Elegir qué hacer con un riesgo de IA
Una evaluación útil debe permitir una decisión. Compara respuestas, explica qué cambia en el uso y conserva lo que todavía necesitas comprobar.
Objetivo: Preparar una propuesta de tratamiento para un escenario de riesgo, justificando la alternativa elegida sin dar por eficaces las medidas ni por aceptado el riesgo residual.
Partir del escenario, sin completar los huecos
Antes de decidir una respuesta, conserva la diferencia entre lo observado, lo que podría ocurrir y lo que falta comprobar.
R-001 · SYS-003 / USO-004: el clasificador puede proponer una prioridad insuficiente para un ticket urgente. Si esa propuesta se aplica sin una corrección eficaz, la atención podría demorarse.
IMP-001: esa demora podría prolongar la interrupción del trabajo de la persona afectada. La gravedad depende, entre otras cosas, de su dependencia del servicio y de las alternativas disponibles.
El hecho aportado al caso es limitado: en una revisión didáctica, la prioridad propuesta fue baja y el evaluador consideró urgente el ticket. La aplicación al servicio real, la causa del desacuerdo y la eventual demora siguen pendientes de comprobación. El escenario no demuestra por sí mismo que exista discriminación, que falte supervisión o que el sistema falle con determinada frecuencia.
Esto no impide proponer una respuesta. Sí exige explicar qué problema pretende abordar y qué incertidumbres permanecen. Una medida provisional puede limitar una exposición mientras se obtienen datos; no convierte automáticamente la valoración pendiente en «riesgo bajo».
Trabaja dentro del alcance definido para el SGIA. Si este uso de IA estuviera fuera del alcance aprobado de una organización, señala que la propuesta requiere revisar esa situación. No amplíes el alcance de manera implícita al añadir una ficha.
Distinguir decisión, control y acción
Estas tres piezas se relacionan, pero describen cosas diferentes.
| Pieza | Qué expresa | Ejemplo propuesto |
|---|---|---|
| Decisión de tratamiento | La respuesta elegida ante el escenario. | Limitar la influencia del clasificador sobre la prioridad operativa mientras se revisa su comportamiento. |
| Control | La medida que pretende modificar el escenario o sus consecuencias. | Separar la propuesta de IA de la prioridad aplicada y establecer una validación con criterios de urgencia. |
| Acción | El trabajo necesario para implantar o ajustar la medida. | Modificar el flujo de asignación, definir los criterios y preparar la prueba de funcionamiento. |
«Formar al equipo», «poner supervisión» o «mejorar el modelo» son expresiones demasiado amplias para cerrar una decisión. Necesitamos explicar qué cambia en el uso del sistema y cómo ese cambio actúa sobre R-001. Las siguientes lecciones precisarán los controles, su implantación y las evidencias necesarias.
Comparar cuatro respuestas posibles
Puedes cambiar el uso, reducir la exposición, introducir medidas o reconsiderar la actividad. Las respuestas pueden combinarse.
Cambiar el uso
Modifica para qué se utiliza la salida de IA o qué influencia tiene sobre la decisión operativa. En el ejemplo, la prioridad propuesta podría servir como información de apoyo, mientras el triaje conserva una decisión independiente.
Pregunta: ¿qué decisión deja de depender de la salida y quién asume esa decisión?
Límite: llamar «orientativa» a una propuesta no basta si la interfaz, el tiempo disponible o la práctica habitual llevan a aceptarla automáticamente.
Reducir la exposición
Acota dónde, cuándo o con qué casos se utiliza el sistema. Una prueba sin efectos sobre tickets reales permite comparar propuestas y observar discrepancias antes de ampliar su influencia operativa.
Pregunta: ¿qué queda dentro y fuera del uso permitido, y cómo se impide que la propuesta afecte a los casos excluidos?
Límite: una muestra acotada no acredita el comportamiento en todos los escenarios. Además, hay que controlar el acceso a los datos utilizados en la prueba.
Introducir medidas
Actúa sobre las condiciones que permiten el fallo o sobre sus consecuencias. Puede incluir validación de la prioridad, reglas de escalado, una vía de revisión accesible o ajustes técnicos sustentados en el análisis de causas.
