Guía del Anexo D
Anexo D: integrar el SGIA en los sistemas de gestión
¿Cómo compartir procesos y conservar las comprobaciones propias de IA?
Relacionarás el uso de IA con seguridad, privacidad, calidad y servicios TI. Prepararás una matriz de integración con evidencia, responsables y próximos pasos para el chatbot, el clasificador y el copiloto.
Tiempo orientativo de lectura y práctica: 4-6 horas. No incluye audios ni una implantación real.
Método y lectura del Anexo D
Qué aporta el Anexo D
La empresa ya tiene formas de comprar herramientas, autorizar cambios, proteger información y atender incidentes. Al incorporar IA, esas prácticas pueden servir como punto de partida. La cuestión es comprobar si abarcan el nuevo uso, quién toma las decisiones y qué pruebas faltan. Integrar el SGIA permite organizar esa comprobación dentro de la gestión de la organización.
El Anexo D de ISO/IEC 42001:2023 es informativo. Su apartado D.1 trata la aplicación en diferentes dominios o sectores. D.2 aborda la integración del sistema de gestión de IA con otros sistemas de gestión. Esta guía desarrolla esas ideas con explicaciones, preguntas y ejemplos originales para servicios TI. No reproduce la norma ni convierte sus ejemplos en requisitos universales.
Un sistema de gestión reúne políticas, objetivos, responsabilidades y procesos. Un sistema de IA es una solución que realiza tareas mediante tecnología de IA. Podemos compartir la gestión documental de varios sistemas de gestión, mientras cada uso de IA conserva su finalidad, sus límites y las comprobaciones que necesita.
Seguridad, privacidad, calidad y gestión de servicios aportan perspectivas complementarias. Un servicio puede estar disponible y permitir solo accesos autorizados, y aun así responder con información incorrecta o infrapriorizar una incidencia crítica. También puede acertar una respuesta mientras trata información de una forma no autorizada. Hay que comprobar las condiciones pertinentes por separado y relacionar sus resultados.
Trabajaremos con Tech Server IIT Spain, empresa ficticia del curso, y con su chatbot, clasificador y copiloto. No se presupone que la empresa esté certificada en ninguna norma. Cuando el ejercicio menciona un procedimiento corporativo existente, propone un punto de partida que debe confirmarse. La experiencia personal del alumno en ISO 27001 tampoco acredita el alcance ni la eficacia de un sistema de la empresa.
El resultado será una matriz de integración: proceso que se puede compartir, necesidad específica de IA, evidencia a contrastar, responsable y próxima comprobación. El Excel acompaña esa matriz y ofrece un ejemplo. Las actividades permiten preparar el expediente para los módulos de auditoría, revisión por la dirección e integración final.
El módulo 11 ya permite trabajar esta conexión: el plan e informe AUD-001 y el cuaderno AUD-002 ayudan a seleccionar muestras y relacionar criterio, evidencia y hallazgo. La matriz de integración localiza esos registros y sus responsables. La revisión por la dirección y la integración final se desarrollarán en los módulos 12 y 13.
Cómo leer D.1 y D.2
D.1 invita a situar la aplicación de IA en un contexto real. Identifica el sector y el servicio, pero también la tarea, el rol de la organización, los destinatarios y las consecuencias posibles. Un proveedor de soporte TI puede atender a organizaciones de sectores diferentes; no se le atribuyen automáticamente todos los roles o requisitos del cliente.
Si el clasificador ordena incidencias de infraestructura de un cliente sanitario, su finalidad sigue siendo la que figure en el inventario. Debemos investigar qué servicios dependen de esa infraestructura y qué puede causar una prioridad incorrecta. El ejemplo no transforma por sí solo al clasificador en una herramienta de diagnóstico ni resuelve su clasificación jurídica.
D.2 permite estudiar procesos que ya utiliza la organización: contexto, políticas, roles, planificación, competencia, documentos, operación, seguimiento, auditoría y mejora. Compartir una reunión o un procedimiento puede ser eficiente. Su eficacia depende de que estén incluidos los criterios, competencias, datos y decisiones pertinentes para IA.
La comparación con ISO/IEC 27001, ISO/IEC 27701 e ISO 9001 sigue las perspectivas de seguridad, privacidad y calidad. Añadimos ISO/IEC 20000-1 como aplicación docente al contexto de servicios TI. Las fichas de esta guía comparan temas y procesos; no ofrecen una tabla de equivalencia automática entre cláusulas ni una declaración de conformidad.
Las referencias DOM-D e INT-D identifican fichas del curso. No son controles ni apartados nuevos de la norma. Una etiqueta como INT-D-08 ayuda a relacionar una actividad con una fila del Excel y una acción pendiente. Las referencias normativas reales se conservan en su contexto y se verifican en la edición aplicable.
Un método de integración en seis pasos
Primero delimita el uso. Recupera su propósito, responsables, datos, dependencias y límites del inventario. Confirma si la organización desarrolla, integra o utiliza una solución de un tercero. Anota los cambios de rol cuando el servicio se amplíe. No basta con escribir el nombre comercial de la herramienta.
Segundo, localiza el proceso existente que podría cubrir la necesidad. Pide su alcance y versión, los criterios que utiliza y un ejemplo de funcionamiento. Un archivo denominado política o procedimiento no demuestra por su título que incluya IA. Distingue el documento recibido de una hipótesis sobre cómo se utiliza.
Tercero, formula la necesidad propia del uso de IA. Puede ser evaluar impactos sobre personas, comprobar una derivación humana, mantener la versión del modelo en una prueba o establecer un criterio para detectar errores críticos. Relaciónala con los riesgos, objetivos y controles seleccionados, evitando añadir un documento por costumbre.
Cuarto, contrasta cobertura con evidencia. Examina si el proceso común incorpora esa necesidad y si hay resultados observables dentro del alcance. Decide si puedes reutilizarlo, ampliarlo o mantener un procedimiento especializado conectado. Una ampliación pequeña y verificable suele ser más útil que un segundo manual que repite el primero.
Quinto, asigna la comprobación y la autoridad. El dueño del proceso común puede coordinar el trabajo, pero necesita la participación del propietario del uso, el supervisor y las funciones de seguridad, privacidad o calidad que correspondan. Una propuesta de integración sigue siendo una propuesta hasta que la decisión pertinente quede documentada.
Sexto, conserva la relación entre uso, riesgo, medida, prueba y decisión. La matriz indica dónde está cada elemento; no necesita copiar todos los datos del incidente ni toda la documentación personal. Actualízala cuando cambien alcance, proveedor, datos, permisos o criterios. En una auditoría, otra persona debe poder reconstruir el recorrido.
Ediciones, alcance y criterios de lectura
Esta guía toma ISO/IEC 42001:2023 como referencia del SGIA. Las otras normas tienen sus propias ediciones, alcances y cambios. Las fichas públicas consultadas el 14 de octubre de 2026 muestran ISO/IEC 27701:2025 e ISO 9001:2026. Registra la edición que aplica realmente a la organización y contrasta sus documentos autorizados.
La orientación del Anexo D publicado en 2023 debe distinguirse de las ediciones posteriores de otras normas. No traslades números de cláusula de una edición a otra sin contrastarlos. Para una organización en transición, identifica qué documentos siguen vigentes, qué cambios se están evaluando y quién decide su actualización. La guía no fija plazos de transición de certificación.
La estructura armonizada facilita reconocer temas comunes. Eso no significa que todas las normas tengan idénticos requisitos, que una prueba valga para cualquier finalidad o que una certificación cubra automáticamente los usos de IA. El alcance del certificado y del sistema de gestión, cuando existan, debe examinarse con evidencia.
Lee las fichas en orden y responde antes de abrir su orientación. Cada respuesta explica qué hacer, por qué, cómo, cuándo, dónde y con qué. Puedes adaptar la actividad a tu organización sin compartir información confidencial. Si no tienes un dato, describe la comprobación que permitiría obtenerlo en lugar de inventarlo.
D.1: contexto, roles y sectores
D.1 aplicado a un servicio TI
Empieza por el servicio que la organización presta y por el uso concreto de IA dentro de él. Identifica qué recibe el sistema, qué propone o ejecuta, quién utiliza la salida y qué otros componentes intervienen. La tarea puede ser atender una consulta, clasificar una incidencia o preparar una propuesta técnica. El contexto no se obtiene solo del nombre de la herramienta.
Examina el papel de proveedores, integradores y usuarios. La documentación comercial del proveedor puede describir el producto, mientras la organización necesita comprobar su integración y su operación en un alcance determinado. La matriz registra quién puede aportar cada evidencia y quién decide sobre su uso. Mantén visibles responsabilidades y límites entre las partes.
Una integración de gestión puede abarcar varios usos, pero las pruebas siguen teniendo alcances propios. El registro de cambios puede ser compartido por el chatbot y el clasificador. Los criterios de respuesta al cliente, detección de críticos y recuperación son diferentes. El procedimiento común debe permitir registrar esas diferencias.
Sectores y consecuencias: un cambio de cliente
Supón, como ejercicio adicional, que el clasificador del servicio TI comienza a recibir incidencias de infraestructura de un cliente sanitario. No se afirma que esa ampliación exista en el caso original. Antes de reutilizar la prueba anterior, identifica sistemas atendidos, urgencia, personas afectadas y vías de escalado. Investiga si el retraso en soporte podría afectar un servicio del cliente y qué evidencia permite valorarlo.
Con un cliente financiero, pregunta qué proceso utiliza la prioridad propuesta y qué acciones se ejecutan después. Una clasificación de soporte no equivale automáticamente a una decisión de crédito. Si la organización plantea otro uso que afecte al acceso de una persona a un servicio, el inventario y la evaluación deben reflejar esa finalidad nueva.
En una función de empleo, la comparación de currículos o la asignación de oportunidades requiere examinar finalidad, afectados y posibilidad de revisión. No extrapoles a ese uso el expediente de un copiloto que solo prepara borradores técnicos. La similitud de interfaz o de proveedor no demuestra cobertura.
