Anexos y herramientas prácticas
Guías y herramientas para conectar los controles, los riesgos y las decisiones de tu sistema de gestión de inteligencia artificial.
Objetivo: ayudarte a trasladar el aprendizaje del curso a un caso concreto, justificando las decisiones y preparando evidencias que puedan revisarse.
Cómo utilizar este módulo
Consulta la guía que necesites y vuelve a la lección que te ayude a trabajarla.
Este módulo complementario reúne los anexos A, B, C y D de ISO/IEC 42001 y las herramientas prácticas relacionadas. Puedes utilizarlo durante el curso para aclarar una duda o después de un módulo para ampliar tu ejercicio.
Si empiezas desde cero, sigue primero los módulos del curso. Si ya estás trabajando en un SGIA, utiliza estas guías para relacionar contexto, riesgos, medidas, responsables y evidencias.
El hilo conductor sigue siendo Tech Server IIT Spain. Aprovecha las fichas y los registros que has preparado: una misma evidencia puede servir para varias decisiones cuando su contenido, alcance y versión permiten comprobarlas.
Las cuatro guías
Cada guía responde a una pregunta distinta del trabajo de gestión.
Los tiempos de las cuatro guías son estimaciones de lectura, actividades y revisión. No incluyen una implantación real ni la escucha de audios.
Anexo A · Qué controles considerar
Comprende las 38 referencias con explicaciones sencillas, ejemplos cotidianos, pasos de aplicación y comprobaciones.
Guía del Anexo APDF del Anexo A (nueva pestaña) · Excel en blanco · Excel de ejemplo
Tiempo orientativo de lectura y práctica: 3–5 horas.
Anexo B · Cómo llevarlos a la práctica
Aplica los controles seleccionados mediante 38 fichas, nueve grupos y tres casos integradores: actuaciones, responsables, medios, evidencia y comprobaciones.
Guía del Anexo BPDF del Anexo B (nueva pestaña) · Excel en blanco · Excel de ejemplo
Tiempo orientativo de lectura y práctica: 5–8 horas.
Anexo C · Objetivos y fuentes de riesgo
Relaciona el valor buscado con objetivos, condiciones de uso, fuentes y escenarios de riesgo e impacto. Incluye casos y actividades para preparar decisiones.
Guía del Anexo CPDF del Anexo C (nueva pestaña) · Excel en blanco · Excel de ejemplo
Tiempo orientativo de lectura y práctica: 4–6 horas.
Anexo D · Dominios, sectores e integración
Coordina el SGIA con seguridad, privacidad, calidad y servicios TI conservando alcance, criterios y evidencia. Incluye cuatro perspectivas, diez procesos y tres casos.
Guía del Anexo DPDF del Anexo D (nueva pestaña) · Excel en blanco · Excel de ejemplo
Tiempo orientativo de lectura y práctica: 4–6 horas.
Herramientas que ya puedes utilizar
Elige la herramienta según la decisión que necesitas preparar y utiliza la explicación de su módulo para completarla.
- Mapa de controles y selección de medidas · Lección 6.2: relaciona el escenario de riesgo con los controles que podrían actuar sobre él.
- Declaración de aplicabilidad · Lección 6.3: trabaja la plantilla editable, las inclusiones, las exclusiones condicionadas y las decisiones pendientes.
- Ficha integrada de datos FD-001 · Módulo 7: conecta fuentes, versiones, calidad, protección y condiciones de uso.
- Protocolo de supervisión SUP-001 · Módulo 8: concreta límites, capacidad de intervención, revisión, información y atención de desacuerdos.
- Proveedores, cambios y retirada · Módulo 9: canaliza SOL-PROV-001 y trabaja PROV-001, CAM-001 y RET-001 para evaluar dependencias y conservar el control durante el ciclo de vida.
- Seguimiento e incidentes · Módulo 10: conecta MON-001 e INC-001 con las comprobaciones y decisiones del uso.
- Auditoría interna · Módulo 11: utiliza AUD-001 y AUD-002 para organizar criterios, muestras, evidencias y seguimiento.
FD-001 y SUP-001 se trabajan con las actividades de sus módulos y los cuadernos PDF: Módulo 7 · Datos (PDF, nueva pestaña) · Módulo 8 · Supervisión y transparencia (PDF, nueva pestaña).
Anexo A: registrar la aplicabilidad
La guía A explica cómo trabajar la plantilla de aplicabilidad y ofrece un ejemplo rellenado con las 38 referencias y las cuatro medidas propias del módulo 6. Podrás comparar una inclusión propuesta con una decisión pendiente y practicar después en la plantilla en blanco.
Anexo B: registrar la implementación y las comprobaciones
Una vez justificada la selección, concreta cómo aplicar la medida: ámbito, actuación, función responsable, medios, evidencia disponible, prueba y decisión. El registro de implementación complementa la declaración de aplicabilidad; relaciona sus filas para mantener coherentes las decisiones y sus versiones.
Empieza con el ejemplo didáctico de Tech Server IIT Spain y prepara después tu propio registro en blanco. Una fila escrita no acredita por sí sola que el control esté implantado o funcione; conserva los estados y las comprobaciones pendientes.
Anexo C: preparar objetivos y escenarios de riesgo
Utiliza el registro para convertir el valor buscado en una propuesta de objetivo y relacionar fuentes de riesgo, escenarios e impactos. Trabájalo al preparar los módulos 3 y 5 y vuelve a él al revisar los indicadores del módulo 10. El Excel ayuda a ordenar y justificar las preguntas; la evaluación se desarrolla en las fichas correspondientes.
