La inteligencia artificial (IA) está transformando el mundo y creando nuevas oportunidades y desafíos para las empresas y la sociedad en general. Con la llegada de la IA generativa como ChatGPT y Copilot, los experimentos y el primer uso de IA en las organizaciones han explotado. Las implementaciones exitosas demuestran que la IA puede impulsar la eficiencia, la calidad, la innovación y la satisfacción del cliente. Sin embargo, toda nueva tecnología trae consigo riesgos. La IA está llena de posibles desafíos e incertidumbres que deben ser gestionados y mitigados para un desarrollo, aplicación y uso seguros, fiables y éticos. 

Aquí es donde el rol de un Sistema de Gestión de IA (AIMS, por sus siglas en inglés) basado en la norma ISO/IEC 42001 se vuelve esencial para que las organizaciones gestionen su recorrido con la IA. Un enfoque estructurado te obliga a "pensar antes de actuar" y evaluar continuamente el rendimiento y los resultados. Esta norma fundamental sobre la gestión de IA, el enfoque de gestión de riesgos y la certificación por una tercera parte ya se reconoce como un pilar central para guiar el desarrollo y proporcionar soluciones de IA fiables. 

La necesidad del uso seguro y responsable de la IA

La necesidad de una IA confiable está impulsada por el aumento de la experimentación y la adopción de sus numerosas aplicaciones, la creciente conciencia y expectativas de los grupos de interés, y el panorama ético y normativo en evolución. En consecuencia, los beneficios de la IA no pueden ser realizados por las organizaciones a menos que se cierre la brecha de confianza entre los desarrolladores y los usuarios de la IA. 

Esta brecha de confianza se refiere a la posible falta de confianza y transparencia en los productos y/o servicios habilitados por IA de tu organización. Por ejemplo, cuando no está claro para los usuarios cómo los sistemas de IA toman decisiones, esto genera incertidumbre y escepticismo en torno a la seguridad, las consideraciones éticas, la protección de la privacidad de los datos y la credibilidad general. En términos simples, nuestra confianza en una tecnología se basa en nuestra capacidad para comprender completamente sus usos y obtener la certeza de que es segura y confiable. 

Cerrar esta brecha de confianza es esencial para comercializar y escalar productos y servicios de IA. Esto requiere que asegures una implementación segura, responsable, fiable y ética de la IA. Además, la garantía de ello debe proporcionarse tanto a los grupos de interés internos, como tus empleados y la alta dirección, como a los externos, como los clientes y los accionistas. 

Lograr y demostrar la confiabilidad de tus soluciones requiere un enfoque sistemático que cubra todo el ciclo de vida de la IA, desde el análisis de los grupos de interés, la implementación de guías éticas, la priorización de casos de uso y la identificación de riesgos, hasta la implementación de controles relevantes. Al profundizar en la brecha de confianza, se pueden identificar necesidades y expectativas claras. Por ejemplo, tu organización debería: 

• Identificar y priorizar las áreas y aplicaciones donde la IA puede agregar valor y crear impacto, y comprender los beneficios y riesgos.

• Establecer y mantener una cultura de confianza, transparencia y responsabilidad dentro de las organizaciones.

• Evaluar y medir el rendimiento y la calidad de los sistemas de IA, y asegurar la alineación con los principios de fiabilidad, la legislación existente o futura y los requisitos de los clientes.

• Organizar roles y responsabilidades dentro de las organizaciones, lo cual es especialmente crítico en un dominio tecnológico que sigue evolucionando y desarrollándose.

• Adoptar e implementar procesos basados en las mejores prácticas estándar (p. ej., ISO/IEC 42001) para el desarrollo, la implementación y la gobernanza de la IA.

• Comunicar la fiabilidad de los sistemas de IA a los grupos de interés, proporcionando evidencia y garantía de cumplimiento con las mejores prácticas, leyes y regulaciones. 

Aunque no es exhaustivo, esto es un resumen de las principales necesidades y expectativas. La norma del Sistema de Gestión de Inteligencia Artificial ISO/IEC 42001 está diseñada para proporcionar orientación y estructura para navegar eficazmente sobre estos desafíos. 