El aprendizaje común es delimitar la cadena de efectos y las obligaciones pertinentes con competencia adecuada. El sector orienta preguntas, no sustituye el análisis de rol, finalidad y contexto. Esta guía no determina clasificaciones regulatorias ni plazos de notificación a partir de etiquetas sectoriales.
Una evidencia reutilizable necesita alcance
Para reutilizar una evidencia, identifica quién la produjo, qué se comprobó, con qué versión y condiciones, qué resultado se obtuvo y qué límite conserva. Después formula la nueva pregunta. Si los elementos pertinentes coinciden, la evidencia puede aportar parte de la respuesta. Si cambiaron, concreta qué extensión o nueva prueba se necesita.
Por ejemplo, una prueba de acceso al repositorio puede servir a seguridad y a la revisión del flujo de datos de IA. No demuestra por sí sola que la recuperación del chatbot respete permisos en cada respuesta. Hace falta observar la ruta de recuperación y la salida con identidades adecuadas. La prueba compartida y la nueva se relacionan sin atribuir a la primera lo que no observó.
Un informe de ensayo de clasificación puede aportar al proceso de calidad y al SGIA si conserva la referencia y los criterios. No hace falta duplicarlo entero en ambos repositorios. Sí hace falta que los responsables puedan localizarlo y comprender cuál de sus resultados es relevante. La matriz guarda esa relación y el acceso autorizado.
Perspectivas de integración
Las fichas son desarrollo docente. Selecciona lo pertinente al uso, conservando alcance, criterios, evidencia y pendientes.
DOM-D-01 · Seguridad de la información y SGIA
Qué pregunta abre: ¿Qué puede aprovechar el SGIA de la gestión de seguridad y qué necesita comprobar de forma específica? La seguridad permite examinar accesos, integridad, disponibilidad, proveedores y respuesta ante incidentes. Son aportes relevantes para cualquier componente que procese información.
Qué se puede compartir: Pueden compartirse el inventario de activos relacionado, la gestión de identidades, el análisis de proveedores, la administración de cambios y los canales de escalado. Comprueba qué servicios y modalidades cubren sus documentos. Un control que protege una aplicación interna puede necesitar adaptación cuando se añaden una API externa, agentes o fuentes recuperadas.
Qué necesita la IA: Añade las consecuencias de las salidas de IA, la supervisión real, los límites de tarea y las pruebas de comportamiento. Un mecanismo de autenticación puede impedir una lectura no autorizada y seguir sin detectar una recomendación equivocada. El análisis integrado conserva ambos objetivos y sus pruebas.
En Tech Server IIT Spain: En el chatbot USO-003, revisa las fuentes y permisos con FD-001 y SUP-001. Si se propone conectar documentación interna, contrasta quién podría recuperarla y qué fragmentos aparecen en la respuesta. La prueba debe usar identidades y consultas de ensayo adecuadas; el ejercicio no acredita accesos de producción.
Cómo contrastarlo: Busca configuración de permisos, prueba de segregación, flujo de datos, versión de fuentes, salida observada y reacción del canal humano. Relaciona cada resultado con el alcance ensayado. El reporte de vulnerabilidades y las pruebas de respuestas pueden formar parte del mismo expediente, conservando sus finalidades.
Un ejemplo cotidiano: Una puerta cerrada protege una oficina; no comprueba que los consejos dados dentro sean correctos. La organización necesita atender ambas cuestiones.
El chatbot ya usa autenticación corporativa. ¿Qué revisarías antes de conectarlo a una carpeta de contratos?
Orientación para revisar tu respuesta
Qué: Comprobaría si el acceso a la carpeta y la información devuelta respetan la identidad, la tarea y los destinatarios del chatbot. La autenticación es una pieza, no la conclusión sobre la nueva fuente.
Por qué: La recuperación puede incorporar fragmentos que el usuario no debería ver o producir una respuesta inadecuada con documentos legítimos. Una ampliación de fuentes modifica las condiciones que sostienen el uso.
Cómo: Describiría el flujo en FD-001, identificaría permisos efectivos y diseñaría consultas permitidas y no permitidas con datos de ensayo. Registraría qué documento se recupera, qué parte sale al usuario y cómo se deriva una consulta fuera del alcance. Mantendría separados el resultado observado y la aprobación pendiente.
Cuándo: Antes de habilitar la carpeta, y al cambiar permisos, recuperación, fuentes o destinatarios. Un resultado anterior solo se reutiliza si cubre las condiciones actuales.
Dónde: En el expediente del chatbot USO-003, conectado con la gestión de accesos, FD-001, SUP-001 y el cambio que corresponda.
Con qué: Con matriz de permisos, cuentas de prueba, documentos ficticios o autorizados, registros mínimos y criterios previos. Pediría al responsable del uso y a seguridad que revisen resultados y pendientes antes de la decisión.
DOM-D-02 · Privacidad e información de las personas
Qué pregunta abre: ¿Qué tratamiento de información personal acompaña al uso de IA? La gestión de privacidad ayuda a examinar finalidades, roles, destinatarios, condiciones de tratamiento y atención a las personas. La protección técnica es necesaria en muchos contextos, pero no resuelve por sí sola si un tratamiento está justificado.
Qué se puede compartir: Pueden compartirse el registro del tratamiento pertinente, la revisión de contratos, las consultas sobre derechos, las reglas de conservación y el canal especializado para valorar obligaciones. El detalle necesario depende del flujo y del papel de la organización. No se pide información personal nueva solo para completar una plantilla.
Qué necesita la IA: Investiga entradas, archivos adjuntos, recuperación, salidas, registros, ubicaciones y condiciones del proveedor. Comprueba si los datos pueden usarse para entrenamiento, si la garantía cubre el plan contratado y cómo se verifica la configuración aplicable. La evaluación de impactos de IA puede contener cuestiones adicionales a la privacidad.
En Tech Server IIT Spain: En el copiloto, el ID y la modalidad siguen pendientes de inventario. Una licencia individual y una API contratada por la organización pueden tener condiciones distintas. Antes de usar datos de un cliente, completa la solicitud interna y la evaluación correspondiente; no atribuyas al proveedor garantías de una modalidad diferente.
Cómo contrastarlo: Contrasta una cláusula o configuración aplicable con la finalidad autorizada, el flujo y la práctica real. Conserva evidencia de versión y alcance. Una respuesta del cuestionario del proveedor es una declaración que debe valorarse; no convierte el uso en autorizado ni demuestra todas las obligaciones legales.
Un ejemplo cotidiano: Guardar bajo llave una agenda no explica por qué se recopilaron todos sus teléfonos ni con quién se compartieron.
Un equipo quiere enviar actas con nombres de clientes al copiloto. Dice que el proveedor cifra los datos. ¿Cómo orientarías la revisión?
Orientación para revisar tu respuesta
Qué: Revisaría la finalidad y los datos necesarios, la modalidad contratada y las condiciones efectivas de tratamiento. El cifrado no sustituye esa identificación.
Por qué: Las actas pueden contener información ajena a la tarea, y la transmisión puede tener condiciones distintas a las previstas. Debemos decidir con evidencia sobre el uso concreto, no con una afirmación general de seguridad.
Cómo: Empezaría por SOL-PROV-001. Pediría el propósito, los destinatarios de la salida y la modalidad. Revisaría si una versión minimizada o un entorno autorizado cubre la necesidad. Con PROV-001 contrastaría destinatarios, ubicación, conservación y condiciones de uso de datos, y canalizaría la revisión de privacidad pertinente.
Cuándo: Antes de introducir las actas, y cuando cambien el plan, el proveedor, la ubicación, la finalidad o el tipo de información.
Dónde: En el expediente del uso del copiloto, conectado con el inventario, el flujo de datos y la función de privacidad que corresponda. El identificador del uso sigue pendiente hasta confirmarlo.
Con qué: Con una muestra ficticia, mapa de datos, contrato y configuración de la modalidad, requisitos aplicables y un revisor competente. Conservaría las dudas y quién debe comprobarlas; no declararía un tratamiento lícito solo por el cifrado.
DOM-D-03 · Calidad y resultados del servicio
Qué pregunta abre: ¿El resultado cumple los requisitos pertinentes del servicio y de sus usuarios? La gestión de calidad aporta definición de procesos, revisión de resultados, tratamiento de reclamaciones y mejora. La satisfacción y el tiempo de respuesta ayudan a observar el servicio, pero hay que precisar qué representan.
Qué se puede compartir: Pueden compartirse la definición de requisitos del cliente, las pruebas de aceptación, el seguimiento de reclamaciones y el tratamiento de no conformidades. Añade los criterios que necesite cada salida de IA y la forma de revisar resultados fuera del promedio. No supongas que una encuesta representa a quienes no lograron usar el canal.
Qué necesita la IA: Las salidas pueden variar según la entrada y las condiciones de uso. Selecciona muestras, referencia, errores relevantes y mecanismos de revisión. Un indicador global favorable debe acompañarse de sus límites, denominadores y consecuencias. La calidad del documento de evaluación tampoco equivale a calidad observada de la solución.
En Tech Server IIT Spain: En los cien tickets sintéticos, v2 tiene 94 aciertos globales y detecta siete de diez críticos. La mejora global no satisface el criterio didáctico previo de sensibilidad mínima del 90 %. Se mantiene la no aprobación de v2 en el ejercicio sin atribuir una causa que los resultados no demuestran.
Cómo contrastarlo: Conserva la definición de etiquetas, referencia, población, pruebas y criterios previos. Examina qué error afecta a un servicio crítico y qué correcciones humanas se necesitarían. Si se evalúan grupos de usuarios, documenta pertinencia y tamaño de muestra antes de concluir sobre equidad.
Un ejemplo cotidiano: Una nota media alta de un taller no permite saber si el freno del vehículo concreto funciona. La decisión necesita la prueba pertinente.
El equipo propone aprobar v2 porque el acierto global sube del 90 % al 94 %. ¿Qué resultado debe revisar la aceptación?
