Marco de gestión de riesgos de IA del NIST

Resumen

El NIST AI Risk Management Framework (AI RMF 1.0), publicado el 26 January 2023, es un documento de orientación voluntario elaborado por el National Institute of Standards and Technology para ayudar a las organizaciones a diseñar, desarrollar, implementar y utilizar sistemas de IA de manera fiable y responsable. Aunque no es jurídicamente vinculante, el NIST AI RMF se ha convertido en un estándar de facto para la gobernanza de la IA en Estados Unidos y se cita cada vez más en las orientaciones regulatorias de todo el mundo.

El marco se estructura en torno a cuatro funciones esenciales: Govern, Map, Measure y Manage. Estas funciones ofrecen un enfoque flexible y estructurado de la gestión de riesgos de IA que puede adaptarse al tamaño, el sector y la tolerancia al riesgo de cualquier organización.

La función GOVERN establece y mantiene las estructuras, políticas y procesos organizativos para la gestión de riesgos de IA. Hace hincapié en la responsabilidad de la dirección, la participación de las partes interesadas y la integración de la gestión de riesgos de IA en la gestión de riesgos más amplia de la empresa. Esta función reconoce que una gobernanza eficaz de la IA exige un cambio cultural, y no solo controles técnicos.

La función MAP consiste en comprender el contexto en el que operan los sistemas de IA. Implica identificar y categorizar los sistemas de IA, comprender sus finalidades previstas y sus posibles impactos, y reconocer el contexto social más amplio del despliegue de la IA. El mapeo también incluye la identificación de las partes interesadas pertinentes y la comprensión del panorama jurídico y regulatorio.

La función MEASURE se centra en emplear métodos cuantitativos y cualitativos para analizar, evaluar, comparar y supervisar los riesgos de IA y sus impactos relacionados. Esto incluye el desarrollo de métricas para las características de fiabilidad, tales como la exactitud, la equidad, la privacidad, la seguridad, la resiliencia, la transparencia, la explicabilidad y la responsabilidad.

La función MANAGE consiste en asignar recursos e implementar planes para responder a los riesgos de IA, recuperarse de ellos y comunicar sobre ellos. Incluye la priorización de los riesgos, la implementación de estrategias de mitigación y el establecimiento de procesos de supervisión y ajuste continuos.

El documento complementario, el NIST AI RMF Playbook, proporciona acciones sugeridas y referencias para cada subcategoría, lo que hace que el marco sea muy práctico para su implementación. El Playbook es un documento vivo que el NIST actualiza a medida que evolucionan las prácticas.

El NIST AI RMF se elaboró mediante un amplio proceso multilateral en el que participaron cientos de organizaciones de la industria, el mundo académico, la sociedad civil y el gobierno. Este proceso de elaboración colaborativo ha conferido al marco una amplia legitimidad y aceptación en todos los sectores.

El AI RMF es una guía voluntaria, no una ley ni una certificación. La EO 14110 hacía referencia histórica al trabajo del NIST, pero fue revocada el 20 de enero de 2025. Toda obligación actual de contratación pública, contractual o sectorial requiere su propia fuente y evaluación. El perfil de IA generativa de julio de 2024 complementa, pero no sustituye, el AI RMF 1.0.