IA de terceros
Evaluación de riesgos

Una evaluación de riesgos de IA de terceros es una evaluación estructurada del riesgo que la capacidad de IA de un proveedor externo introduce en su organización. Va más allá de un cuestionario de seguridad de proveedores estándar al cubrir aspectos específicos de la IA: si el proveedor utiliza sus datos para entrenar modelos, cómo gestiona la inyección de prompts, qué explicabilidad ofrece y si la documentación de su modelo cumple los requisitos normativos. El resultado es una recomendación puntuada y ponderada: aprobar, aprobar condicionalmente o rechazar.

Realice una evaluación formal antes de incorporar a cualquier nuevo proveedor de IA que trate datos internos o regulados, cuando un proveedor SaaS existente añada funciones de IA a un producto que ya utiliza, en la renovación del contrato y tras cualquier cambio relevante (nuevo modelo, cambio en el tratamiento de datos, incidente). Las evaluaciones también son evidencia requerida para el Anexo A.10 de ISO 42001 (relaciones con terceros) y las obligaciones de proveedor-responsable del despliegue del EU AI Act.

Un cuestionario de seguridad estándar se centra en controles de estilo SOC 2, acceso, cifrado, respuesta a incidentes. Una evaluación específica de IA añade categorías que una revisión centrada únicamente en la seguridad pasará por alto: transparencia de los modelos (fichas de modelo, fuentes de los datos de entrenamiento, explicabilidad), prácticas de IA ética (pruebas de sesgo, supervisión humana) y protecciones contractuales específicas de la IA (cláusulas de no entrenamiento, propiedad intelectual de las salidas, notificaciones de cambios en el modelo). Utilice esta evaluación como complemento, no en sustitución, de su cuestionario de seguridad de proveedores existente.

La ponderación por defecto otorga el mayor énfasis a la privacidad y la soberanía de los datos (25%) y a la postura de seguridad (20%), porque estas generan una exposición inmediata. La transparencia de los modelos y el cumplimiento normativo (15% cada uno) respaldan la preparación para auditoría a más largo plazo. La resiliencia operativa y las prácticas de IA ética se sitúan en el 10% cada una, y las protecciones contractuales en el 5%, los contratos sólidos importan pero no pueden compensar unos controles subyacentes deficientes. Ajuste las ponderaciones a su sector: los sectores regulados suelen aumentar la ponderación del Cumplimiento.