Orientación para revisar tu respuesta
Qué: Debe revisar también la detección de incidencias críticas y el criterio previo que se había establecido para la prueba. v2 detecta siete de diez, un 70 % de sensibilidad.
Por qué: El promedio agrega situaciones diferentes. En el ejercicio, dejar pasar tres críticos tiene un significado que el acierto global no recoge. El mínimo didáctico del 90 % se fijó antes de observar los resultados.
Cómo: Compararía ambas versiones sobre la misma referencia sintética: v1 detecta nueve críticos y v2 siete. Registraría acierto global, sensibilidad y falsos negativos, investigaría los errores y mantendría la decisión de no aprobar v2 en este ejercicio. No cambiaría el criterio para acomodar el resultado.
Cuándo: Antes de autorizar el cambio y cuando nuevas condiciones exijan revisar la validez de las pruebas. No se presenta v2 como versión desplegada.
Dónde: En CAM-001 del clasificador SYS-003 / USO-004, relacionado con MON-001, R-001 e IMP-001 según sus finalidades.
Con qué: Con los cien tickets sintéticos, sus diez críticos de referencia, los criterios previos y resultados trazables. Los noventa restantes son no críticos, no necesariamente todos normales. No calcularía precisión positiva ni una matriz binaria completa con datos ausentes.
DOM-D-04 · Gestión de servicios TI
Qué pregunta abre: ¿Cómo encaja el uso de IA en la prestación del servicio, las responsabilidades y los acuerdos con clientes? La perspectiva de servicios ayuda a relacionar catálogo, soporte, niveles de servicio, cambios, proveedores y continuidad. Se usa aquí como desarrollo docente para el contexto TI.
Qué se puede compartir: Pueden compartirse el sistema de tickets, los canales de atención, la coordinación de cambios, las revisiones del proveedor y el plan de continuidad. Verifica qué significa un servicio recuperado: API disponible, solicitud atendida, prioridad revisada y necesidad del cliente resuelta son estados distintos.
Qué necesita la IA: Añade observación del comportamiento de IA, límites del uso, revisión humana y criterios de parada o derivación. La capacidad de la alternativa debe probarse. Un canal humano escrito en el plan puede estar sin cobertura, permisos o información para atender las solicitudes pendientes.
En Tech Server IIT Spain: En T10-014 se registran prioridad normal a las 09:00, discrepancia a las 09:12 y derivación a atención humana con prioridad a las 09:20. Eso permite calcular intervalos, pero no confirma el origen del fallo, una versión responsable, el incumplimiento de un SLA o la resolución total.
Cómo contrastarlo: Contrasta los estados del ticket y los tiempos definidos con el objetivo de cada métrica. En la contingencia del chatbot, prueba la transferencia de una consulta abierta y confirma su recepción. Examina quién mantiene comunicación con el cliente y qué información puede compartir.
Un ejemplo cotidiano: Que vuelva la luz en la oficina no demuestra que los encargos atrasados estén entregados. Continuidad y atención del trabajo pendiente deben observarse.
La API del chatbot vuelve a responder y el panel está verde. ¿Qué comprobarías antes de dar por recuperado el servicio?
Orientación para revisar tu respuesta
Qué: Comprobaría el uso completo: calidad y alcance de las respuestas, vías de derivación, solicitudes abiertas y capacidad de atención. La disponibilidad técnica es un resultado concreto, no el cierre de todo el incidente.
Por qué: Puede haberse recuperado la conexión mientras siguen pendientes consultas o condiciones que provocaron respuestas inadecuadas. Una declaración de recuperación demasiado amplia puede ocultar exposición o trabajo sin atender.
Cómo: Definiría la prueba de recuperación con el propietario del servicio. Revisaría consultas de ensayo, fuentes, permisos, derivación y registro de solicitudes pendientes. Contrastaríamos los criterios de retorno y dejaríamos documentado qué se ha comprobado y qué sigue abierto.
Cuándo: Después de la contención y antes de volver al alcance de operación afectado. También al cambiar la alternativa o las condiciones del proveedor.
Dónde: En el registro de incidente INC-001 y el plan RET-001 del chatbot USO-003, con vínculos a MON-001, PROV-001 y SUP-001.
Con qué: Con pruebas reproducibles, personal disponible, trazas mínimas, lista de solicitudes pendientes y criterios acordados. La autorización de retorno corresponde a la autoridad definida; una casilla verde no la sustituye.
D.2: diez procesos de trabajo
Las fichas son desarrollo docente. Selecciona lo pertinente al uso, conservando alcance, criterios, evidencia y pendientes.
INT-D-01 · Contexto, alcance y partes interesadas
Qué pregunta abre: Identifica qué debe abarcar la integración. Delimitar alcance permite saber qué proceso, equipo, proveedor y servicio se está evaluando. El nombre de una norma o de un departamento no sustituye esa delimitación.
Qué se puede compartir: Puede utilizarse el análisis de contexto y el registro corporativo de partes interesadas. Contrasta qué servicios cubren, qué dependencias conocen y cómo se actualizan. Si los alcances de dos sistemas de gestión difieren, conserva esa diferencia en el registro.
Qué necesita la IA: Añade roles frente a la IA, finalidades, destinatarios, límites y afectados por sus salidas. Distingue quien contrata una herramienta, quien la integra y quien utiliza sus resultados. La responsabilidad no desaparece por depender de un tercero.
En Tech Server IIT Spain: La matriz del chatbot debe relacionar USO-003 con sus fuentes, el servicio de atención y el canal humano. En el copiloto, no se rellena un ID supuesto: se pide el inventario y se identifica la modalidad antes de relacionar sus documentos.
Cómo contrastarlo: Busca inventario vigente, alcance documentado, flujo de datos y responsables. Una diferencia de cobertura exige una acción de aclaración; no se resuelve copiando el alcance más amplio de otro sistema.
Un ejemplo cotidiano: Una póliza de un edificio no cubre por su título todos los locales que utiliza la empresa.
¿Cómo tratarías un uso de copiloto que no aparece en el inventario pero figura en una factura?
Orientación para revisar tu respuesta
Qué: Lo trataría como un uso por identificar y evaluar, conservando la factura como indicio de contratación. No deduciría su finalidad ni su autorización solo a partir del pago.
Por qué: La integración necesita saber qué se hace, con qué información y quién recibe el resultado. Sin ese alcance no se puede decidir qué procesos corporativos son pertinentes.
Cómo: Solicitaría al equipo la tarea, modalidad, destinatarios y datos previstos. Abriría la solicitud interna y comprobaría alternativas autorizadas. Relacionaría el resultado con el inventario y la evaluación del proveedor, manteniendo el ID pendiente hasta confirmarlo.
Cuándo: Al detectar la contratación y antes de ampliar o formalizar el uso con información real. La factura no autoriza retrospectivamente transmisiones anteriores.
Dónde: En la hoja Contexto del registro del Anexo D y en el inventario del módulo 4, conectados con SOL-PROV-001 y PROV-001.
Con qué: Con la factura, información del solicitante, condiciones aplicables y un responsable de inventario. Separaría hechos conocidos, hipótesis y preguntas a resolver.
INT-D-02 · Política, gobierno y autoridad
Qué pregunta abre: Aclara cómo se toman decisiones sobre IA dentro del gobierno existente. Una política compartida puede expresar principios y compromisos de varios sistemas, pero debe traducirse en funciones y decisiones operativas identificables.
Qué se puede compartir: Puede compartirse el comité de gestión, la aprobación documental y la coordinación de políticas. Revisa qué autoridad tiene cada función y qué temas debe elevar. Integrar no implica que seguridad, calidad o TI puedan aprobar solos cualquier consecuencia de IA.
Qué necesita la IA: Define propietario del uso, supervisor y autoridad para cambios, suspensión, aceptación de riesgo y recuperación. Examina conflictos de funciones o incentivos. Un supervisor debe tener competencia y medios para intervenir, además de aparecer en un organigrama.
En Tech Server IIT Spain: Un cambio del clasificador puede requerir coordinación técnica y del servicio. En el chatbot, la decisión de derivar necesita quién recibe consultas y quién mantiene comunicación. Los responsables propuestos del caso no se convierten en nombramientos reales.
Cómo contrastarlo: Contrasta funciones con decisiones registradas y ejemplos de intervención. La reunión puede tener un acta común; sus conclusiones deben indicar a qué uso y criterio se refieren.
Un ejemplo cotidiano: Una reunión con muchas personas no asegura que alguien pueda detener una actividad que presenta un problema.
¿Qué debe constar si un mismo comité supervisa seguridad y el SGIA?
Orientación para revisar tu respuesta
Qué: Debe constar qué decisiones adopta el comité sobre cada uso de IA, qué información revisa y quién tiene autoridad para ejecutarlas. La composición compartida es el punto de partida.
Por qué: Los temas de IA pueden exigir conocimientos y criterios que no aparecen en una revisión centrada solo en seguridad. Sin atribuciones claras, los pendientes se reparten sin que nadie responda por su comprobación.
Cómo: Relacionaría decisiones con propietario del uso, supervisión y funciones pertinentes. Definiría escalado y participación cuando falte competencia. En el acta distinguiría propuestas, decisiones, condiciones y responsables, con referencias al expediente revisado.
Cuándo: Al establecer el gobierno y antes de utilizarlo para aprobar cambios o retorno al servicio. Revisaría funciones cuando cambie alcance o personal.
Dónde: En los documentos de gobierno del módulo 3 y en la matriz de integración, con enlaces a CAM-001, SUP-001 y el expediente del uso.
Con qué: Con atribuciones documentadas, disponibilidad de los responsables, información de riesgos e impactos y una prueba de escalado. La asistencia a una reunión no acredita capacidad de intervención.
INT-D-03 · Riesgos e impactos relacionados
Qué pregunta abre: Relaciona evaluaciones sin borrar sus finalidades. Riesgo de seguridad, riesgo del uso de IA e impacto sobre personas pueden referirse al mismo escenario y requerir criterios diferentes. Los efectos pueden alcanzar organización, individuos, colectivos y sociedad.
