Evaluación, riesgo, mitigación, control, KPI, monitorización e incidente. Muchas organizaciones tienen los siete eslabones; falla el paso de uno a otro.
responsible-ai
28 textos
La IA Responsable se ha convertido en un género literario propio: principios que todo el mundo firma y casi nadie sabe operar. Aquí escribo sobre lo otro: cómo se traduce un principio en un control, un control en una decisión, y una decisión en una práctica que sobrevive a la rotación de equipos. La diferencia entre lo que se declara y lo que se hace es el campo de trabajo real.
- La cadena del riesgo de IA se rompe entre eslabones, no en ellos
- ISO/IEC 27090 y el artículo 15.5: qué pide sobre ISO 27001 y qué no da
ISO/IEC 27090 ordena las amenazas propias de la IA casi como el artículo 15.5, pero no presume conformidad. Qué añade sobre ISO 27001 y qué vía sí presume.
- El Top 10 de OWASP para LLM 2026 no se cumple: se reparte
El Top 10 de OWASP para LLM 2026 es un ranking de consenso, no una norma. Qué cambió, dónde empieza la lista de agentes y quién responde de cada riesgo.
- Por dónde empezar: una ruta para aprender gobierno de IA
Una ruta por niveles para aprender gobierno de IA leyendo este sitio en orden: vocabulario, qué dice el EU AI Act, cómo se monta un programa y el riesgo.
- «La IA son solo matemáticas»
La frase es cierta y no explica nada: describe de qué está hecho el sistema, no lo que hace. Y casi siempre se usa para no gobernarlo.
- El aviso de transparencia que no informa
Seis formas de que un aviso de IA técnicamente presente no informe a nadie, y por qué cumplir depende del flujo y no del texto que escribas.
- «Riesgo limitado» no existe
El EU AI Act no tiene cuatro niveles de riesgo: son tres, y una capa de transparencia que los cruza. La pirámide coloca sistemas en una casilla que no existe.
- Artículo 50 del EU AI Act: quién responde de cada obligación de transparencia
Las cuatro obligaciones de transparencia del artículo 50, quién responde de cada una y cómo se acumulan sobre el alto riesgo.
- Cuando tu proveedor añade un subencargado de IA y el ajuste se activa solo
Un cambio en la cadena de subencargados no toca tu inventario, pero sí las garantías que documentaste. Qué revisar, quién decide y con qué disparador.
- ¿Merece la pena certificarse en ISO/IEC 42001? Son dos decisiones, no una
Implantar el sistema de gestión y certificarlo son decisiones separables. Cuándo el sello se paga solo, qué acredita y las cuatro preguntas que deciden.
- Qué tiene que decir una cláusula de IA con un proveedor
Seis puntos para una cláusula de IA, incluidos los dos que casi nunca están: la garantía sustitutiva y qué pasa con el precio si el proveedor pone agentes.
- Dónde colgar la función de gobierno de IA: Compliance para empezar, y la señal para mudarse
Compliance es la casa acertada en la fase inicial de un programa de gobierno de IA. Las tres fases de la función y las señales de que toca mover el mandato.
- Has externalizado la IA, no el riesgo
La exposición no nace de tu rol respecto al sistema, sino de tu relación con el cliente. El contrato reparte obligaciones; no decide la responsabilidad.
- EN 18286 y el artículo 17: qué cubre de verdad la presunción de conformidad
El artículo 40 presume conformidad de la Sección 2, y el artículo 17 no está ahí. Qué mapea el Anexo ZA de EN 18286 y qué me queda por sostener.
- EU AI Act e ISO/IEC 42001: qué cubre cada uno y dónde se solapan
Qué exige el EU AI Act, qué aporta ISO/IEC 42001 y qué maquinaria sirve a los dos frentes sin duplicar el trabajo.
- ISO/IEC 42001: qué montas de verdad cuando implantas un AIMS
Qué se construye realmente al implantar ISO/IEC 42001: el sistema de gestión de IA que sostiene en el tiempo lo que la regulación te obliga a demostrar.
- Del texto del EU AI Act al programa que lo ejecuta
Qué significa operacionalizar el EU AI Act cuando lo implementas: del articulado del reglamento a las cuatro piezas vivas que lo ejecutan en una organización.
- Cero incidentes no es una métrica
En un dominio nuevo los indicadores rezagados arrancan en verde por falta de historia, no por control. Deben arrancar en «sin evidencia», que no es «adecuado».
- Las puertas reales que cruza una IA
El recorrido formal de aprobación de un modelo no es el real. Gobernar es conocer las puertas que ningún checklist recoge, no las del organigrama.
- Cómo se monta un programa de AI Literacy en una empresa, y cómo se sostiene
Un programa de AI Literacy que funciona es modular por audiencia, continuo y alimentado por las dudas reales. Cómo se opera, y qué pide el artículo 4.
- Cómo se diseña un comité que decida, no que se reúna
Diseñar un comité que decida no es renombrar el que ya se reúne. Son tres elecciones estructurales que pocos toman antes de convocar la primera sesión.
- El KPI que mentía: qué indicadores miden de verdad un programa de gobierno de IA
Modelos revisados, actas firmadas y comités trimestrales miden actividad. Un programa de gobierno de IA se mide por las decisiones que cambia.
- Governance as a product: por qué el gobierno de IA tiene que ser un sistema adaptativo
Un proceso asume estabilidad y la IA no la tiene. Qué es governance as a product, por qué se queda corto y qué añade pensar el gobierno como sistema adaptativo.
- Antes de aceptar un rol de AI Governance, hay preguntas que cambian todo
Cinco preguntas que revelan si una organización está realmente preparada para que un rol de gobierno de IA funcione, antes de aceptarlo.
- Los cuatro mensajes que un Board debería recibir sobre gobierno de IA
Lo que un Consejo de Administración debería oír sobre gobierno de IA y casi nunca escucha. Cuatro mensajes operativos, sin teoría ni decoración.
- IA sí, IA no: la pregunta es el criterio
Usar la IA para no pensar y descalificar lo que pasó por una IA son dos formas de renunciar al criterio. Qué hay que preservar y cómo se construye.
- Hay un tipo de conocimiento sobre gobierno de IA que no aparece en ningún framework
Lo que se aprende liderando gobierno de IA sin un área que lo respalde. Una capa de criterio operativo que ningún manual recoge y que casi no se nombra.
- AI Literacy no es un curso: lo que pide el artículo 4 y lo que un curso no demuestra
Tras el Omnibus, el artículo 4 pide medidas, no un nivel garantizado. Un curso puede ser una medida, pero no demuestra criterio. Qué sí lo demuestra.