Plantilla gratuita
Gobernanza de la IA
Evaluación de la madurez
Puntúe su organización en 5 pilares y 25 preguntas. Identifique sus carencias de gobernanza y elabore una hoja de ruta de mejora priorizada. Alineada con la ISO 42001 y el EU AI Act.
5 pilares
política, riesgo, seguridad, cumplimiento, personas
25 preguntas
4 niveles de madurez cada una
100 puntos
escala de puntuación total
Gratis
de usar y personalizar
La escala de madurez de la gobernanza de la IA de 4 niveles
Cada una de las 25 preguntas de evaluación se puntúa en una escala de 1 a 4. Use estas definiciones de niveles como referencia al puntuar. La prueba clave del nivel 3 (Definido) es: ¿está este proceso documentado, aprobado, seguido de forma coherente, y puede aportar pruebas para demostrarlo a un auditor?
1 punto
Nivel 1, Inicial
Ad hoc o inexistente. No existe ningún proceso, política ni control documentado. La actividad ocurre de forma reactiva o no ocurre.
2 puntos
Nivel 2, En desarrollo
Parcialmente implementado. Se ha hecho algún esfuerzo, pero la cobertura es incompleta, incoherente entre equipos o no está aprobada formalmente.
3 puntos
Nivel 3, Definido
Documentado, aprobado y seguido de forma coherente en toda la organización. Hay pruebas disponibles. Este es el nivel objetivo para el cumplimiento regulatorio de referencia.
4 puntos
Nivel 4, Optimizado
Mejorado de forma continua con métricas, automatización y bucles de retroalimentación. Mejor práctica. Los controles son proactivos en lugar de reactivos.
La evaluación
Haga clic en cada pilar para desplegarlo. Puntúe cada pregunta de 1 a 4 y registre las pruebas que respaldan su puntuación.
Este pilar evalúa la madurez de su marco de política de IA, su estrategia de gobernanza y el compromiso del liderazgo. Puntúe cada pregunta de 1 a 4 usando las definiciones de niveles de madurez anteriores. Puntuación máxima del pilar: 20 puntos.
1.1 Política de uso aceptable de la IA
Nivel 1No existe ninguna política de IA. Los empleados usan herramientas de IA sin orientación formal.
Nivel 2Existe una política de IA informal o un conjunto de directrices, pero no se ha aprobado formalmente ni se ha distribuido a todo el personal.
Nivel 3Una política formal de uso aceptable de la IA está aprobada, distribuida a todo el personal y se revisa anualmente. Los empleados firman un acuse de recibo.
Nivel 4La política se actualiza de forma dinámica en respuesta a los cambios regulatorios, los nuevos riesgos de IA y los comentarios de los empleados. El cumplimiento se supervisa automáticamente.
Puntuación: _____ / 4
1.2 Estrategia de gobernanza de la IA
Nivel 1No hay una estrategia de gobernanza de la IA definida. La gobernanza ocurre de forma reactiva.
Nivel 2Existe una iniciativa de gobernanza de la IA, pero carece de patrocinio ejecutivo, objetivos definidos o una hoja de ruta.
Nivel 3Existe una estrategia de gobernanza de la IA documentada, con objetivos definidos, patrocinio ejecutivo y una hoja de ruta a 12 meses.
Nivel 4La estrategia de gobernanza de la IA está integrada con la estrategia de riesgo corporativo, se revisa trimestralmente y está vinculada a resultados de negocio medibles.
Puntuación: _____ / 4
1.3 Comité de gobernanza de la IA
Nivel 1No existe ningún comité de gobernanza de la IA ni órgano equivalente.
Nivel 2Un grupo informal debate sobre el riesgo de la IA, pero no tiene un acta constitutiva formal, autoridad ni una cadencia regular.
Nivel 3Un comité de gobernanza de la IA constituido formalmente, con una composición definida, autoridad decisoria y reuniones mensuales, está operativo.
Nivel 4El comité informa al consejo de administración, tiene KPI definidos y sus decisiones se rastrean sistemáticamente hasta su implementación.
Puntuación: _____ / 4
1.4 Inventario de herramientas de IA
Nivel 1No hay inventario de las herramientas de IA en uso. El Shadow AI no se detecta.
Nivel 2Existe un inventario parcial de las herramientas autorizadas por TI, pero el Shadow AI no se supervisa.
Nivel 3Un inventario de herramientas de IA completo y mantenido cubre todas las herramientas aprobadas. La detección de Shadow AI está implementada.
Nivel 4El inventario de herramientas de IA es en tiempo real, automatizado, incluye datos de uso e impulsa el registro de riesgos y las actualizaciones de la política.
Puntuación: _____ / 4
1.5 Normas de compras y proveedores de IA
Nivel 1No hay requisitos específicos de IA en los procesos de compras o de gestión de proveedores.
Nivel 2Algunas preguntas relacionadas con la IA aparecen en la diligencia debida de proveedores, pero no están estandarizadas.
Nivel 3Un cuestionario de seguridad de proveedores de IA estandarizado es obligatorio para toda compra de herramientas de IA. Se evalúan las políticas de IA de los proveedores.
Nivel 4El riesgo de los proveedores de IA se supervisa de forma continua. Los contratos con proveedores incluyen SLA de gobernanza de la IA, derechos de auditoría y términos de tratamiento de datos.