Anexo D: relacionar procesos y evidencias del SGIA
Utiliza la matriz de integración para identificar procesos compartidos con seguridad, privacidad, calidad y servicios TI, y conservar las comprobaciones específicas de IA. Relaciona responsables, documentos, evidencias y pendientes. Consúltala especialmente después del módulo 10 y antes de la auditoría del módulo 11.
Módulo 9: solicitudes, proveedores, cambios y retirada
Empieza por la solicitud interna y continúa con la ficha que corresponda. Cada documento incluye una plantilla en blanco y un ejemplo didáctico.
SOL-PROV-001 · Solicitud interna de herramienta con IA
Antes de crear una cuenta, contratar o introducir datos, describe la herramienta, el uso, los destinatarios y la sensibilidad de la información. Permite detectar IA en la sombra y derivar la solicitud a la evaluación que corresponda.
PROV-001 · Evaluación formal del proveedor
Reúne fuentes y condiciones sobre tratamiento de datos, seguridad, uso para entrenamiento, continuidad y soporte. Registra la valoración, la decisión propuesta y las comprobaciones pendientes antes de autorizar la relación.
CAM-001 · Gestión de cambios del sistema de IA
Delimita el cambio, fija criterios antes de probar y relaciona los resultados con riesgos, impactos y autoridad de aprobación. Úsala antes del despliegue de una nueva versión; conserva la alternativa o reversión prevista.
RET-001 · Contingencia y retirada de un uso de IA
Prepara el canal alternativo, las solicitudes abiertas y la comunicación. Documenta qué ocurrirá con los datos, los accesos, el inventario y las obligaciones pendientes cuando se interrumpa o retire el servicio.
Módulo 10: seguimiento e incidentes
MON-001 · Seguimiento e indicadores
Define población, fuente, denominador, criterio y actuación. Practica con los indicadores, la sensibilidad del clasificador y los percentiles de latencia; revisa también impactos por segmentos y entradas para la dirección.
INC-001 · Registro y gestión de incidentes
Documenta detección, cronología, valoración, contención, investigación, comunicaciones, recuperación y cierre. Separa hechos, hipótesis y pendientes; conserva el criterio y la decisión sobre las notificaciones que procedan.
Generador de incidentes de IA · INC-001
El asistente te guía por el expediente de incidente y genera un documento Word editable con tus respuestas. Puedes empezar con el registro inicial y completar después la investigación, la recuperación y el cierre.
- Elige el tipo de documento y si se trata de un caso real o de un ejercicio. Puedes cargar el ejemplo ficticio T10-014.
- Completa los pasos, revisa los hechos y conserva los aspectos pendientes de comprobar.
- Descarga el Word y guarda el borrador JSON para continuar más adelante. También puedes copiar un resumen para un ticket o comunicación interna.
Úsalo como apoyo al módulo 10 y al preparar las evidencias para el módulo 11. El documento recoge lo declarado; las actuaciones y las decisiones requieren comprobación.
Módulo 11: auditoría interna y seguimiento
AUD-001 · Plan e informe de auditoría interna
Delimita alcance, criterios, responsables y muestra. Utiliza el documento para preparar la auditoría y redactar hallazgos y conclusiones apoyados en las evidencias que hayas contrastado.
AUD-002 · Registro de auditoría y seguimiento
Relaciona criterios, muestras, evidencias y hallazgos. Conserva el seguimiento de acciones y comprobaciones para que otra persona pueda reconstruir qué se revisó y qué queda pendiente.
Utiliza una copia en blanco para tus respuestas y el ejemplo de Tech Server IIT Spain como orientación. Conserva las versiones y las comprobaciones pendientes: una plantilla rellenada no acredita por sí sola que una actuación se haya ejecutado o sea eficaz.
Del control a una comprobación útil
Una medida necesita una razón y una forma de comprobar si cumple su función.
- Delimita el uso: finalidad, actividad, personas afectadas y papel de la organización.
- Explica la necesidad: riesgo, impacto, requisito u objetivo que motiva la medida.
- Justifica la decisión: inclusión, exclusión fundada o información pendiente.
- Describe la aplicación: qué se hará, quién podrá hacerlo y con qué medios.
- Comprueba el resultado: identifica la evidencia disponible y lo que todavía hay que observar.
Diseñar una prueba permite preparar la comprobación. Para registrar un resultado observado es necesario ejecutarla y conservar lo ocurrido. Si faltan datos, mantén visible el pendiente y asigna el siguiente paso.
Por dónde empezar
Empieza con un uso concreto y una decisión que puedas explicar.
En la guía del Anexo A recorrerás el catálogo completo y practicarás con el clasificador de tickets de Tech Server IIT Spain. Después podrás volver a la declaración de aplicabilidad para documentar tus decisiones.
Tiempo orientativo de lectura y práctica: Anexo A, 3–5 horas; Anexo B, 5–8 horas; Anexo C, 4–6 horas; Anexo D, 4–6 horas. Ajusta el ritmo a tu experiencia y a la profundidad de tus respuestas. Estas estimaciones no incluyen una implantación real ni la escucha de audios.
La Guía del Anexo B te ayuda a organizar la aplicación y las comprobaciones de los controles seleccionados.