Inteligencia Artificial
¿Cómo hacer una evaluación de riesgos de inteligencia artificial?
Respuesta directa
Una evaluación de riesgos de IA es un proceso documentado en ocho pasos: definir el caso de uso, identificar riesgos, medir impacto y probabilidad, definir controles, calcular el riesgo residual, tomar una decisión formal de aprobación, y programar revisiones periódicas. No es un formulario único: es un proceso vivo que se repite cada vez que el sistema cambia de alcance o de nivel de riesgo.
Clasificar un sistema de IA en un nivel de riesgo bajo, medio, alto o crítico responde a la pregunta de 'qué tan riesgoso es'. La pregunta siguiente, distinta, es 'cómo lo demostramos y quién lo aprueba'. Ahí es donde entra la evaluación de riesgos: un proceso documentado, con pasos definidos y evidencia, que convierte una intuición de riesgo en una decisión formal y trazable. Este artículo describe ese proceso de principio a fin, con una plantilla de campos y un checklist de evidencia que cualquier empresa mediana puede adaptar sin necesidad de un departamento de cumplimiento dedicado.
Qué es —y qué no es— una evaluación de riesgos
Una evaluación de riesgos de IA no es un cuestionario que se llena una sola vez y se archiva. Es un proceso repetible que documenta cómo se llegó a la conclusión de que un sistema puede (o no puede) avanzar, con qué controles, y quién asumió esa decisión. El valor no está en el documento en sí, sino en que obliga a pensar explícitamente en lo que puede salir mal antes de que suceda.
Tampoco es lo mismo que la clasificación de riesgo tratada en otro artículo: la clasificación ubica rápidamente el nivel de un sistema; la evaluación es el proceso más profundo que se activa, sobre todo, cuando ese nivel es alto o crítico, o cuando el negocio decide aplicarlo también a sistemas medios por prudencia.
Relacionado: ¿Qué es Shadow AI y cómo controlarlo en una empresa?
Los ocho pasos del proceso de evaluación
El siguiente flujo describe la secuencia recomendada. Cada paso genera una entrada documentada que alimenta al siguiente; saltarse uno suele significar que la aprobación final se basa en supuestos no verificados.
Proceso de evaluación de riesgos de IA
1. Caso de uso
Describir con precisión qué hace el sistema, quién lo usa, qué decisión o acción ejecuta y en qué proceso de negocio se inserta.
2. Identificación de riesgos
Listar los riesgos concretos: errores del modelo, sesgo, filtración de datos, uso indebido, dependencia excesiva del usuario, fallas de disponibilidad.
3. Impacto
Estimar la severidad de cada riesgo si se materializa: económico, reputacional, legal u operativo.
4. Probabilidad
Estimar qué tan probable es que ese riesgo ocurra dado el diseño actual del sistema y su volumen de uso esperado.
5. Controles
Definir qué controles reducen cada riesgo: revisión humana, límites de alcance, monitoreo, pruebas antes del lanzamiento.
6. Riesgo residual
Calcular el nivel de riesgo que queda después de aplicar los controles propuestos; es lo que realmente se está aceptando.
7. Decisión de aprobación
Un responsable de negocio, no solo técnico, decide formalmente si el riesgo residual es aceptable, condicionado o rechazado.
8. Revisión periódica
Programar cuándo se revisa de nuevo la evaluación: por calendario fijo o al detectar un cambio relevante en el sistema.
Relacionado: ¿Quién debe ser responsable de la inteligencia artificial en una empresa?
Si quieres aplicar esto a un proceso real de tu empresa, conoce nuestro servicio de IA aplicada a la operación.
Plantilla de campos para documentar la evaluación
No hace falta software especializado para empezar: una tabla o formulario compartido con estos campos es suficiente para la mayoría de empresas medianas, y puede irse formalizando conforme crece el número de sistemas de IA en uso.
| Campo | Qué debe contener |
|---|---|
| Nombre del sistema | Identificador único y versión evaluada |
| Caso de uso | Qué hace, quién lo usa, en qué proceso se inserta |
| Nivel de riesgo clasificado | Resultado de la clasificación previa (bajo/medio/alto/crítico) |
| Riesgos identificados | Lista de riesgos concretos con impacto y probabilidad |
| Controles propuestos | Medidas específicas por cada riesgo identificado |
| Riesgo residual | Nivel de riesgo aceptado después de controles |
| Responsable de aprobación | Nombre y rol de quien aprueba, con fecha |
| Próxima revisión | Fecha o evento que dispara la siguiente revisión |
Relacionado: ¿Necesita mi empresa un comité de inteligencia artificial?