Qué se puede compartir: Puede compartirse la coordinación de riesgos y el repositorio de evidencias. Conserva metodología, criterio, responsable y alcance de cada valoración. Un registro común puede contener perspectivas diferenciadas; el color final no debe ocultar cuál se evaluó.
Qué necesita la IA: Añade escenarios de comportamiento, consecuencias de decisiones o recomendaciones, revisión y personas afectadas. IMP-001 prepara el análisis de impactos; R-001 conserva valoración y tratamiento. La integración no reduce todas las consecuencias a confidencialidad, integridad y disponibilidad.
En Tech Server IIT Spain: Una prioridad incorrecta puede retrasar soporte sin que se haya observado acceso indebido. En T10-014 se investiga el caso por capas y se mantienen causa y consecuencias completas pendientes. Una API externa autorizada tampoco materializa por sí sola una fuga.
Cómo contrastarlo: Busca preguntas de impacto, evidencia de exposición, consecuencias y criterios de aceptación. Evita asignar una severidad inventada al caso. Relaciona hipótesis con las comprobaciones que podrían confirmarlas o descartarlas.
Un ejemplo cotidiano: La misma caída de una estantería puede afectar inventario, trabajadores y continuidad; cada perspectiva aporta decisiones propias.
El riesgo de seguridad está valorado como bajo. ¿Puedes cerrar por ello el impacto del clasificador?
Orientación para revisar tu respuesta
Qué: No cerraría la evaluación de impacto con ese resultado. Identificaría qué escenario se valoró en seguridad y qué consecuencias de la clasificación siguen sin evaluar.
Por qué: Una evaluación puede abarcar acceso o integridad de información, mientras otra necesita examinar personas, urgencia del servicio y mecanismos de revisión. La etiqueta bajo solo tiene sentido dentro de sus criterios.
Cómo: Relacionaría las referencias de R-001 e IMP-001. Formularía el evento de infrapriorización, los afectados y consecuencias plausibles, y pediría evidencias de exposición y capacidad de respuesta. Mantendría resultados y pendientes por perspectiva antes de proponer una decisión conjunta.
Cuándo: Al integrar valoraciones y antes de aceptar el riesgo o dar por cerradas las comprobaciones. Nuevas condiciones pueden exigir revisar el conjunto.
Dónde: En el expediente del clasificador SYS-003 / USO-004, con trazabilidad desde la matriz del Anexo D hacia los registros correspondientes.
Con qué: Con alcance, metodología, criterios de cada valoración, ejemplos de discrepancias y responsables competentes. No convertiría una casilla compartida en una equivalencia entre análisis diferentes.
INT-D-04 · Objetivos e indicadores
Qué pregunta abre: Define qué resultado busca la organización y qué condiciones lo hacen aceptable. Compartir un cuadro de mando ayuda a ver relaciones, siempre que los indicadores mantengan población, periodo, método y criterio.
Qué se puede compartir: Pueden compartirse la planificación de objetivos y la revisión del servicio. Relaciona objetivos de negocio con seguridad, privacidad, calidad y condiciones de IA. Un ahorro debe considerar revisión y corrección; una reducción de espera debe conservar atención a las consultas críticas.
Qué necesita la IA: Añade indicadores de comportamiento y de actuación humana cuando sean pertinentes: error crítico, derivación efectiva, corrección, resultados por segmentos justificados o señales de parada. Ningún indicador aislado representa toda la eficacia del SGIA.
En Tech Server IIT Spain: El clasificador enseña a conservar acierto global y sensibilidad crítica. El copiloto exige comparar tiempo total de tareas equivalentes, incluyendo revisión y pruebas. La línea de base real sigue pendiente.
Cómo contrastarlo: Contrasta definiciones y fuentes, numeradores y denominadores, criterios anteriores al ensayo y actuación asociada a cada umbral. Un panel compartido debe permitir localizar esos detalles.
Un ejemplo cotidiano: Comparar el precio de dos viajes sin considerar duración y llegada no permite elegir bien; cada medida debe responder a la decisión.
¿Cómo incluirías un objetivo de ahorro del copiloto en el cuadro de mando común?
Orientación para revisar tu respuesta
Qué: Incluiría el tiempo total de tareas comparables y las condiciones de calidad y tratamiento de información que deben mantenerse. El tiempo de generación es solo una parte.
Por qué: El ahorro puede desaparecer cuando se añaden revisión, pruebas y retrabajo. Medir tareas distintas o excluir correcciones produciría una comparación poco útil para decidir.
Cómo: Definiría población, inicio y fin de la tarea, referencia sin la herramienta y forma de registrar revisión. Propondría un piloto con criterios previos y conservaría la línea de base como pendiente hasta disponer de observaciones suficientes.
Cuándo: Antes del piloto y al revisar cambios de tarea, proveedor o automatización. Reexaminaría el objetivo si cambia el servicio que se compara.
Dónde: En MON-001 y la planificación de objetivos, relacionados con el inventario y la matriz de integración del copiloto.
Con qué: Con tareas equivalentes, registro de tiempos y correcciones, revisores competentes y fuentes verificables. El ejemplo propone el método; no inventa minutos ahorrados ni una meta aprobada.
INT-D-05 · Competencia, recursos y comunicación
Qué pregunta abre: Examina si las personas pueden ejecutar el proceso integrado. Compartir formación o un canal de comunicación tiene valor cuando incorpora tareas, límites y medios del uso. La competencia se relaciona con lo que la persona debe hacer.
Qué se puede compartir: Puede utilizarse la gestión corporativa de competencia, asignación de recursos y comunicación. Revisa turnos, sustituciones, permisos y tiempo disponible. Una formación general no demuestra capacidad para investigar un error o revisar una salida concreta.
Qué necesita la IA: Añade prácticas de revisión, criterios de derivación, límites de confianza y escalado. Comprueba que quien supervisa recibe la información necesaria sin una carga imposible. Una intervención efectiva puede requerir más que un botón de parada.
En Tech Server IIT Spain: En el chatbot, un supervisor necesita acceso al contexto permitido de la consulta y capacidad de derivación. En el copiloto, el revisor debe comprender la propuesta técnica y poder probarla. Los roles propuestos del caso requieren designación y medios.
Cómo contrastarlo: Busca una actividad observada, instrucciones pertinentes y registros de pruebas con tiempos y resultados. Examina qué hace el equipo cuando no entiende una salida o cuando el revisor no está disponible.
Un ejemplo cotidiano: Entregar una llave a una persona no acredita que sepa operar la máquina ni que tenga tiempo para vigilarla.
¿Qué evidencia pedirías para reutilizar la formación de seguridad como formación del supervisor de IA?
Orientación para revisar tu respuesta
Qué: Pediría evidencia de que la formación cubre las tareas y decisiones de supervisión del uso, además de los contenidos generales de seguridad.
Por qué: Saber reconocer una amenaza de acceso no demuestra por sí solo capacidad para contrastar una respuesta, interpretar una señal de comportamiento o derivar una consulta con urgencia.
Cómo: Compararía el contenido con SUP-001 y realizaría una práctica con salidas correctas, dudosas y fuera de alcance. Observaría qué decide el supervisor, qué información utiliza y si consigue completar el escalado en las condiciones previstas.
Cuándo: Antes de asignar la función, después de cambios relevantes y cuando incidentes o revisiones muestren necesidades nuevas de competencia.
Dónde: En el registro de competencia y supervisión, conectado con el expediente del chatbot o del uso correspondiente.
Con qué: Con casos ficticios o autorizados, instrucciones, criterios, permisos y disponibilidad. Conservaría el resultado observado y las necesidades de formación o recursos; un certificado de asistencia no sustituye esa comprobación.
INT-D-06 · Datos y documentación trazable
Qué pregunta abre: Organiza la información necesaria para reconstruir el uso y sus decisiones. Un repositorio común evita copias contradictorias, siempre que permita identificar versiones, responsables, alcance y restricciones de acceso.
Qué se puede compartir: Puede compartirse la gestión documental, conservación y control de accesos. Examina qué datos necesita cada función. Compartir el expediente no significa que todas las personas deban acceder a todos los registros ni conservarlos indefinidamente.
Qué necesita la IA: Añade el flujo de datos del uso, fuentes pertinentes, versión de componentes cuando sea necesaria, resultados de pruebas y decisiones con condiciones. Los registros mínimos deben servir a una finalidad definida, con protección y conservación apropiadas.
En Tech Server IIT Spain: FD-001 del chatbot puede referenciar el contrato del proveedor y SUP-001 sin copiarlos enteros. En un incidente, conserva los datos relevantes para investigar el comportamiento y protege la información personal o confidencial incluida.
Cómo contrastarlo: Comprueba si otra persona puede localizar la prueba correspondiente a una decisión y distinguirla de una versión antigua. Un índice común requiere relaciones estables; la existencia de una carpeta llena de archivos no basta.
Un ejemplo cotidiano: Un archivo compartido ordenado ayuda a encontrar una factura; copiarla en diez carpetas facilita que alguien use la versión equivocada.
¿Cómo compartirías evidencias entre seguridad y el SGIA sin duplicar datos sensibles?
Orientación para revisar tu respuesta
Qué: Compartiría referencias y acceso pertinente a una evidencia conservada en su lugar autorizado. Identificaría la parte de la evidencia que necesita cada función.
Por qué: Duplicar registros aumenta inconsistencias y exposición. También puede separar la conclusión del alcance y la versión de la prueba que la sustentan.
Cómo: Definiría identificador, ubicación, responsable, permisos, conservación y relaciones con los registros del uso. Si otro equipo solo necesita un resultado o una muestra minimizada, prepararía esa vista conservando el enlace trazable a la fuente autorizada.
Cuándo: Al diseñar el expediente y al incorporar pruebas o investigar incidentes. Revisaría accesos y conservación ante cambios de finalidad o responsables.