El rol de la estandarización en la gobernanza de la IA

Toda nueva tecnología conlleva riesgos. El paisaje en constante cambio de la IA, junto con el enorme potencial de sus aplicaciones en diversas industrias, aumenta aún más estos riesgos. Predecir todos los resultados en la fase de diseño es imposible. 

Es en este contexto que las normas de sistemas de gestión como ISO/IEC 42001 se vuelven especialmente importantes. Siempre que hay una necesidad de confianza pública, la estandarización y la certificación juegan un papel fundamental. Junto con las consideraciones legales, regulatorias y éticas, la estandarización proporciona un vehículo para habilitar la escalabilidad, integrar la seguridad y guiar a las organizaciones en el territorio desconocido que actualmente es la IA. 

Los estándares establecen terminología esencial, promueven normas lideradas por la industria y capturan las mejores prácticas para la evaluación y mejora. Al traer claridad y responsabilidad, los estándares que se enfocan en la gestión de IA ayudarán enormemente a la aceptación social. Ofrecen una base para el cumplimiento regulatorio y la adopción industrial, y aceleran la capacidad de aprovechar el potencial global de la IA de manera segura, responsable y ética, asegurando la transparencia, la confianza y la seguridad necesarias entre los usuarios y otras partes interesadas. 

El rol de los Sistemas de Gestión de IA 

Los estándares de sistemas de gestión y la certificación pueden actuar como una base sólida para que las organizaciones construyan su gobernanza en torno a la IA. El estándar internacional para sistemas de gestión de IA ISO/IEC 42001 proporciona orientación y requisitos para las organizaciones que desarrollan, implementan o utilizan sistemas de IA. 

Esta norma tan esperada fue publicada a finales de 2023 y es aplicable e idónea para su uso en todas las industrias y por organizaciones de cualquier tipo y tamaño que estén involucradas en el desarrollo, la provisión o el uso de productos y/o servicios que utilicen sistemas de IA. Al ser una norma ISO, es compatible y complementaria con otras normas clásicas de sistemas de gestión ISO, como ISO 9001 (calidad) e ISO/IEC 27001 (seguridad de la información). La norma ISO/IEC 42001 logra un equilibrio entre fomentar la innovación en IA e implementar una gobernanza efectiva. 

Esto significa que se puede aprovechar y construir sobre cualquier sistema de gestión existente y la gobernanza general de procesos. Asegura un enfoque integral para hacer que la IA sea una parte integral de los productos, servicios o incluso aplicaciones internas. 

En el esquema siguiente situamos la norma ISO/IEC 42001 como herramienta de gobernanza de procesos en la ‘pyramid of assurance’. En los cimientos de la pirámide se encuentra la infraestructura básica de la organización. Todo lo que debe estar en su sitio para que la organización funcione. Para gobernar y mejorar, muchas organizaciones optan por implantar sistemas de gestión conformes con las normas de calidad (ISO 9001), seguridad de la información (ISO/IEC 27001) o cualquier otra norma de sistemas de gestión. La certificación es entonces el medio para demostrar el cumplimiento a las distintas partes interesadas.

Dado que la norma ISO/IEC 42001 sigue una estructura similar a las demás normas ISO sobre sistemas de gestión, facilita la integración de su sistema de gestión con los requisitos del sistema de gestión de la IA. De este modo, la gobernanza de sus procesos constituye la base para diseñar, construir y utilizar sistemas de IA fiables.

Los principales objetivos de ISO/IEC 42001 son: 

• Proporcionar un marco y una metodología para establecer, implementar, mantener y mejorar un sistema de gestión de IA que cubra todo el ciclo de vida de la IA, adoptando un enfoque basado en riesgos.

• Permitir la demostración y comunicación de la fiabilidad de los sistemas y procesos de IA de una organización.

• Facilitar el cumplimiento regulatorio y legal, que será cada vez más crítico con el aumento de regulaciones nacionales e internacionales, como la Ley de IA de la UE que está en vigor desde agosto de 2024.

• Facilitar la interoperabilidad y la integración de los sistemas y procesos de IA.