Puntuación: _____ / 4
Puntuación total del pilar 1: _____ / 20 | ISO 42001 cláusulas 4–6 | 16–20 = Optimizado, 11–15 = Definido, 6–10 = En desarrollo, 1–5 = Inicial
Cómo realizar la evaluación de la madurez
Siga estos cinco pasos para obtener una puntuación de madurez creíble y procesable y una hoja de ruta de mejora de la gobernanza que pueda presentar a su equipo directivo.
1
Reúna su equipo de evaluación
Identifique un responsable para cada pilar de la función correspondiente: seguridad de TI (pilares 1 y 2), ingeniería/CTO (pilar 3), jurídico/cumplimiento (pilar 4), RR. HH./personas (pilar 5). Incluya a un facilitador neutral para dirigir la sesión de grupo.
2
Puntúe cada pilar de forma independiente antes de la sesión de grupo
Pida a cada responsable de pilar que puntúe su dominio en privado para evitar el anclaje. Debe documentar pruebas de cada puntuación, actas de reuniones, políticas, capturas de pantalla de herramientas, no solo afirmaciones.
3
Realice una sesión de grupo facilitada para acordar puntuaciones consensuadas
Celebre una sesión de 2 horas para conciliar las puntuaciones individuales. Centre el debate en las zonas límite (especialmente cualquier cosa puntuada en el nivel 2). El objetivo es una base de referencia honesta y respaldada por pruebas, no una optimista.
4
Identifique sus 3 principales carencias y elabore una hoja de ruta a 90 días
Las preguntas con menor puntuación representan su mayor riesgo de gobernanza. Asocie cada carencia a una acción de subsanación concreta, un responsable y un plazo. Los logros rápidos (mejoras del nivel 1 al nivel 2) deben ocupar un lugar destacado en el plan a 90 días.
5
Preséntelo al comité de gobernanza de la IA y repítalo anualmente
Comparta el perfil de madurez y la hoja de ruta con su comité de gobernanza de la IA y su patrocinador ejecutivo para la aprobación de recursos. Programe la próxima evaluación dentro de 12 meses y un punto de control a mitad de año sobre las 3 principales carencias.
FAQ
Preguntas frecuentes
¿Qué es una evaluación de la madurez de la gobernanza de la IA?
Una evaluación de la madurez de la gobernanza de la IA valora con qué grado de sistematicidad una organización gestiona los riesgos relacionados con la IA, las políticas y las estructuras de responsabilidad en los dominios clave. Produce una puntuación de madurez para cada dominio en una escala de 1 a 4 (Inicial, En desarrollo, Definido, Optimizado) e identifica las carencias concretas que deben abordarse para alcanzar el siguiente nivel de madurez. El resultado se usa para priorizar las inversiones en gobernanza de la IA y demostrar el progreso de la gobernanza ante consejos de administración, auditores y reguladores.
¿Cómo se relaciona la madurez de la gobernanza de la IA con la ISO 42001?
La ISO 42001 es una norma internacional para los sistemas de gestión de IA que define requisitos en materia de gobernanza, gestión de riesgos y práctica responsable de la IA. Una evaluación de la madurez de la gobernanza de la IA se corresponde directamente con la estructura de cláusulas de la ISO 42001: el pilar 1 (Política y estrategia) se corresponde con las cláusulas 4 a 6, el pilar 2 (Gestión de riesgos) con la cláusula 6, el pilar 3 (Seguridad y tecnología) con la cláusula 8, el pilar 4 (Cumplimiento) con las cláusulas 9 y 10, y el pilar 5 (Personas y cultura) con la cláusula 7. Las organizaciones que buscan la certificación ISO 42001 normalmente necesitan alcanzar al menos el nivel 3 (Definido) en todos los pilares.
¿Qué es una buena puntuación de madurez de la gobernanza de la IA?
Sobre una puntuación total de 100: por debajo de 40 indica una madurez Inicial con carencias de gobernanza significativas; de 40 a 60 indica una madurez En desarrollo con algunos controles implementados; de 60 a 80 indica una madurez Definida con controles documentados e implementados, suficiente para la mayoría de los requisitos regulatorios de referencia; por encima de 80 indica una madurez Optimizada con mejora continua y supervisión avanzada. Para el cumplimiento del EU AI Act con sistemas de IA de alto riesgo, las organizaciones deberían apuntar al menos a 65. Para la certificación ISO 42001, todas las puntuaciones de los pilares deberían alcanzar el nivel 3.
¿Con qué frecuencia debemos repetir la evaluación de la madurez de la gobernanza de la IA?
Realice una evaluación de madurez completa anualmente como parte de su ciclo de revisión del programa de gobernanza. Realice un punto de control más ligero a mitad de año que cubra solo los pilares con menor puntuación para hacer un seguimiento del progreso respecto a la hoja de ruta de mejora. Active una evaluación fuera de ciclo si hay un cambio material en su uso de la IA, por ejemplo, el despliegue de un nuevo sistema de IA de alto riesgo, un avance regulatorio significativo o un incidente de seguridad relacionado con la IA que revele una debilidad de gobernanza sistemática.
Empezar
Convierta su evaluación en prioridades de seguridad de IA
Use la evaluación para priorizar sus próximas mejoras de seguridad. Aona ayuda a los equipos de seguridad a descubrir el uso de IA por parte de los empleados y aplicar controles de políticas compatibles.
Recursos relacionados