Dónde: En FD-001, el índice documental y la matriz del Anexo D, con vínculos a R-001, IMP-001, CAM-001 o INC-001 según la evidencia.
Con qué: Con un repositorio autorizado, control de versiones, perfiles de acceso y criterios de información mínima. Verificaría con una prueba de localización que se puede reconstruir la decisión sin dar acceso indiscriminado a los datos.
INT-D-07 · Compras y proveedores
Qué pregunta abre: Examina cómo se incorpora IA a una adquisición existente. Una revisión corporativa de proveedores puede cubrir solvencia, seguridad y continuidad, pero necesita relacionarse con el uso, los datos y las condiciones técnicas de la modalidad.
Qué se puede compartir: Pueden compartirse homologación, revisión contractual y seguimiento del proveedor. Confirma qué producto, versión, plan o API se evaluó, y qué responsabilidades quedan en la organización. La decisión no se extiende automáticamente a toda herramienta que use la marca del proveedor.
Qué necesita la IA: Añade uso de datos, actualizaciones de modelos, transparencia útil, soporte, deprecación, límites y alternativas. SOL-PROV-001 permite detectar solicitudes internas antes de la ficha formal. PROV-001 registra la evaluación y sus fuentes.
En Tech Server IIT Spain: El copiloto y el motor del chatbot necesitan evaluaciones vinculadas a sus modalidades. Un informe de seguridad del proveedor no demuestra que no utilice los datos de un plan concreto para entrenamiento ni que las salidas sean adecuadas para la tarea.
Cómo contrastarlo: Contrasta contrato y configuración aplicables, aviso de cambios y prueba de la alternativa. Deja visible qué responde el proveedor, qué has observado y qué falta. El nombre de una certificación externa no sustituye su alcance.
Un ejemplo cotidiano: Aprobar una cadena de restaurantes no permite dar por revisados todos sus servicios y contratos particulares.
¿Qué añadirías a una ficha corporativa de proveedor para una nueva API de IA?
Orientación para revisar tu respuesta
Qué: Añadiría la modalidad, finalidad y flujo del uso, y las condiciones del servicio que pueden alterar su comportamiento o sus obligaciones.
Por qué: La organización sigue teniendo decisiones propias sobre datos, límites, supervisión y continuidad. La homologación general puede cubrir solo una parte de esas cuestiones.
Cómo: Relacionaría la solicitud interna con PROV-001. Pediría condiciones de datos y entrenamiento aplicables, versión o política de cambios, soporte, disponibilidad y salida del servicio. Definiría qué prueba necesita la integración y qué alternativa debe evaluarse.
Cuándo: Antes de contratar o conectar la API y ante cambios de modalidad, proveedor, finalidad o condiciones. Reutilizaría evidencia anterior solo con alcance vigente.
Dónde: En la evaluación del proveedor del uso, enlazada con compras, FD-001, CAM-001 y RET-001.
Con qué: Con contrato, configuración, documentación del producto, avisos y pruebas pertinentes. Conservaría responsables y pendientes; una respuesta comercial sin alcance no cierra la evaluación.
INT-D-08 · Cambios, operación y continuidad
Qué pregunta abre: Organiza cómo se cambia el uso y cómo se mantiene atención cuando falla o se retira. El proceso común puede coordinar entorno de prueba, aprobaciones y retorno. Debe reconocer qué modificaciones afectan al comportamiento y a los supuestos evaluados.
Qué se puede compartir: Pueden compartirse la gestión de cambios, el calendario, las copias necesarias y la coordinación de continuidad. Revisa criterios previos, autoridad y seguimiento posterior. Una actualización de modelo puede necesitar pruebas distintas de una actualización de infraestructura.
Qué necesita la IA: Añade reevaluación de riesgos e impactos, pruebas del uso, supervisión, fuentes y límites. La alternativa y el retorno deben ser ejecutables. Un plan de retirada también contempla datos residuales, accesos, solicitudes y obligaciones que permanecen.
En Tech Server IIT Spain: CAM-001 del clasificador conserva el criterio didáctico y los resultados de v1/v2. RET-001 del chatbot organiza atención humana y cierre de obligaciones. No se declara que una versión probada haya sido aprobada ni que un plan escrito se haya ensayado.
Cómo contrastarlo: Busca resultados de prueba y decisión relacionados con versión, datos y alcance. Ensaya la transferencia de una solicitud abierta y confirma quién la recibe. Define observación posterior al cambio en MON-001.
Un ejemplo cotidiano: Cambiar un ingrediente en una receta puede alterar el resultado aunque el horno siga funcionando correctamente.
La gestión de cambios de TI comprueba que la API responde. ¿Qué falta para un cambio del clasificador?
Orientación para revisar tu respuesta
Qué: Falta comprobar el comportamiento del uso con los criterios pertinentes y revisar riesgos e impactos, además de la disponibilidad de la integración.
Por qué: La conectividad no indica cuántos críticos se detectan ni qué consecuencias tienen los errores. Un cambio puede mantener el servicio técnico y alterar las decisiones del proceso.
Cómo: Documentaría alcance y versiones en CAM-001, fijaría criterios antes del ensayo y comprobaría resultados con referencia adecuada. Revisaría errores y condiciones de supervisión, alternativa y seguimiento. La autoridad definida decidiría con esos resultados y los pendientes.
Cuándo: Antes del despliegue y durante la observación posterior acordada. También cuando el proveedor cambie supuestos o se amplíe el uso.
Dónde: En CAM-001 del clasificador SYS-003 / USO-004, conectado con el cambio corporativo, MON-001, R-001 e IMP-001.
Con qué: Con entorno de prueba, muestra y etiquetas, criterios previos, resultados trazables y plan de respuesta. En el ejemplo, v2 está probada y no aprobada; una verificación de API no cambia esa conclusión.
INT-D-09 · Incidentes y comunicación coordinada
Qué pregunta abre: Relaciona respuesta técnica, atención del servicio y efectos sobre personas. Un mismo evento puede requerir varias funciones, pero conviene conservar un identificador de coordinación y distinguir las decisiones de cada perspectiva.
Qué se puede compartir: Pueden compartirse canales de detección, triaje, cronología, contención y comunicación. La clasificación debe admitir comportamiento de IA aunque no se confirme una vulnerabilidad ni una fuga. Evita cerrar la investigación de una perspectiva porque otra no ha observado un problema.
Qué necesita la IA: Añade errores de salida, exposición, revisión humana y condiciones de recuperación. La investigación separa entrada, modelo, integración e interfaz. Las obligaciones de comunicación se valoran según hechos, rol, destinatarios y normativa aplicable, con apoyo de la función competente.
En Tech Server IIT Spain: T10-014 permite practicar la coordinación. Sus tres horas registradas sostienen intervalos de 12, 8 y 20 minutos definidos con eventos distintos. No confirman daño total, causa raíz, versión responsable o deberes concretos de notificación.
Cómo contrastarlo: Busca cronología con fuente, decisiones de contención, hipótesis, comprobaciones y autoridad de retorno. Mantén comunicaciones y análisis jurídico pertinentes separados de conclusiones técnicas no confirmadas.
Un ejemplo cotidiano: Un aviso de agua en el suelo necesita atención aunque el equipo de alarmas no detecte una avería eléctrica.
El equipo de seguridad no detecta una fuga en T10-014. ¿Cómo continuaría el registro integrado?
Orientación para revisar tu respuesta
Qué: Mantendría abierto el análisis de la discrepancia de prioridad y de sus consecuencias operativas. Registraría la observación de seguridad dentro del alcance revisado, sin extenderla a todos los aspectos del incidente.
Por qué: La ausencia de una fuga observada no explica el comportamiento ni demuestra recuperación completa. Cada resultado responde a una pregunta y necesita su evidencia.
Cómo: Conservaría la cronología conocida e investigaría entradas, etiquetas, versión pertinente, reglas de integración e interfaz. Coordinaría atención al servicio, revisión de afectados y obligaciones de comunicación aplicables, separando hipótesis, hechos y decisiones.
Cuándo: Durante el triaje y la investigación, antes de la recuperación o del cierre. Reabriría una comprobación si aparece evidencia nueva que cambie el alcance.
Dónde: En INC-001, enlazado al ticket del servicio y a los registros de seguridad o privacidad pertinentes, con referencias del uso SYS-003 / USO-004.
Con qué: Con trazas mínimas, observaciones con fuente, equipo competente y criterios de recuperación. De 09:00 a 09:12 son doce minutos; hasta 09:20 hay ocho más. Eso no prueba un SLA incumplido ni la resolución total.
INT-D-10 · Auditoría, dirección y mejora
Qué pregunta abre: Prepara un expediente que permita revisar tanto procesos comunes como condiciones específicas de IA. La auditoría interna necesita alcance, criterios, competencia, objetividad y evidencia. La revisión por la dirección utiliza resultados para tomar decisiones y asignar medios.
Qué se puede compartir: Pueden compartirse programa de auditoría, coordinación de entrevistas, reuniones de dirección y seguimiento de acciones. Conserva los criterios de cada sistema y la cobertura de los usos. Una reunión conjunta puede adoptar decisiones diferenciadas y relacionarlas en una sola acta.
Qué necesita la IA: Añade muestreo de usos, pruebas de comportamiento, trazabilidad de cambios y efectividad de supervisión. El auditor debe poder contrastar lo declarado con registros y observaciones. La revisión considera también pendientes, consecuencias y necesidades de recursos.
En Tech Server IIT Spain: La matriz del Anexo D propone qué revisar del chatbot, clasificador y copiloto. No emite hallazgos de auditoría reales. Los módulos 11 y 12 desarrollarán sus procedimientos y documentos; aquí se prepara información que podrán utilizar.
Cómo contrastarlo: Busca una cadena coherente entre inventario, escenario, control, resultado y decisión. Registra qué parte se pudo revisar, con qué evidencia y qué límite conserva. La cantidad de documentos no equivale a eficacia.
Un ejemplo cotidiano: Una inspección conjunta puede revisar varios aspectos del edificio, pero cada comprobación necesita una pregunta y una prueba propias.
