Comprobar que las medidas funcionan

Distinguir tres niveles de evidencia

Cada nivel permite una conclusión distinta.

Estos niveles son una herramienta didáctica del curso. Una medida puede tener evidencia de implantación y quedar pendiente su funcionamiento. También puede funcionar en la prueba y necesitar observar los resultados del proceso completo.

En R-001, una captura de la configuración no demuestra que ningún camino aplique la prioridad. Una prueba técnica puede confirmar una separación bajo ciertas condiciones, pero no demuestra por sí sola que el triaje alternativo atienda a tiempo.

Diseñar la comprobación antes de ver el resultado

Define la pregunta, el ámbito, el método y el criterio que utilizarás.

• Pregunta: ¿qué afirmación sobre el control quieres comprobar?
• Ámbito: uso, versión, interfaces, casos y condiciones relevantes.
• Método: prueba, observación, revisión de registros o combinación justificada.
• Criterio: qué resultado se esperaba y qué diferencia exigiría actuar.
• Evidencia: qué registrarás para que la conclusión pueda revisarse.
• Responsabilidad: quién ejecuta, quién revisa y cómo se gestionan las discrepancias.
• Respuesta al fallo: qué ocurre si la comprobación revela un problema urgente o un límite del uso.

Los criterios del ejercicio son propuestas. En una organización deben ajustarse al contexto y aprobarse según corresponda. No atribuyas a ISO un umbral de error o un tamaño mínimo de muestra que este material no establece.

Una prueba didáctica para CT-001

Puedes preparar una comprobación concreta sin inventar sus resultados.

Diseño propuesto: utilizar doce tickets sintéticos, identificados y sin datos personales reales, en un entorno de prueba autorizado. Incluir casos claros de urgencia, casos no urgentes, información incompleta y una situación de carga o interfaz relevante. El conjunto se elige por cobertura de escenarios; no es una muestra representativa del servicio.

Registrar la versión del sistema, la propuesta, la prioridad operativa y las vías de aplicación observadas. Comprobar que la salida de IA no modifica la prioridad operativa dentro del ámbito de la prueba sin efectos reales.

Criterio propuesto: cualquier aplicación de la salida que contradiga esa restricción obliga a investigar, revisar las condiciones y no dar por demostrada la separación. La inexistencia de ese fallo en los doce casos solo apoya una conclusión delimitada; no acredita una tasa de error del servicio ni una garantía universal.

Si el entorno no permite observar una interfaz, el resultado para esa vía será pendiente. Si se detecta una incidencia real, se activa su respuesta operativa. Conserva registros de la discrepancia y actualiza el plan de tratamiento cuando proceda.

Comprobar las medidas restantes y el proceso completo

El resultado debe relacionarse también con la atención y con las personas.

Para CT-002, prepara situaciones con información suficiente y con discrepancias. Observa si el revisor dispone de criterio, tiempo y autoridad para corregir o escalar. Evalúa también límites de carga y sesgo de automatización, sin atribuirlos como causas confirmadas del caso.

Para CT-003, intenta reconstruir un recorrido con los registros permitidos: propuesta, versión, decisión y momentos relevantes. Comprueba acceso y conservación. No recojas datos innecesarios para que la ficha parezca más completa.

Para CT-004, ensaya el proceso alternativo y el escalado. Observa si se conserva el responsable, la prioridad y el seguimiento. La atención convencional puede fallar por capacidad; su existencia no es una garantía de continuidad.

Si observas tiempos o errores, registra denominador, periodo, selección de casos y condiciones. Distingue propuesta incorrecta, decisión aplicada y efecto real. Una mejora en la media puede esconder una demora grave para quienes dependen de un servicio concreto.

Concluir, actuar y volver a revisar

Una conclusión útil indica qué se sostiene y qué trabajo sigue abierto.

Registra la comprobación, el resultado, los límites y la decisión siguiente. Puedes concluir «separación comprobada en las interfaces probadas; pendiente la vía restante» si la evidencia lo permite. No sustituyas ese detalle por «riesgo controlado».

Una discrepancia puede requerir corregir la implantación, revisar el diseño del control o reconsiderar la respuesta. Conserva el vínculo con R-001 y el plan. Después de un cambio relevante puede ser necesaria una nueva comprobación; repetir una captura antigua no demuestra el funcionamiento actual.

Reúne tus fichas: decisión de tratamiento, controles, revisión de aplicabilidad, plan, reevaluación y comprobaciones. El expediente debe permitir seguir una medida desde su razón hasta su evidencia. Puedes conservar asuntos pendientes si explicas su relevancia, el siguiente paso y las condiciones de uso mientras se resuelven.

