ISO/IEC 23894
Evaluación de Riesgos de IA

Una evaluación de riesgos ISO/IEC 23894 es una evaluación estructurada e independiente de cómo una organización identifica, analiza, evalúa y trata los riesgos asociados a sus sistemas de inteligencia artificial. ISO/IEC 23894 proporciona directrices específicas sobre gestión de riesgos en IA y complementa estándares de sistemas de gestión como ISO/IEC 42001 y marcos generales de gestión de riesgos como ISO 31000. La evaluación analiza riesgos técnicos, operativos, legales, éticos y organizativos a lo largo del ciclo de vida de la IA, incluyendo riesgos de datos, modelos, despliegue y efectos posteriores. El resultado es un perfil de riesgos documentado, un análisis de brechas en controles y un roadmap priorizado de mitigación alineado con principios internacionales de gestión de riesgos en IA.

Cualquier organización que desarrolle, despliegue o utilice sistemas de IA y necesite una evaluación formal de los riesgos asociados. Esto incluye empresas que operan en sectores regulados como servicios financieros, salud, seguros o infraestructura crítica, organizaciones que necesitan demostrar gobernanza de riesgos de IA ante reguladores, inversores o clientes, y empresas que están preparando la implementación de un sistema de gestión de IA bajo ISO/IEC 42001 y necesitan un diagnóstico de riesgos previo.

No. ISO/IEC 23894 es una norma de directrices, no de requisitos. No existe certificación ISO/IEC 23894 emitida por organismos de certificación. Su valor reside en proporcionar un marco estructurado y reconocido internacionalmente para evaluar y gestionar los riesgos de IA, cuyos resultados pueden alimentar directamente un sistema de gestión de IA certificable bajo ISO/IEC 42001.

ISO 31000 es la norma general de gestión de riesgos, aplicable a cualquier tipo de riesgo en cualquier sector. ISO/IEC 23894 aplica los principios de ISO 31000 específicamente al contexto de la inteligencia artificial, añadiendo directrices sobre riesgos propios de los sistemas de IA como sesgo algorítmico, falta de explicabilidad, fallos en la supervisión humana, calidad de datos de entrenamiento y efectos no previstos en el despliegue. Las organizaciones que ya utilizan ISO 31000 encontrarán en ISO/IEC 23894 una extensión natural para sus sistemas de IA.

El plazo estándar es de aproximadamente cuatro semanas, dependiendo del alcance, el número de sistemas de IA evaluados y la complejidad operativa de la organización. Organizaciones con múltiples sistemas de IA o con procesos de IA integrados en operaciones críticas pueden requerir un plazo mayor.

La evaluación requiere acceso a políticas internas de gobernanza de IA, inventario de sistemas de IA, documentación técnica de los modelos, registros de riesgos existentes, procedimientos de supervisión humana, mecanismos de monitorización post-despliegue, y cualquier evaluación de impacto o auditoría previa realizada sobre los sistemas de IA.

Un informe estructurado que incluye un perfil de riesgos completo de los sistemas de IA evaluados, un análisis de brechas entre los controles existentes y las directrices de ISO/IEC 23894, una matriz de priorización de riesgos clasificados por probabilidad e impacto, y un roadmap de mitigación con acciones correctivas priorizadas y plazos recomendados. El informe es un documento auditable que puede presentarse ante reguladores, inversores o equipos de compras.

ISO/IEC 23894 e ISO/IEC 42001 son complementarias. ISO/IEC 23894 proporciona las directrices para identificar y evaluar los riesgos de IA. ISO/IEC 42001 proporciona el marco de sistema de gestión para abordar esos riesgos de forma estructurada y certificable. Las organizaciones que realizan primero la evaluación de riesgos bajo ISO/IEC 23894 pueden utilizar los resultados como base para construir o fortalecer la dimensión de gestión de riesgos dentro de su sistema de gestión de IA bajo ISO/IEC 42001, facilitando una futura certificación. Zertia ofrece ambos servicios y puede diseñar un encargo integrado.

Los tres marcos abordan la gestión de riesgos de IA desde perspectivas complementarias. ISO/IEC 23894 proporciona directrices técnicas sobre identificación y tratamiento de riesgos de IA. El NIST AI RMF proporciona un marco operativo de gobernanza de riesgos. El Reglamento Europeo de IA establece obligaciones legales de gestión de riesgos para sistemas de alto riesgo. Una evaluación bajo ISO/IEC 23894 genera resultados que pueden mapearse directamente a los requisitos de ambos marcos, proporcionando una base técnica sólida tanto para la defensibilidad regulatoria como para la certificación.

Sí. El informe resultante proporciona evidencia documentada de una gestión estructurada de los riesgos de IA, alineada con un estándar internacional reconocido. Esto puede facilitar procesos de contratación con grandes empresas que exigen gobernanza de riesgos a sus proveedores, due diligence de inversores que evalúan la exposición al riesgo tecnológico, y licitaciones públicas en las que se valora la conformidad con marcos internacionales de gestión de riesgos.