¿Qué muestra llevarías a una futura auditoría interna integrada del clasificador?
Orientación para revisar tu respuesta
Qué: Llevaría un cambio o discrepancia representativo que permita recorrer alcance, criterios, pruebas, decisiones y seguimiento. Definiría primero qué criterio se va a contrastar.
Por qué: Una colección de plantillas completas puede ocultar que los resultados no se relacionan con la decisión. La auditoría necesita reconstruir el funcionamiento pertinente, no contar documentos.
Cómo: Relacionaría inventario, CAM-001, resultados de la muestra, R-001 e IMP-001 cuando proceda, MON-001 y el incidente pertinente. Prepararía preguntas a los responsables y localizaría la evidencia de cómo se actuó ante el resultado. Dejaría límites y evidencia pendiente visibles.
Cuándo: Al planificar el módulo 11 y antes de emitir conclusiones de auditoría. En una organización real, conforme al programa, los criterios y la competencia requeridos.
Dónde: En la preparación del expediente y de la muestra, enlazada desde la matriz de integración. La revisión por la dirección utilizará posteriormente los resultados pertinentes.
Con qué: Con criterios definidos, registros originales o autorizados, acceso proporcionado y una persona capaz de evaluar el uso con objetividad. El ejercicio prepara la muestra; no declara conformidad ni una certificación del SGIA.
Tres casos integradores
Caso 1. Chatbot USO-003: ampliar fuentes con una gestión integrada
El equipo propone conectar una carpeta interna al chatbot. La finalidad, los documentos exactos y sus permisos se concretarán antes de habilitarla. Para practicar se plantea que existe un procedimiento corporativo de accesos; su alcance y funcionamiento reales siguen pendientes. La propuesta permite estudiar cómo coordinar seguridad, privacidad, calidad y atención del servicio.
La primera pregunta es qué necesidad de soporte se quiere cubrir y quién recibirá las respuestas. El propietario del servicio delimita consultas elegibles, usuarios y condiciones de derivación. Recupera el inventario, FD-001 y SUP-001. Si cambian los destinatarios, las fuentes o la finalidad, identifica cómo revisar riesgos e impactos. El expediente no empieza con una autorización implícita basada en el nombre de la carpeta.
Seguridad revisa identidad, permisos efectivos y segregación. Privacidad examina datos necesarios, finalidad y destinatarios cuando hay información personal. Calidad prepara referencia de respuestas y criterios de aceptación. Operaciones contrasta si la atención humana puede recibir una consulta con suficiente contexto y dentro de sus capacidades. Las perspectivas se coordinan mediante el proceso de cambio.
La muestra de ensayo debe distinguir consultas cubiertas, no cubiertas y accesos que deben denegarse. Usa documentos ficticios o información autorizada para esa prueba. Registra el documento recuperado y la respuesta observada con la información mínima necesaria. La prueba de acceso y la prueba de respuesta tienen finalidades relacionadas, pero diferentes.
Antes del ensayo se fijan criterios: límites de tarea, datos permitidos, comportamiento ante falta de fuente, derivación y resultado esperado. Los criterios de tiempo o calidad del ejemplo se proponen con el servicio; no se inventa un SLA contractual. Quien participa en la prueba no decide automáticamente si el cambio puede desplegarse: la autoridad debe estar definida.
En la matriz puede aparecer una fila para el flujo de datos y otra para cambio y continuidad. Ambas referencian el mismo informe de prueba cuando corresponda, explicando qué pregunta cubre cada resultado. La fila conserva estado, evidencia y próxima comprobación. Los registros originales se mantienen en su repositorio autorizado, con acceso pertinente.
Si la prueba devuelve a una identidad un fragmento que no debe recibir, se atiende el resultado conforme al proceso definido. No se describe automáticamente un incidente real de producción: sigue siendo un ensayo. El cambio requiere revisar permisos y recuperación y repetir la comprobación afectada. Otros resultados válidos pueden conservarse si su alcance sigue vigente.
Si la API cae, RET-001 debe ayudar a mantener la atención del usuario. Una prueba útil transfiere una consulta abierta, comprueba quién la recibe y confirma que puede continuar el trabajo con la información permitida. Es distinto de mostrar un teléfono en la página. La continuidad del canal y la protección de datos se comprueban juntas, conservando sus criterios.
Al cerrar el ejercicio, escribe qué se observó, qué decisión se propone, qué sigue pendiente y quién lo revisa. El expediente integrado evita copiar informes completos varias veces, pero permite reconstruir fuentes, pruebas y decisiones. El resultado docente es una propuesta de integración, no una afirmación de que el chatbot real está autorizado o cumple todos sus requisitos.
Caso 2. Clasificador SYS-003 / USO-004: prueba, incidente y revisión
El conjunto de práctica contiene cien tickets sintéticos y diez críticos de referencia. v1 acierta noventa de cien y detecta nueve de los diez críticos. v2 acierta noventa y cuatro de cien y detecta siete críticos. Esas cifras permiten comparar dos resultados diferentes: el acierto global y la sensibilidad ante críticos. El criterio mínimo didáctico del 90 % de sensibilidad se fijó antes de revisar resultados.
La propuesta de aceptar v2 por su 94 % global ignora el criterio específico. En el ejercicio, v2 no se aprueba para despliegue. Está probada; no se presenta como una versión aprobada o en producción. Se registran tres falsos negativos críticos frente a uno de v1. Los noventa tickets no críticos no se califican todos como normales: faltan sus categorías y otros datos de detalle.
El proceso común de cambios puede coordinar versión, entorno, prueba y aprobación. La ampliación de IA consiste en incluir referencia, criterios de comportamiento, análisis de errores y evaluación pertinente de riesgos e impactos. El equipo de calidad necesita entender por qué la aceptación no se resuelve con un único promedio. Seguridad puede aportar protección de registros y control de la integración.
No atribuyas la diferencia a drift, reentrenamiento, proveedor o un mecanismo concreto sin investigar. Las versiones podrían tener condiciones o resultados diferentes por varias razones. La investigación comprueba entradas, etiquetas, configuración y componentes pertinentes. La muestra sintética no acredita cómo se comporta ninguna versión en una población real distinta.
T10-014 es otro elemento del caso: prioridad normal a las 09:00, discrepancia detectada a las 09:12 y derivación a atención humana con prioridad a las 09:20. La cronología conocida no atribuye el incidente a v2. Tampoco confirma quién detectó la discrepancia, daño completo, causa raíz, incumplimiento contractual o resolución total. Esos datos siguen pendientes.
Los intervalos son doce minutos desde el primer evento a la detección, ocho desde detección a derivación a atención humana y veinte entre los extremos. En MON-001 deben definirse los eventos y la finalidad de la medida. Sumar o comparar tiempos sin definir inicio y fin puede crear conclusiones falsas. La derivación con prioridad no significa necesariamente que el cliente ya recibió la solución.
Un registro integrado de incidentes permite que soporte, seguridad y el responsable del uso coordinen la cronología. Conserva hechos con fuente y separa las hipótesis de las comprobaciones. Si seguridad no observa fuga en el alcance revisado, se registra esa observación. La investigación de prioridad y efectos operativos continúa conforme a sus criterios.
Para una futura auditoría, la matriz puede enlazar inventario, CAM-001, resultados del ensayo, MON-001 y el registro INC-001. El auditor debe poder identificar qué versión se evaluó, qué criterio sustentó la decisión y qué actuación siguió al resultado. No se mezcla el ensayo de v2 con la cronología del incidente como si uno demostrara la causa del otro.
La revisión por la dirección podrá considerar pendientes de competencia, recursos y continuidad. No necesita sustituir el criterio por una mejora visual del panel. El ejercicio termina cuando has organizado una propuesta coherente y sus comprobaciones; los módulos siguientes desarrollarán la auditoría y las decisiones de gestión con evidencia.
Caso 3. Copiloto: modalidad, revisión y ampliación de automatización
El copiloto ayuda a preparar respuestas y propuestas técnicas que requieren revisión. Su identificador y modalidad deben confirmarse en el inventario. El caso no afirma un ahorro medido, una aprobación del proveedor ni la existencia de agentes autónomos. Es importante conservar esas ausencias cuando se integra el uso con las prácticas corporativas.
Empieza por el equipo solicitante, la tarea concreta y el destinatario de la salida. Un borrador interno y código destinado a producción pueden necesitar pruebas diferentes. Identifica qué información se introducirá y qué alternativa corporativa está disponible. SOL-PROV-001 hace visible la solicitud antes de consumir recursos o transmitir información no prevista.
La homologación general de una marca no extiende todas sus garantías a un plan individual, una licencia de equipo y una API. Revisa el contrato y la configuración aplicables: tratamiento de datos, conservación, posibles usos para entrenamiento, ubicaciones, soporte y cambios. La ficha PROV-001 mantiene las fuentes y las condiciones que sustentan una propuesta de decisión.
La revisión humana requiere capacidad para comprender la propuesta y contrastarla. Un técnico puede revisar el borrador de una explicación y necesitar otra competencia para probar código que actúa sobre infraestructura. Aclara qué puede aceptar, quién realiza la prueba y qué ocurre cuando no hay revisor competente disponible. La firma de un documento no garantiza revisión eficaz.
Si el objetivo es reducir tiempo, incluye elaboración, revisión, pruebas y corrección sobre tareas equivalentes. Primero establece una línea de base apropiada y conserva límites de la comparación. Un texto generado en segundos no demuestra ahorro total ni resultado aceptable. La matriz relaciona el objetivo con MON-001 y con las condiciones de calidad y datos.
Una propuesta de permitir que el copiloto ejecute cambios introduce acciones y permisos nuevos. Debe delimitarse como modificación del uso y pasar por el proceso correspondiente. No basta con reutilizar el expediente del borrador. Examina qué puede ejecutar, con qué confirmación, sobre qué recursos y cómo puede detenerse o revertirse. El ejemplo no afirma que esa ampliación exista.