Checklist de evidencia que respalda la evaluación
Una evaluación sin evidencia es solo una opinión documentada. La evidencia es lo que permite a un auditor interno, a un nuevo responsable del proyecto o a la propia empresa en una revisión futura, confirmar que la decisión se tomó con información real y no solo con buena fe.
Evidencia mínima a conservar
- Resultados de pruebas del sistema antes del lanzamiento (evals, casos de prueba).
- Registro de quién identificó cada riesgo y con qué método.
- Comunicación o acta donde el responsable aprueba formalmente el riesgo residual.
- Versión del sistema o modelo evaluado, con fecha exacta.
- Historial de revisiones periódicas realizadas y sus resultados.
Relacionado: ¿Cómo clasificar los riesgos de un sistema de inteligencia artificial?
Quién debe aprobar cada nivel de decisión
La aprobación no debería recaer únicamente en el equipo técnico que construyó el sistema: quien lo construye tiene interés en que avance, no necesariamente la visión de negocio o legal necesaria para pesar el riesgo con objetividad. Para sistemas de riesgo bajo o medio, un responsable de área suele ser suficiente. Para sistemas de riesgo alto o crítico, conviene que la aprobación involucre a más de una persona: negocio, legal o cumplimiento si existe, y quien responderá operativamente si algo falla.
Relacionado: ¿Qué riesgos tiene usar inteligencia artificial en una empresa?
Por qué la revisión periódica no es opcional
Un sistema de IA aprobado hoy con un riesgo residual aceptable puede dejar de serlo mañana: cambia el modelo subyacente, cambia el volumen de usuarios, cambia el proceso de negocio al que sirve. La evaluación de riesgos debe tener una fecha de vencimiento o un evento disparador —como un cambio de proveedor de modelo o un incidente— que obligue a repetir el proceso, no solo revisarlo cuando alguien se acuerda.
Este proceso conecta directamente con la puerta de controles previa a producción: una evaluación formal aprobada suele ser el requisito de entrada para que un sistema de riesgo alto o crítico pase a esa etapa, que se documenta en un artículo separado.
Fuentes de referencia
- NIST AI RMF 1.0 (documento completo)
Documento oficial del marco de gestión de riesgos de IA.
- NIST AI RMF Playbook
Guía práctica de implementación de las funciones Map, Measure, Manage y Govern.
- OWASP Top 10 for LLM Applications
Riesgos técnicos frecuentes útiles para la identificación de riesgos.
- Google Cloud Responsible AI Practices
Prácticas de evaluación y gestión de riesgos de IA en producción.
Preguntas frecuentes
- ¿Cada sistema de IA necesita una evaluación formal de riesgos?
- No necesariamente. Los sistemas de riesgo bajo, según la clasificación previa, pueden avanzar con controles ligeros. La evaluación formal se justifica sobre todo en sistemas de riesgo alto o crítico, o cuando la empresa prefiere aplicar el proceso también a sistemas medios por prudencia.
- ¿La evaluación de riesgos de IA es obligatoria por ley?
- Depende del sector, el país y el tipo de sistema; no existe una obligación general aplicable a toda empresa. Este artículo describe una práctica recomendada basada en marcos voluntarios como el NIST AI RMF, no una obligación legal universal.
- ¿Quién debe liderar el proceso de evaluación dentro de una empresa mediana?
- Normalmente el responsable del proyecto de IA, con participación de un responsable de negocio y, si existe, de la persona encargada de legal o cumplimiento. No debe recaer únicamente en el equipo técnico que construyó el sistema.
- ¿Qué diferencia hay entre riesgo inherente y riesgo residual?
- El riesgo inherente es el nivel de riesgo del sistema sin ningún control aplicado. El riesgo residual es lo que queda después de aplicar los controles propuestos: revisión humana, límites, monitoreo. La decisión de aprobación se toma sobre el riesgo residual, no sobre el inherente.
- ¿Con qué frecuencia debe repetirse la evaluación?
- No hay una frecuencia universal; depende del nivel de riesgo del sistema. Como referencia práctica, los sistemas críticos suelen revisarse cada pocos meses o ante cualquier cambio relevante, mientras que los de riesgo medio pueden revisarse una o dos veces al año.