• Promover la colaboración y la coordinación entre los grupos de interés.

• Apoyar la innovación y la mejora de los sistemas y procesos de IA.

• Fomentar la adopción y la difusión de las mejores prácticas y estándares en la gestión de IA. 

Se espera que la relación entre ISO/IEC 42001 y las leyes y regulaciones sobre IA sea sinérgica y recíprocamente beneficiosa. Mientras que la Ley de IA de la UE tiene un enfoque marcado en los productos, adoptar un Sistema de Gestión de IA proporciona una base sobre la cual construir y entregar sistemas de IA confiables, consistentes y predecibles. Los controles de la norma están alineados con lo que las regulaciones requieren para cumplir con ellas. 

En última instancia, un sistema de gestión bien implementado y conforme a todas las normas relevantes asegurará la integridad, la privacidad y el uso ético de los datos, al tiempo que será lo suficientemente adaptable como para integrar los requisitos cambiantes derivados de los clientes, los avances tecnológicos, las instancias legales y regulatorias, entre otros. 

El camino a seguir

Para iniciar el proceso de adopción de un sistema de gestión certificado según ISO/IEC 42001, puedes utilizar el artículo de DNV sobre los “8 pasos para la certificación del sistema de gestión ISO/IEC 42001” y la herramienta de autoevaluación que lo acompaña como guía. El proceso comienza con una revisión de la alta dirección para identificar las principales razones para adoptar un sistema de gestión de IA (AIMS). Después de esto, las organizaciones deben obtener la norma ISO/IEC 42001 y establecer una dirección estratégica que coincida con los objetivos identificados. 

Los pasos siguientes incluyen la planificación y asignación de recursos, la comprensión y el mapeo de los procesos clave, y la identificación de las necesidades de formación para el personal. Preparar, desarrollar e implementar los procesos y procedimientos aplicables son pasos típicos, y es importante aplicar auditorías internas y revisiones de la gestión para verificar la efectividad del sistema a lo largo del camino. Utilizar la herramienta de autoevaluación de DNV ayudará a identificar brechas con respecto a los requisitos de la norma y permitirá un enfoque centrado en cumplir con los requisitos de ISO/IEC 42001. 

¿Por qué elegir a DNV? 

Como organismo de certificación líder a nivel mundial, DNV es el socio elegido por 80.000 empresas en todo el mundo para sus necesidades de certificación de sistemas de gestión y formación. Tenemos competencias únicas, conocimiento de la industria y capacidades relevantes para la IA y otros sistemas de gestión. Al elegir a DNV, obtienes: 

• Un colaborador global en seguridad de la información y aseguramiento de la privacidad: Tenemos un historial sólido en certificación y formación en seguridad de la información y privacidad, lo cual es crucial para integrar en la gestión de tu IA.

• Risk Based Certification™: Empleamos un enfoque proactivo basado en riesgos para la certificación, lo que significa que podemos ayudar a las organizaciones a identificar posibles riesgos en sus sistemas de IA desde el principio para garantizar que se aborden antes de convertirse en un problema.

• Lumina™: Esta es nuestra herramienta de análisis inteligente de datos que proporciona información y análisis más profundos sobre el sistema de gestión, desde los fallos y correcciones más comunes hasta una visión completa de todas las instalaciones de la empresa y comparaciones con los pares.

• Gestión de formación: Soluciones digitales para ayudar a tu empresa a gestionar y garantizar el desarrollo de la conciencia y competencia de los empleados en toda la organización de manera coherente.

• Auditores competentes que adoptan un enfoque pragmático, escuchan las necesidades del cliente y se aseguran de que el cumplimiento con la norma sea evaluado.

• Procesos de gestión del cliente estructurados para ofrecer una experiencia superior. 

DNV se compromete a proporcionar servicios de aseguramiento de IA confiables y que aporten valor. Basándonos en nuestra independencia, rol de tercera parte y el principio de no comprometer la calidad ni la integridad, colaboramos con los clientes para ayudarlos a navegar por las complejidades de la IA y los desafíos relacionados con confianza, asegurando la gobernanza necesaria para proporcionar sistemas de IA que sean fiables y seguros.