La documentación puede referenciar pruebas y decisiones del mismo repositorio corporativo. Mantén alcance, versión y revisores en cada resultado pertinente. Si una salida genera un problema, el incidente conserva lo ocurrido y la investigación por capas. No atribuyas inmediatamente el error a la persona, al modelo o a la interfaz sin información suficiente.
Una salida del proveedor requiere revisar datos, accesos, obligaciones y tareas abiertas, además de evaluar una alternativa. La integración con compras y continuidad reduce duplicidad cuando las responsabilidades están claras. Una herramienta sustituta necesitará su propio alcance y comprobaciones: la retirada del primer servicio no autoriza al segundo.
Al terminar, puedes proponer qué parte de compras, seguridad, calidad y soporte se reutiliza, qué se amplía y qué requiere prueba específica. La decisión sigue pendiente donde falte evidencia. La matriz ofrece un mapa de trabajo, con enlaces a los documentos del curso, para que el siguiente revisor entienda el uso sin suponer hechos ausentes.
Actividad y matriz de integración
Integración
Es la matriz principal. Cada fila identifica un uso o alcance, un proceso común y la necesidad específica de IA. Anota evidencia a contrastar, responsable propuesto, referencias, estado, próxima comprobación y decisión con fuente. Los recuentos superiores resumen lo declarado en las filas; no son porcentajes de conformidad.
Contexto
Registra finalidad, rol, destinatarios, información y condiciones del servicio. Si un escenario es una ampliación ficticia, indícalo. La guía conserva referencias públicas en esta hoja, junto al contexto de los datos del ejercicio.
Acciones
Concreta comprobaciones con ID relacionado de la matriz, responsable, fecha prevista si se conoce, estado y evidencia. La columna de relación permite detectar un ID ausente o duplicado; no autoriza un uso. Una fecha desconocida se deja vacía y se asigna su definición como pendiente.
Guía
Explica cómo completar el registro, interpretar sus estados y ampliar las filas reservadas. Las fórmulas emplean rangos acotados de cincuenta registros en la matriz y treinta acciones. Si necesitas más, amplía tablas, rangos, fórmulas y validaciones de forma coherente.
Uso del ejemplo
El ejemplo incluye propuestas, hipótesis y la conclusión didáctica de no aprobar v2. No presupone certificaciones ni procedimientos corporativos ya eficaces. Contrasta cada fila con el caso, y utiliza el libro en blanco para escribir tu propia propuesta.
Delimita una integración realista
Para el chatbot USO-003, identifica finalidad, usuarios, fuentes y responsables que necesitarías confirmar. Propón qué proceso corporativo podría compartirse y qué información adicional pedirías. Mantén separados los datos del caso y tus supuestos.
Orientación para revisar tu respuesta
Qué: Prepararía una propuesta de contexto para el chatbot y una primera fila de integración. Identificaría la tarea de soporte, los destinatarios, las fuentes y el proceso existente que podría aportar cobertura.
Por qué: La evaluación de un proceso común necesita conocer el uso al que se aplicará. Un alcance demasiado amplio puede atribuir a un procedimiento condiciones que no cubre; uno demasiado estrecho puede omitir una dependencia importante.
Cómo: Recuperaría inventario, alcance del servicio y FD-001. Preguntaría por las fuentes exactas, permisos y derivación. Describiría el procedimiento corporativo como supuesto hasta recibir su versión y una muestra de funcionamiento. Seleccionaría una necesidad específica, como comprobar la recuperación de documentos con permisos, y la evidencia que permitiría revisarla.
Cuándo: Antes de incorporar la fuente nueva o de declarar que el proceso corporativo cubre el chatbot. Actualizaría el contexto si cambian usuarios, proveedor o finalidad.
Dónde: En Contexto y en Integración del Excel del Anexo D, con vínculos al inventario, FD-001 y SUP-001.
Con qué: Con información del propietario del servicio, documentos autorizados, mapa de dependencias y una comprobación asignada. No inventaría un certificado de la empresa ni resultados de prueba. La respuesta debe mostrar qué sabes y qué pedirías para decidir.
Comparte evidencia con límites
Una prueba de acceso a un repositorio fue realizada para seguridad. Explica qué podría reutilizar el SGIA y qué prueba adicional necesita el chatbot cuando recupera fragmentos de ese repositorio.
Orientación para revisar tu respuesta
Qué: Reutilizaría la evidencia de acceso únicamente para la pregunta que realmente cubre, conservando identidades, permisos, versión y alcance. Añadiría la comprobación de recuperación y salida del chatbot.
Por qué: Un usuario puede tener acceso al repositorio y aun así recibir una respuesta formada con fragmentos de otros ámbitos. Las dos rutas de acceso y los efectos de la recuperación deben contrastarse.
Cómo: Localizaría el informe original, revisaría su vigencia y formularía la nueva pregunta de prueba. Con cuentas y documentos de ensayo comprobaría qué se recupera y qué se devuelve ante consultas permitidas y denegadas. Relacionaría resultados con el mismo expediente sin duplicar datos innecesarios.
Cuándo: Antes de activar la integración y después de cambios pertinentes en identidades, permisos o recuperación. Si cambian condiciones relevantes, se revisa la validez de la evidencia reutilizada.
Dónde: En la fila de datos o accesos del registro de integración, con referencias a FD-001, gestión corporativa de accesos y el cambio correspondiente.
Con qué: Con prueba original, datos de ensayo, criterios previos y registros mínimos. Conservaría qué observó cada prueba y qué decisión sigue pendiente. Una coincidencia de título del informe no demuestra equivalencia de cobertura.
Mantén criterios en un cambio de modelo
Usa la muestra sintética de cien tickets y diez críticos. Explica qué debe conservar el proceso común de cambios para evaluar v1/v2 y redacta una conclusión limitada al ejercicio.
Orientación para revisar tu respuesta
Qué: Conservaría el alcance del ensayo, la referencia, las versiones y los criterios previos, junto con acierto global y sensibilidad crítica. La conclusión del ejercicio es no aprobar v2.
Por qué: v2 tiene un 94 % global, pero detecta siete críticos de diez, un 70 %. El resultado no cumple el mínimo didáctico previo del 90 %. Aceptarla por el promedio eliminaría una condición importante de la decisión.
Cómo: Compararía v1 y v2 sin cambiar el denominador. Registraría v1: 90/100 y 9/10; v2: 94/100 y 7/10. Añadiría errores a investigar y límites de la muestra. Relacionaría CAM-001 con riesgo, impacto y seguimiento pertinentes, y mantendría la autoridad de aprobación identificada.
Cuándo: Antes del despliegue y en la revisión posterior de condiciones relevantes. La prueba existente no se presenta como validación de producción ni como aceptación del proveedor.
Dónde: En CAM-001 y la matriz de integración del clasificador SYS-003 / USO-004, con referencias a R-001, IMP-001 y MON-001.
Con qué: Con tickets y etiquetas sintéticos, criterios previos y resultados trazables. No asignaría causas ni atribuiría T10-014 a v2. Los datos no permiten afirmar precisión positiva, una matriz binaria completa o discriminación entre grupos.
Coordina un incidente sin cerrar perspectivas prematuramente
Organiza T10-014 para soporte, seguridad y el SGIA. Usa únicamente las horas y hechos conocidos. Propón preguntas de investigación, comunicación y recuperación que mantengan sus límites.
Orientación para revisar tu respuesta
Qué: Organizaría un registro coordinado de la discrepancia de prioridad con cronología, observaciones, hipótesis y próximas comprobaciones. Cada función conservaría sus preguntas y resultados pertinentes.
Por qué: Un mismo ticket puede necesitar atención al cliente, investigación técnica y revisión de efectos de IA. El cierre de una comprobación de seguridad no responde por sí solo a la recuperación del uso.
Cómo: Anotaría 09:00 prioridad normal, 09:12 discrepancia detectada y 09:20 derivación a atención humana con prioridad. Definiría los intervalos de doce, ocho y veinte minutos. Pediría entradas, reglas, versión y trazas pertinentes, revisaría afectados y capacidad de retorno y canalizaría la valoración de comunicaciones aplicables.
Cuándo: Durante el triaje, la investigación y antes del retorno o cierre. Las nuevas observaciones pueden modificar hipótesis y alcance.
Dónde: En INC-001, conectado con el ticket del servicio, MON-001 y las funciones especializadas que correspondan. La matriz conserva referencias y responsables.
Con qué: Con fuentes de la cronología, registros autorizados, equipo competente y criterios de recuperación. Mantendría sin confirmar causa, daño completo, SLA, versión responsable y resolución total. No inventaría destinatarios obligatorios ni plazos de notificación.
Prepara una muestra para la auditoría
Elige una fila de la matriz y propone una muestra que permita a un futuro auditor contrastar proceso común, necesidad de IA, evidencia y decisión. Identifica la documentación y la persona que podría explicar la actuación.
Orientación para revisar tu respuesta
Qué: Prepararía una muestra concreta, por ejemplo el ensayo del cambio del clasificador, que permita reconstruir qué se debía comprobar y qué se hizo. Definiría el criterio antes de reunir documentos.
Por qué: La muestra debe conectar la declaración del procedimiento con registros u observaciones. Un expediente lleno de documentos no demuestra que el criterio se aplicara ni que la decisión sea coherente con el resultado.
Cómo: Relacionaría inventario y alcance, CAM-001, criterios previos, resultados y decisión. Localizaría referencias a riesgos, impacto y seguimiento cuando correspondan. Propondría preguntas al propietario del uso y al responsable del cambio, conservando qué evidencia falta y qué parte del proceso no cubre la muestra.
Cuándo: Al preparar el módulo 11 y el programa de auditoría pertinente, antes de emitir hallazgos o conclusiones. Una muestra didáctica no se convierte en auditoría realizada.
Dónde: En el expediente de preparación y en la fila de integración correspondiente. La acción de localizar evidencia queda asignada en Acciones.