Pregunta: ¿qué parte de la secuencia interrumpe cada medida y con qué evidencia se comprobará?
Límite: la revisión humana requiere criterios, información, tiempo y autoridad. Su presencia en un documento no demuestra eficacia.
Reconsiderar la actividad
Valora pausar el uso afectado, sustituirlo o continuar el proceso sin IA cuando no puedas sostener las condiciones necesarias. En el ejemplo, podría mantenerse temporalmente un triaje convencional.
Pregunta: ¿cómo seguirá prestándose el servicio y qué condiciones permitirían reconsiderar el uso?
Límite: la alternativa también puede introducir errores, esperas o sobrecarga. Hay que valorar sus efectos y su capacidad real.
Estas cuatro respuestas organizan nuestro ejercicio; no son una clasificación jurídica del sistema ni una lista de opciones impuesta literalmente por ISO/IEC 42001. En la práctica, puedes combinar un cambio de uso con una limitación temporal y controles específicos.
Elegir una respuesta que se pueda explicar
Una elección útil conecta la medida con el escenario y hace visibles sus costes, límites y efectos sobre las personas.
No necesitas elegir la alternativa más sofisticada. Necesitas una respuesta proporcionada al problema, viable en el contexto y compatible con los requisitos aplicables. Compara las opciones con los criterios del módulo 5 y documenta dónde la información no permite una conclusión firme.
- Relación con el escenario: ¿evita la condición que permite aplicar una prioridad insuficiente, detecta el desacuerdo o limita sus consecuencias?
- Efectos sobre las personas: ¿reduce la posible demora sin bloquear el acceso al soporte ni aumentar la carga de quienes dependen del servicio?
- Viabilidad: ¿hay capacidad técnica y operativa para mantener la alternativa? ¿Qué recursos y conocimientos requiere?
- Nuevos riesgos: ¿añade retrasos, tareas manuales, exposición de datos o dependencia de una persona o proveedor?
- Comprobación: ¿qué resultado permitiría valorar si la respuesta funciona y con qué límites se interpretará?
No inventes porcentajes de reducción para que la comparación parezca objetiva. Puedes utilizar argumentos cualitativos, datos pertinentes y juicio experto documentado. Cuando falte una base suficiente, registra la valoración como pendiente o provisional y asigna la comprobación necesaria.
Urgencia real: si detectas una incidencia que requiere atención inmediata, activa la respuesta operativa correspondiente. La preparación de esta ficha no debe retrasar la atención ni la protección de las personas afectadas.
Una propuesta provisional para Tech Server IIT Spain
Vamos a combinar opciones, indicando qué se propone y qué todavía debe decidirse o comprobarse.
Propuesta didáctica: durante una prueba delimitada, la salida del clasificador se registrará para su revisión, sin aplicarse como prioridad operativa. El triaje seguirá el procedimiento convencional que corresponda, cuya capacidad y criterios también deben comprobarse. La comparación de propuestas aportará información para decidir el uso posterior.
Esta respuesta combina cambiar el uso y reducir la exposición. Su lógica es impedir que la salida de IA provoque por sí misma una demora mientras se analiza el desacuerdo. No elimina los errores del triaje convencional ni garantiza la continuidad del servicio: esos aspectos requieren una valoración propia.
Antes de ponerla en marcha deben quedar definidos el ámbito de la prueba, su duración, el acceso a los registros, la capacidad de atención y la autoridad que aprueba el cambio. Son condiciones pendientes de concretar en el caso; no describen hechos ya implantados.
La función responsable de soporte podría proponer las condiciones operativas y aportar información sobre el triaje. La configuración técnica correspondería a la función que realmente gestione ese flujo. La aprobación se asignará según las responsabilidades vigentes de la organización. No inventamos un comité ni atribuimos capacidad de aceptación a quien solo prepara una propuesta.
Para revisar la decisión, proponemos comprobar que las salidas de la prueba no cambian la prioridad real, estudiar las discrepancias con criterios definidos y observar si el proceso alternativo introduce demoras relevantes. La muestra, el periodo y los criterios de interpretación se fijarán antes de extraer conclusiones.
