ISO 31000: gestión de riesgos, y qué cambia cuando el riesgo es de IA

Lo primero: la ISO 31000 no se certifica

Es el malentendido más caro de este tema, y conviene sacarlo del medio antes de nada. La ISO 31000 es una norma de directrices, no de requisitos. Da orientación sobre cómo gestionar riesgos, pero no lista obligaciones que un auditor pueda verificar.

Eso significa que ninguna empresa está certificada en ISO 31000. Si ves a alguien que dice estarlo, o está confundido o te está vendiendo humo. Lo que sí existe son cursos y certificaciones de personas en gestión de riesgos basadas en la 31000, que es otra cosa: acreditan a un profesional, no a una empresa.

Que no se certifique no la hace menos útil. Es probablemente el marco de riesgos más usado del mundo y es la base sobre la que se escribieron varias normas posteriores, incluida la de riesgos de inteligencia artificial.

Qué trae, en tres partes

La norma se organiza en tres bloques y ayuda mucho tenerlos separados en la cabeza, porque las empresas suelen implementar solo el tercero y después se preguntan por qué no sirvió de nada.

El proceso es la parte que todo el mundo conoce, normalmente en forma de matriz de riesgos. La matriz está bien, pero es la herramienta del tercer bloque. Sin los dos primeros termina siendo un ejercicio de colores que nadie usa para decidir nada.

Qué cambia cuando el riesgo viene de un sistema de IA

Aquí es donde esta página se pone interesante para lo que hago. ISO/IEC 23894 es la norma de gestión de riesgos de inteligencia artificial, y está construida sobre el marco de la 31000. No inventa un método nuevo: toma el que ya existe y lo aplica a un tipo de sistema que trae riesgos propios.

Los que aparecen y que una matriz de riesgos clásica no suele tener:

• El sistema se equivoca con seguridad. Un modelo puede dar una respuesta falsa con el mismo tono con el que da una verdadera. El riesgo no es que falle, es que nadie note que falló.
• Sesgo. Si el modelo aprendió de datos que ya venían torcidos, va a repetir esa inclinación a escala y con apariencia de objetividad.
• No siempre se puede explicar la decisión. Cuando un sistema rechaza un crédito o descarta un currículum, alguien va a preguntar por qué. Con ciertos modelos esa respuesta es difícil de dar.
• Dependencia de un proveedor. El modelo que usas hoy puede cambiar de comportamiento, de precio o de condiciones sin que tú decidas nada.
• Fuga de información. Lo que el equipo pega en una herramienta gratuita sale de la empresa. Es el riesgo más común y el más fácil de no ver. La parte técnica de cómo evitarlo la explico en agentes de IA para empresas.
• El modelo se degrada solo. Los datos del mundo cambian y lo que funcionaba hace un año hoy acierta menos, sin que nadie haya tocado nada.

Ninguno de esos se gestiona distinto: se identifican, se analizan, se evalúan y se tratan igual que cualquier otro. Lo que cambia es que hay que saber que existen para poder ponerlos en la lista.

Cómo se conecta con lo demás

Si tu empresa está mirando varias normas a la vez, esta es la que las une por debajo.

• La ISO/IEC 42001 exige evaluar riesgos de los sistemas de IA. El método para hacerlo sale de la 23894, que sale de la 31000.
• la Ley 31814 y su reglamento trabaja con un enfoque de riesgo, igual que el marco europeo en el que se miró para escribirla.
• La ISO/IEC 27701 y la protección de datos personales también piden evaluar riesgos, sobre los datos en vez de sobre el modelo.

En la práctica eso quiere decir que no hace falta un ejercicio de riesgos por cada norma. Se hace uno bien hecho y se usa para todas, que además es la única forma de que se mantenga: tres matrices distintas terminan desactualizadas las tres.

Sobre el PDF de la norma

Una de cada ocho personas que busca esta norma en Google está buscando el PDF gratis. Te lo digo derecho: ISO 31000 se compra. Es un texto con derechos de autor de ISO y aquí no lo vas a encontrar copiado, ni deberías encontrarlo copiado en ningún sitio serio.

Lo que sí te puedo decir es qué hay adentro para que decidas si te sirve comprarla: los principios, el marco y el proceso que describí arriba, con bastante explicación de cada paso. Es un documento corto comparado con otras normas ISO y se lee bien. Si tu trabajo es montar la gestión de riesgos de una empresa, vale la pena tenerla.

Se compra en el catálogo de ISO o, en Perú, a través de INACAL, que es el organismo nacional de normalización. Algunas normas se pueden hojear en línea antes de comprarlas.

Cómo trabajo esto

Con clientes casi nunca empiezo por la matriz. Empiezo por el inventario de qué inteligencia artificial se está usando ya, porque hasta que eso no está sobre la mesa la lista de riesgos es una lista de suposiciones.

Con el inventario delante, la evaluación sale rápido y, sobre todo, sale con riesgos reales en vez de genéricos. De ahí se decide qué se trata primero, que normalmente son dos o tres cosas y no las veinte que sale en cualquier plantilla.

Si tu empresa ya usa IA y todavía no tiene claro qué puede salir mal, conversemos media hora.

Conversemos 30 minutos, sin costo

Para ubicarte antes, el diagnóstico de madurez en IA y consultoría en IA.

Preguntas frecuentes