CerbIA: aplicar ISO/IEC 42001 a la selección, operación y evaluación de un componente
Aprende a justificar dónde se incorpora CerbIA, qué riesgo trata y qué decisiones y evidencias necesita la organización para gobernarlo dentro de su SGIA.
Versión analizada: 86d063106a8b · 2026-11-01 · Análisis documental y de código.
La pregunta del monográfico
¿Cómo debe gestionar una organización la incorporación de CerbIA a su sistema de IA? Para responder, primero entenderemos el componente y después decidiremos qué uso puede justificarse. El objeto técnico es un proyecto público; el objeto de gestión es el sistema de la organización que lo incorpora. Confundir ambos lleva a atribuir a una biblioteca decisiones que corresponden a personas con autoridad.
CerbIA es una biblioteca modular publicada por InditexTech. Compone mecanismos para evaluar contenido que atraviesa aplicaciones de IA. Sus señales dependen de reglas, modelos y configuración; la propia presentación advierte de sus límites como garantía de seguridad. La atribución pública no acredita una implantación interna en Inditex. Presentación y límites del proyecto
Un caso para aprender a decidir
Trabajaremos con un asistente hipotético que recibe consultas, utiliza información recuperada y puede llamar a herramientas. Una entrada puede contener datos personales, una credencial o una instrucción que intente desviar al modelo. Una respuesta también puede divulgar información. La organización necesita elegir qué contenido inspecciona, antes de qué efecto y con qué respuesta operativa.
El recorrido general combina carga, preprocesamiento, inspección y agregación. El resultado alimenta una decisión de la aplicación. Este diseño permite discutir selección de controles y riesgo residual, pero su existencia no prueba que una instalación concreta sea eficaz. La revisión del repositorio es estática: no hemos ejecutado el producto ni medido latencia, ahorro o eficacia.
Qué aprenderás
Las siete lecciones siguen una secuencia: necesidad y alcance; interpretación del resultado; errores y actuación; integración, proveedores y datos; cobertura y métricas; operación y recalibración; dictamen del SGIA. Cada una explica primero el funcionamiento y termina con una decisión razonada. Las referencias de código permiten comprobar afirmaciones; no se requiere programar ni instalar componentes.
El ejercicio de 60 entradas utiliza datos sintéticos. Sirve para distinguir detección, falsos bloqueos, exactitud y precisión. Sus porcentajes no describen el rendimiento de CerbIA. Los casos resueltos muestran cómo separar un hecho, una hipótesis y una evidencia pendiente, sin sustituir una evaluación de la organización.
Vocabulario básico
| Término | Significado en este monográfico |
|---|---|
| SGIA | Sistema de gestión de la inteligencia artificial de una organización. |
| Entrada | Unidad de contenido que llega a una evaluación. |
| Escáner | Componente que busca determinadas señales. |
| Hallazgo | Resultado individual de un escáner, con contexto. |
| Puerta | Mecanismo que reúne resultados y calcula un veredicto. |
| Frontera | Punto donde el contenido pasa entre componentes. |
| Riesgo residual | Riesgo que permanece tras aplicar las medidas elegidas. |
| Evidencia | Información verificable que sostiene una conclusión. |
Cómo utilizaremos ISO/IEC 42001
Relacionaremos el caso con alcance, responsabilidades, riesgos, impactos, operación, seguimiento y mejora. La numeración se apoya en el índice oficial de IEC. Para el Anexo A empleamos áreas de control, contrastadas en la presentación de BSI, página 6. Las correspondencias son propuestas docentes de aplicación; no declaran conformidad.
Los nombres de fichas, registros y roles son opciones prácticas del curso. Deben adaptarse al contexto. Identificar una versión facilita reconstruir una evaluación; una firma, un repositorio único o una revisión manual de cada texto no son exigencias universales que aquí atribuyamos a ISO. El criterio será siempre explicar qué se decidió, por qué, quién podía decidirlo y con qué evidencia.
Lecciones del monográfico
Lección 1 · Necesidad, recorrido del contenido y alcance del SGIA
Sitúa el componente dentro de un sistema de IA y delimita qué contenido y operaciones quedan bajo control.
Estudiar la lección 1Lección 2 · Hallazgos, puntuaciones y decisiones sobre el riesgo
Interpreta el veredicto como resultado de una configuración y justifica qué riesgo puede quedar después.
Estudiar la lección 2Lección 3 · Errores, omisiones y actuación de la aplicación
Distingue un fallo del escáner, un resultado inseguro y una operación realmente impedida.
Estudiar la lección 3Lección 4 · Integración, proveedores y datos
Elige las fronteras de inspección y examina qué añade cada dependencia al sistema y a sus responsabilidades.
Estudiar la lección 4Lección 5 · Cobertura y métricas: qué puede concluirse
Comprueba primero que se evaluó el contenido esperado y después mide aciertos, escapes y falsos bloqueos con denominadores claros.
Estudiar la lección 5Lección 6 · Latencia, carga operativa y recalibración
Evalúa el coste completo del control y decide cambios sin perder de vista cobertura, riesgo y efectos sobre las personas.
Estudiar la lección 6Lección 7 · Dictamen del SGIA: responsabilidades, evidencias y decisión
Construye una conclusión proporcionada que distinga capacidad técnica, evidencia de la instalación y decisión organizativa.
Estudiar la lección 7