Con qué: Con documentos autorizados, registros de prueba, criterios y acceso proporcionado. La persona que audite deberá tener competencia y objetividad para su función. La guía prepara el material; no declara conformidad o certificación.
Adapta el alcance a un sector distinto
Supón que el servicio TI incorpora un cliente sanitario. El clasificador sigue priorizando incidencias de soporte. Explica qué contexto y consecuencias investigarías antes de reutilizar la prueba anterior, sin convertir este supuesto en un hecho del caso.
Orientación para revisar tu respuesta
Qué: Revisaría la ampliación del servicio, los sistemas atendidos y las consecuencias posibles de retrasar una incidencia. El supuesto de cliente sanitario se identifica como ejercicio adicional.
Por qué: La finalidad del clasificador sigue siendo la que se delimite en soporte TI, pero la urgencia y las personas afectadas pueden cambiar. La etiqueta del sector no demuestra que la prueba anterior cubra esos cambios ni determina por sí sola una clasificación jurídica.
Cómo: Preguntaría qué infraestructura se atiende, qué procesos dependen de ella, cómo se define criticidad y quién decide el escalado. Contrastaría vocabulario, referencia, cobertura y alternativa. Revisaría riesgos, impactos y requisitos aplicables con las funciones competentes antes de proponer reutilización o nuevas pruebas.
Cuándo: Antes de ampliar el alcance al cliente y ante cambios relevantes de tareas, dependencias o destinatarios. Conservaría qué condiciones siguen vigentes y cuáles necesitan revisión.
Dónde: En Contexto del registro, el inventario, R-001, IMP-001 y CAM-001 según la modificación. Las filas se conectan con el mismo uso sin borrar el alcance anterior.
Con qué: Con información del cliente y del servicio, acuerdos, criterios de criticidad, datos de ensayo autorizados y responsables capaces de valorar consecuencias. No atribuiría al sistema tareas clínicas ni cumplimiento sectorial sin evidencia.
Glosario
Integración de sistemas de gestión
Organización coordinada de procesos y responsabilidades para varias perspectivas de gestión. Se concreta por alcance y evidencia; no consiste solo en juntar documentos.
SGIA
Sistema de gestión de IA. Políticas, objetivos, responsabilidades y procesos para desarrollar, proporcionar o utilizar IA de forma responsable.
SGSI
Sistema de gestión de seguridad de la información. En esta guía aporta preguntas de protección de información y funcionamiento de controles, dentro de su alcance.
Gestión de privacidad
Perspectiva que examina tratamientos de información personal, roles, finalidades y condiciones pertinentes. Se coordina con la protección técnica y otras evaluaciones.
Gestión de calidad
Perspectiva centrada en requisitos pertinentes del resultado o servicio, evaluación y mejora. Un promedio o una encuesta tiene que conservar sus límites.
Gestión de servicios
Organización de la prestación del servicio, responsabilidades, soporte, cambios, proveedores y continuidad, con criterios definidos.
Estructura armonizada
Estructura común de temas de muchas normas de sistemas de gestión. Facilita su integración sin convertir sus requisitos en idénticos.
Alcance
Límites de una evaluación, sistema de gestión o uso. Identifica qué incluye, condiciones pertinentes y exclusiones justificadas.
Rol respecto a la IA
Papel de la organización en desarrollo, integración, provisión o utilización. Hay que concretarlo por uso y contexto; no se deduce solo de comprar una herramienta.
Proceso compartido
Proceso de la organización que puede atender varias necesidades de gestión. Su cobertura se confirma con criterios y evidencia.
Evidencia reutilizable
Resultado o registro que puede aportar a otra pregunta cuando conserva su pertinencia, alcance, versión y condiciones. Su reutilización no amplía lo que demuestra.
Matriz de integración
Registro que relaciona proceso común, necesidad propia de IA, evidencia, responsable y próxima comprobación. Las referencias INT-D son didácticas.
Criterio de aceptación
Condición definida antes de una prueba para evaluar el resultado. Puede ser didáctica, operativa o contractual; hay que indicar su origen y alcance.
Trazabilidad
Posibilidad de reconstruir la relación entre uso, escenario, medida, prueba, resultado y decisión mediante referencias pertinentes.
Pendiente de comprobar
Aspecto que necesita evidencia o revisión identificada. Debe incluir quién puede comprobarlo y el siguiente paso pertinente.
Auditoría integrada
Auditoría coordinada que aborda varios sistemas de gestión, conservando sus alcances, criterios, competencia y evidencia. No es una conclusión automática por compartir un programa.
Revisión, conexiones y recursos
Alcance y roles
El uso y el proceso existente están delimitados; los supuestos y las ausencias están identificados.
Necesidad de IA
Cada integración mantiene la pregunta o condición específica del uso que hay que comprobar.
Evidencia con alcance
Las pruebas y documentos conservan su finalidad, versión y límites; las referencias permiten localizarlos.
Responsables y decisiones
Se distinguen propietario del proceso, propietario del uso, revisor y autoridad pertinente.
Acciones y pendientes
Los pendientes tienen comprobación siguiente y responsable propuesto; no se convierten en verificaciones.
Preparación de auditoría
Una muestra permite recorrer inventario, escenario, medida, prueba, resultado y decisión, con criterios propios.
Relaciona el trabajo con las guías A, B y C y prepara una muestra con criterios y evidencia para los siguientes módulos del curso.
ISO/IEC 42001:2023
Referencia del SGIA. El Anexo D es informativo: aplicación a dominios y sectores e integración con otros sistemas de gestión. Consultar la norma autorizada para los requisitos.
ISO/IEC 42001:2023 · referencia
BSI: integración y Anexo D
Material público de BSI sobre la integración con seguridad, privacidad y calidad. No sustituye las normas completas.
BSI: integración y Anexo D · referencia
ISO/IEC 27001
Seguridad de la información. Seleccionar la edición, alcance y evidencias aplicables a la organización.
ISO/IEC 27701
Gestión de información de privacidad. La ficha pública consultada presenta la edición 2025.
ISO 9001
Gestión de la calidad. La ficha pública consultada presenta la edición 2026. Registrar la edición y situación de transición aplicables.
ISO/IEC 20000-1
Gestión de servicios. Se utiliza como aplicación didáctica al contexto TI, sin atribuirla como una lista literal del Anexo D.
ISO: sistemas de gestión y estructura armonizada
La estructura común facilita la integración. La cobertura y las comprobaciones deben concretarse para cada sistema.
ISO: sistemas de gestión y estructura armonizada · referencia
Clases de apoyo y precisiones
El audio A acompaña el trabajo sobre perspectivas de integración. El audio B conecta proveedores, cambios, incidentes y preparación de la auditoría. Consulta las precisiones de cada grabación al aplicar los ejemplos.
031. Integrar el SGIA con seguridad, privacidad y calidad: Anexo D
Escuchar el audio A en iVoox (nueva pestaña)
Precisiones para interpretar el audio A
Los sistemas de seguridad, privacidad y calidad pueden adaptarse a los usos de IA. Las expresiones del audio sobre un «punto ciego» se refieren a una cobertura que debe comprobarse, no a una incapacidad inherente de esos sistemas. Integrar el SGIA implica coordinar y ampliar los procesos pertinentes.
En el ejercicio del clasificador conocemos los resultados de la comparación, pero no cómo se obtuvo v2, la causa de la diferencia ni la versión en producción durante T10-014. No se puede inferir que v2 fue entrenada específicamente, atribuir el resultado a drift ni excluirlo de forma general sin investigación. El mínimo de sensibilidad del 90 % es didáctico; v2 fue probada y no aprobada para despliegue.
T10-014 aporta tres marcas: 09:00, prioridad normal; 09:12, detección de discrepancia; 09:20, derivación a atención humana con prioridad. No acredita una discrepancia «masiva», un panel o una API en verde, causa raíz, daño, incumplimiento de SLA ni resolución final. La versión implicada debe comprobarse.
La reflexión final sobre una posible absorción de otros sistemas por el SGIA es especulativa. La orientación del Anexo D es integrar la gestión, conservando los criterios y responsabilidades pertinentes.
035. Un expediente integrado de IA: proveedores, cambios e incidentes
Escuchar el audio B en iVoox (nueva pestaña)
Precisiones para interpretar el audio B
En 07:36 se oye «aprobada» antes de «no está aprobada para desplegarla». La primera palabra es un lapsus. La decisión correcta del ejercicio es que v2 se ha ensayado y no se autoriza su despliegue: detecta siete de diez críticos, un 70 %, frente al mínimo didáctico previo del 90 %. La expresión posterior «se rechaza» mantiene esa decisión.
v1 alcanza el mínimo didáctico de sensibilidad con nueve críticos detectados de diez. Eso no acredita una aprobación integral para producción ni determina la versión implicada en T10-014. Los datos no incluyen una mejora medida de velocidad de v2. Las 09:20 acreditan la derivación registrada a atención humana con prioridad; la recepción efectiva, la actuación posterior y la resolución completa requieren sus propios registros.
Los procesos de seguridad, calidad y gestión de servicios pueden cubrir necesidades de IA. La integración comprueba y amplía su alcance, criterios, competencias y pruebas. Las metáforas de «fortalezas impenetrables» no acreditan invulnerabilidad. Las condiciones de datos y entrenamiento se contrastan con contrato, producto, modalidad, configuración y evidencias aplicables. Una actualización no implica necesariamente aprendizaje continuo durante el uso.
El estado «cerrada» acredita lo declarado en un registro. Para verificar el cierre se contrastan criterio interno, eficacia, decisión y fuentes del ejercicio. La ausencia de un documento, por sí sola, no siempre demuestra que una actuación no se haya realizado. La matriz ayuda a localizar y organizar las comprobaciones; su existencia no sustituye su ejecución.
La reflexión final sobre empezar desde cero en cada actualización no constituye una regla. Cada cambio se valora por su alcance y efectos, conservando la evidencia pertinente y ampliando lo necesario. La monitorización, la evaluación de cambios y la auditoría son actividades distintas.