La aceptación del riesgo residual sigue siendo una decisión autorizada separada. La documentación preparada no demuestra por sí misma conformidad, ausencia de daño ni autorización de cualquier uso del sistema.

Actividad: preparar tu ficha

Diseña una comprobación de CT-001 y revisa si tu expediente permite seguir el riesgo hasta la evidencia. Mantén los resultados pendientes si no has realizado la prueba.

Comprueba tu criterio

Explica tus decisiones antes de consultar las orientaciones.

Responde primero con tus palabras. Abre cada orientación después de tu intento.

Precisiones para escuchar el capítulo 015

Este audio presenta una conversación didáctica. Para utilizarlo en las lecciones 6.5 y 6.6, conserva estas precisiones:

1. Hechos del caso y ejemplos añadidos. Tech Server IIT Spain es ficticia. El dato inicial es una discrepancia en una revisión didáctica: la IA propuso prioridad baja y el evaluador consideró urgente el ticket. La caída de una base de datos, las pérdidas, las penalizaciones, los volúmenes de tickets y los umbrales mencionados por las voces no son datos aportados al caso ni criterios establecidos por el curso. La discrepancia requiere examinar información, contexto y criterios; no demuestra por sí sola que el evaluador tenga razón ni que exista un daño real.
2. Organización del expediente. Evaluación, implantación, comprobación y aceptación se distinguen para saber qué está fundamentado y qué sigue pendiente. No se presentan como cuatro fases normativas rígidas que exijan cuatro registros estrictamente independientes. El trabajo puede ser iterativo e integrado; esta distinción es compatible con Agile y Scrum.
3. Decisiones y registros. Tanto la aprobación del plan como la aceptación del riesgo residual requieren la autoridad de la dirección designada. Debe poder reconstruirse la decisión. La protección de la información documentada y el control de sus cambios no equivalen a imponer una tecnología de registros absolutamente inmutables. Los periodos de revisión y desencadenantes se definen y justifican para el contexto; los números del diálogo son ilustrativos.
4. Pruebas y cambios. Los doce tickets son una propuesta didáctica todavía no ejecutada. Un cambio relevante obliga a revisar su efecto sobre los supuestos y la evidencia. No invalida automáticamente todo el trabajo anterior: se conserva lo pertinente y se repite o amplía lo afectado. Antes de ejecutar se establece un criterio claro; cualquier revisión de ese criterio se justifica y registra.
5. Alcance del control. CT-001 propone separar todas las salidas del clasificador de la prioridad operativa durante la prueba delimitada. No se limita a bloquear las propuestas que parezcan erróneas. Hay que examinar rutas automáticas, manuales y la posible influencia de ver la propuesta. También se comprueba la capacidad del procedimiento convencional y se valoran sus propios escenarios de riesgo.
6. Respuesta a una incidencia. Una urgencia real se atiende siguiendo el procedimiento operativo y de escalado correspondiente, sin esperar a terminar el expediente. El diálogo no establece una orden universal de omitir o desactivar la IA. La vía adecuada depende del servicio y de las medidas autorizadas.

IMP-001 y R-001 son identificadores internos, no porcentajes ni cifras decimales. Las tres preguntas sobre implantación, funcionamiento y resultados son una ayuda pedagógica. La responsabilidad jurídica de personas u organizaciones no se determina en este episodio.

Actividad de escucha: localiza una afirmación del diálogo que necesite acotar su alcance y reformúlala usando estas precisiones. Después responde: ¿qué decisión permite tomar la evidencia disponible y qué comprobación falta para la siguiente?

Audio complementario · Bloque C

La empresa ficticia del curso se llama ahora Tech Server IIT Spain. Los audios ya publicados utilizan su nombre anterior, TechServe IT; se trata del mismo caso. La ampliación del anexo A y de la plantilla se desarrolla en las lecciones escritas 6.2 y 6.3.

Referencias y alcance del material

Contenido didáctico de José Manuel Hernández Agudo. Caso Tech Server IIT Spain: ficticio. NIST se utiliza como referencia complementaria voluntaria; no sustituye ISO/IEC 42001. Las propuestas, estados y comprobaciones no describen una implantación real.

• ISO/IEC 42001:2023, ficha oficial (nueva pestaña)
• Vista previa publicada de ISO/IEC 42001:2023, apartado 6.1.3 (nueva pestaña)
• NIST AI RMF, funciones y categorías (nueva pestaña)

Este material no reproduce el texto de la norma ni acredita conformidad. Para comprobar requisitos concretos utiliza el texto normativo autorizado y las obligaciones aplicables al caso.