Resultado de esta lección: una respuesta provisional razonada. El plan detallado llegará en 6.4; la reevaluación y la aceptación del riesgo residual, en 6.5; la comprobación de eficacia, en 6.6.
Aclarar qué cambia al compartir responsabilidades
Un contrato o un proveedor puede cambiar quién ejecuta una medida. Debes seguir el riesgo hasta sus efectos sobre el servicio.
Tech Server IIT Spain podría solicitar al proveedor un análisis del desacuerdo o acordar obligaciones de soporte. También podría contratar tareas concretas. Para que esto sea útil, deben quedar claras las obligaciones, la información disponible, los límites del servicio y la respuesta ante incidencias.
Delegar una tarea no equivale a demostrar que el escenario está controlado. Ni una garantía comercial ni la promesa de una actualización acreditan, por sí solas, que los tickets urgentes reciben atención a tiempo. La organización necesita comprobar la parte del proceso bajo su responsabilidad y valorar sus dependencias.
Mantener el uso con los riesgos que permanezcan también requiere una decisión justificada y la autoridad correspondiente. No deduzcas una aceptación por ausencia de quejas, por el pago del servicio o porque la herramienta aporta beneficios. Lo trabajaremos de forma expresa en la lección 6.5.
Actividad: justificar antes de implantar
Compara dos alternativas para R-001 y prepara una propuesta que otra persona pueda revisar. Puedes trabajar en tu cuaderno o descargar la ficha.
Orientación para revisar tu propuesta
Una respuesta coherente conserva la valoración pendiente cuando corresponda, compara al menos dos alternativas y explica qué parte de R-001 pretende modificar. Si propones una prueba sin efectos operativos, debes precisar cómo evitarás que la salida cambie la prioridad real y cómo sostendrás la atención convencional.
Revisa también quién debe aprobar el cambio, qué evidencia falta, qué nuevos riesgos introduce la alternativa y cuándo se reconsiderará. Puede haber varias respuestas defendibles; ninguna queda validada solo por coincidir con el ejemplo del curso.
Comprueba tu criterio
El aprendizaje se demuestra con una decisión explicada y revisable.
Responde primero con tus palabras. Abre cada orientación cuando hayas terminado tu intento.
¿Por qué «riesgo pendiente» no significa «esperar sin hacer nada»?
Porque la incertidumbre puede justificar comprobaciones o medidas provisionales proporcionadas. Hay que documentar su motivo, sus límites y quién decide. Si hay una incidencia real urgente, la respuesta operativa no debe esperar a que termine la evaluación.
¿Por qué una revisión humana puede resultar insuficiente?
Porque su eficacia depende de los criterios, la información, la capacidad y la autoridad de quien revisa. Un paso formal puede existir sin detectar o corregir el error relevante. Esa eficacia debe comprobarse.
¿Qué debes valorar si decides pausar el clasificador?
Cómo continuará el servicio, si el proceso alternativo tiene capacidad suficiente y qué riesgos adicionales introduce. También deben quedar claras las condiciones para revisar la pausa. La alternativa sin IA requiere su propia evaluación.
¿Qué diferencia hay entre proponer una respuesta y aceptar el riesgo residual?
La propuesta explica qué se pretende hacer. La aceptación es una decisión de la autoridad correspondiente sobre el riesgo que permanece, con las condiciones y el seguimiento que procedan. La mera propuesta no equivale a esa aceptación.
Al terminar deberías poder explicar: qué respuesta propones, por qué actúa sobre el escenario, qué límites tiene y qué necesitas comprobar antes de darla por eficaz.
Referencias y alcance del material
Contenido didáctico de José Manuel Hernández Agudo. Caso Tech Server IIT Spain: ficticio. NIST se utiliza como referencia complementaria voluntaria; no sustituye ISO/IEC 42001. Las propuestas, estados y comprobaciones no describen una implantación real.
- ISO/IEC 42001:2023, ficha oficial (nueva pestaña)
- Vista previa publicada de ISO/IEC 42001:2023, apartado 6.1.3 (nueva pestaña)
- NIST AI RMF, funciones y categorías (nueva pestaña)
Este material no reproduce el texto de la norma ni acredita conformidad. Para comprobar requisitos concretos utiliza el texto normativo autorizado y las obligaciones aplicables al caso.