Documentación de modelo
Ficha técnica con arquitectura, datos, límites y condiciones de uso declaradas.
Markdex · Observatorio técnico
Observatorio técnico de IA: estándares, gobernanza y seguridad
Un compendio de referencia sobre normas técnicas, marcos de gobernanza algorítmica, ciberseguridad en machine learning y directrices de ética digital. Cada apartado registra requisitos verificables, umbrales medibles y ciclos de control que una organización puede ejecutar sin ambigüedad.
El observatorio opera como un sistema de registro: recibe documentación, la contrasta contra normas publicadas y devuelve un estado de cumplimiento por control. Sin estimaciones subjetivas.
34
normas ISO/IEC y NIST mapeadas a controles operativos
216
controles técnicos con criterio de aceptación explícito
12
vectores de ataque monitorizados en la superficie de ML
1 480 h
de pruebas de ciclo y presión documentadas en el último período
Alcance del observatorio
Cuatro bloques de control que operan en paralelo
El observatorio clasifica la materia en cuatro bloques: normas técnicas, gobernanza algorítmica, ciberseguridad en machine learning y ética digital aplicada. Los bloques no son independientes: un cambio en el umbral de un control de seguridad altera la evidencia exigida por la norma y modifica el registro de gobernanza. Por eso el compendio se publica como una malla de dependencias, no como una lista de recomendaciones.
Cada entrada del registro incluye el identificador del control, la fuente normativa, el artefacto de evidencia requerido, la frecuencia de medición y el responsable de ejecución. Cuando un control no puede medirse con un artefacto concreto, se marca como no verificable y se excluye del cómputo de cumplimiento. Este criterio elimina las declaraciones sin respaldo y reduce el ruido en las auditorías.
El ciclo de actualización se ejecuta cada trimestre. En cada iteración se contrastan las normas publicadas contra el registro vigente, se detectan desviaciones y se emiten órdenes de cambio con plazo y responsable. Si una norma entra en revisión, el control afectado pasa a estado provisional y se mantiene la evidencia histórica para trazabilidad.
- Entrada: documento normativo, versión y fecha de publicación.
- Proceso: mapeo a controles, definición de evidencia y umbral.
- Salida: estado de cumplimiento por control y desviación registrada.
El detalle del procedimiento se describe en Sobre el Observatorio: alcance y método.
Bloque 01
Estándares técnicos de IA
La capa normativa define qué debe poder demostrarse, no qué debe sentirse. El compendio traduce cada cláusula a un control medible con artefacto asociado.
Ver estándares técnicosEl bloque cubre gestión de sistemas de IA, evaluación de riesgos, documentación de modelos y control de datos de entrenamiento. Cada norma se descompone en requisitos atómicos: versión del modelo registrada, conjunto de datos congelado con hash, métricas de rendimiento por segmento y umbrales de degradación aceptados. Un requisito sin hash ni métrica no entra en el registro.
Evaluación de riesgo
Escala de impacto por función, con probabilidad y severidad calculadas por separado.
Lectura relacionada: ISO/IEC 42001: requisitos y controles.
Bloque 02
Gobernanza algorítmica: roles y trazabilidad
La gobernanza es el mecanismo que convierte una decisión técnica en un registro firmado. Cada cambio de modelo, umbral o conjunto de datos pasa por un flujo con estados definidos: propuesta, evaluación, aprobación, despliegue, monitorización y retirada. Ningún estado se salta y ninguno se ejecuta sin evidencia adjunta.
El sistema asigna un identificador único a cada decisión y conserva el linaje completo: quién propuso, con qué métricas, bajo qué aprobación y con qué resultado posterior. Cuando un modelo se degrada por debajo del umbral, el ciclo devuelve la orden al estado de evaluación y registra la causa. La trazabilidad no depende de la memoria del equipo, depende del log.
Profundiza en Gobernanza algorítmica: roles, controles y trazabilidad y en Auditoría y cumplimiento de sistemas de IA.
Requisitos de ciclo
- Registro de decisiones con firma y sello temporal.
- Separación de funciones entre aprobación y ejecución.
- Revisión trimestral de umbrales y métricas de degradación.
- Retención mínima de evidencia durante cinco ciclos.
Bloque 03
Ciberseguridad en machine learning
Un sistema de machine learning añade superficie de ataque en tres puntos concretos: los datos de entrenamiento, los artefactos del modelo y la ruta de inferencia. En los datos, el riesgo se materializa por envenenamiento parcial y por filtraciones de etiqueta. En los artefactos, por sustitución de pesos o manipulación del registro. En la inferencia, por extracción del modelo y ataques de evasión mediante entradas diseñadas.
La defensa operable combina controles preventivos y detectores de deriva. Los preventivos incluyen firma de artefactos, control de acceso a pipelines y aislamiento del entorno de entrenamiento. Los detectores miden la distribución de entradas y la confianza de salida; cuando la desviación supera el umbral configurado, el sistema degrada el servicio a un modo restringido en lugar de continuar operando a ciegas.
Detalle completo en Ciberseguridad en machine learning: superficie de ataque y defensas.
Presupuesto de latencia
Los filtros de validación de entrada deben ejecutarse dentro del mismo presupuesto de latencia que la inferencia; si lo exceden, se aplican en modo asíncrono con bloqueo posterior.
Throughput de auditoría
El registro de eventos se dimensiona para absorber el pico de peticiones por segundo multiplicado por 1,5, con retención en almacenamiento inmutable.
Bloque 04
Ética digital aplicada
Las directrices de ética digital se implementan como reglas ejecutables: condiciones de parada, límites de uso y criterios de revisión. Sin mecanismo de ejecución, una directriz queda fuera del registro.
Leer las directricesEl compendio exige que toda directriz declare tres elementos: el sujeto afectado, la condición que activa la revisión y el responsable de resolverla. Un sistema que puntúa candidatos, por ejemplo, debe registrar la variable, el rango de decisión, el umbral de intervención humana y el plazo máximo de respuesta ante una reclamación. Sin esos cuatro datos, la directriz no se considera operativa.
Regla de ejecución: toda salida automatizada que afecte a una persona debe poder reconstruirse a partir de sus entradas registradas y revertirse mediante un procedimiento documentado. Si la reversión no es posible, el control se clasifica como no conforme.
La evaluación de estos criterios se describe en Metodología de evaluación de sistemas de IA.
Registro reciente
Artículos técnicos y entradas del compendio
Compendio
Artículos técnicos de IA
Notas de trabajo sobre umbrales, métricas y controles: cómo se calcula la desviación de un modelo y cuándo se activa un modo restringido.
Leer artículosNorma
ISO/IEC 42001: requisitos y controles
Desglose de requisitos del sistema de gestión de IA y su correspondencia con artefactos de evidencia verificables.
Abrir el análisisProcedimiento
Metodología de evaluación
Secuencia de medición, criterios de aceptación y cálculo del estado de cumplimiento por control y por bloque.
Ver metodologíaAviso: este sitio tiene finalidad exclusivamente informativa y formativa. Los materiales publicados son de referencia y no sustituyen un asesoramiento profesional en materia financiera, legal o de cumplimiento normativo. Cualquier decisión tomada a partir de este contenido es responsabilidad de quien la ejecuta.