Empieza por los usos reales de tu equipo
Antes de redactar una política, identifica cómo utiliza IA tu empresa. Incluye las soluciones que desarrolla, las funciones de IA de sus proveedores y las herramientas que emplean las personas para trabajar. Habla con ventas, operaciones, tecnología y recursos humanos: un contrato de software no cuenta toda la historia.
Registra cada caso con su finalidad, responsable, usuarios, proveedor y tipos de datos utilizados. Distingue una ayuda para redactar un correo de un sistema que influye en decisiones sobre personas. Este inventario permite acordar un alcance útil para el sistema de gestión.
Define quién puede decidir y cuándo debe intervenir
Un uso de IA necesita alguien que responda por su propósito y sus resultados. Define quién autoriza nuevas herramientas, quién evalúa los cambios y quién puede detener un uso. La supervisión humana debe tener una función concreta, información suficiente y autoridad para actuar.
Describe los límites de uso con ejemplos de tu operación. Qué datos pueden introducirse, qué resultados requieren revisión y qué situaciones deben escalarse. Los criterios tienen que estar al alcance del equipo en el lugar donde trabaja y revisarse cuando cambie el contexto.
Evalúa riesgos e impactos con evidencia
Analiza qué podría fallar y a quién afectaría. Considera errores, uso indebido de información, dependencia de proveedores y efectos sobre personas u organizaciones, según cada caso. No todos los usos requieren el mismo control: la evaluación debe orientar prioridades y decisiones.
Conserva la razón de cada decisión, el control acordado y su responsable. Para un servicio de terceros, solicita la información que necesitas para evaluar su uso y registra las limitaciones de lo recibido. Una aprobación sin evidencia pierde utilidad cuando llega una revisión.
Convierte el inventario en un sistema que puedas mantener
ISO/IEC 42001:2023 establece requisitos para un sistema de gestión de IA. Implementarlo supone conectar políticas, responsabilidades, evaluación de riesgos e impactos, seguimiento y mejora. El inventario es el comienzo; después necesitas comprobar que las prácticas acordadas se cumplen y siguen siendo adecuadas.
Puedes integrar estos registros en tus herramientas y compartir procesos con ISO 27001 e ISO 9001. Si buscas certificación, acuerda el alcance con tu equipo y el organismo independiente elegido. La certificación del sistema no sustituye las evaluaciones técnicas ni la revisión legal de cada uso.
Para llevar a tu próxima reunión
Tu lista de preparación.
- Reúne los casos de uso de IA de todas las áreas incluidas.
- Asigna un responsable a cada caso y a cada aprobación.
- Identifica datos, proveedores y personas que podrían verse afectadas.
- Registra riesgos, impactos, controles y decisiones con su evidencia.
- Define cómo revisar cambios, incidentes y resultados del sistema.
Esta guía es orientación general. El texto oficial de la norma y el alcance de tu empresa determinan los requisitos aplicables.
Consultar la referencia oficial en ISO
