Las políticas sobre riesgos de la inteligencia artificial suelen sonar convincentes hasta que un equipo tiene que decidir si un sistema está preparado para personas reales. El Instituto Nacional de Estándares y Tecnología de Estados Unidos, NIST, diseñó su Marco de Gestión de Riesgos de la Inteligencia Artificial, o AI RMF, de uso voluntario para ayudar a las organizaciones a integrar consideraciones de confiabilidad en el diseño, el desarrollo, el uso y la evaluación de sistemas de IA. Su núcleo práctico se organiza en torno a cuatro funciones: Govern, Map, Measure y Manage.
Estas funciones no forman una secuencia que se ejecute una sola vez ni constituyen un sello de certificación. Son clases de trabajo conectadas. La gobernanza da forma a cada decisión; el mapeo aporta contexto a las mediciones; la medición proporciona pruebas; y la gestión convierte esas pruebas en prioridades y acciones.
Govern: hacer visible la responsabilidad
Govern es la base. Un equipo necesita responsables identificados, vías de escalado, políticas, requisitos de documentación y una forma de incorporar las perspectivas de las personas afectadas. Debe saber quién puede aprobar el despliegue, quién puede detenerlo, quién investiga un incidente y qué pruebas deben conservarse.
Un registro de gobernanza útil es específico. En vez de afirmar que «las personas mantienen el control», debe identificar la decisión que revisa una persona, la información disponible para quien la revisa, el tiempo permitido y lo que ocurre cuando la confianza es baja. La gobernanza también abarca a los proveedores: adquirir un modelo no traslada la responsabilidad fuera de la organización que lo utiliza.
Map: entender el sistema en su contexto
Map pregunta para qué sirve el sistema de IA, dónde funcionará y quién puede experimentar sus beneficios o perjuicios. Un mismo modelo puede entrañar riesgos muy distintos en una herramienta privada de redacción, un filtro de selección de personal o un flujo de trabajo clínico. Los equipos deben describir el uso previsto, el uso indebido previsible, los grupos afectados, las dependencias, la procedencia de los datos y las consecuencias de un fallo.
Un buen mapeo también registra los supuestos. ¿Se admite el idioma de entrada? ¿Sabrá el usuario que el resultado ha sido generado por una máquina? ¿Puede una persona impugnar un resultado? ¿Qué entorno se utilizó durante las pruebas y en qué se diferencia del entorno de producción? Un supuesto explícito puede comprobarse; un supuesto oculto acaba convirtiéndose en una sorpresa.
Measure: recopilar pruebas que respondan a las preguntas mapeadas
Measure abarca más que informar de una única puntuación de precisión. Según el contexto, las pruebas pueden incluir la fiabilidad ante entradas cambiantes, el rendimiento por subgrupos, pruebas de privacidad y seguridad, tasas de contenido perjudicial, calibración, accesibilidad, estudios de factores humanos y observaciones posteriores al despliegue. La métrica debe estar vinculada al riesgo descrito durante el mapeo.
Los equipos deben definir los umbrales antes de conocer los resultados, documentar las limitaciones y conservar las pruebas fallidas en lugar de seleccionar únicamente cifras favorables. Algunos daños son difíciles de reducir a una sola métrica, por lo que la revisión cualitativa y las opiniones de las personas afectadas pueden complementar las pruebas cuantitativas. La medición reduce la incertidumbre, pero no la elimina.
Manage: priorizar, responder y seguir observando
Manage transforma el panorama de riesgos en decisiones. Un equipo puede mitigar un riesgo, limitar el caso de uso, añadir revisión humana, vigilar un indicador adelantado, preparar una reversión o decidir no desplegar el sistema. Las prioridades deben reflejar la probabilidad, la gravedad y la tolerancia al riesgo de la organización, no simplemente qué corrección resulta más sencilla.
La gestión continúa después del lanzamiento. Los modelos, los datos, el comportamiento de los usuarios y las condiciones externas pueden cambiar. Por ello, un plan práctico incluye supervisión, gestión de incidentes, control de cambios y un desencadenante para volver a evaluar el sistema. Si una actualización del modelo cambia su comportamiento, un informe de pruebas anterior es una prueba histórica, no una aprobación automática de la nueva versión.
Utilizar perfiles para adaptar el marco al contexto local
El NIST describe los perfiles como implementaciones de las funciones, categorías y subcategorías del marco para un entorno concreto. Un perfil actual puede describir cómo gestiona hoy una organización un caso de uso; un perfil objetivo puede describir el estado deseado. La diferencia entre ambos genera una lista concreta de mejoras pendientes.
Esta adaptación es importante porque el Playbook no es una lista de verificación que toda organización deba seguir por completo. El NIST presenta acciones sugeridas que los usuarios pueden seleccionar según su caso de uso, recursos e intereses. Copiar todas las sugerencias sin conectarlas con una decisión real puede producir trámites y documentos sin obtener resultados más seguros.
Un patrón inicial para equipos pequeños
- Govern: identifica al responsable, a quien revisa, la autoridad para detener el sistema y la ubicación de las pruebas.
- Map: documenta el uso previsto, las personas afectadas, los principales modos de fallo y los supuestos.
- Measure: elige pruebas y umbrales que aborden esos modos de fallo.
- Manage: decide qué debe cambiar antes del lanzamiento y qué activará después una reversión o una nueva revisión.
Repite las cuatro funciones cuando cambien el caso de uso, el modelo, los datos o el entorno operativo. El valor no reside en la cantidad de documentos producidos. Reside en que la organización pueda explicar qué sabía, qué comprobó, qué decidió y quién continúa siendo responsable.
Lo que el marco puede demostrar y lo que no
El uso del AI RMF puede mejorar la disciplina y el lenguaje compartido, pero por sí solo no demuestra que un sistema sea seguro, legal o adecuado. El NIST describe el marco como voluntario y su Playbook de apoyo como un recurso flexible. Las obligaciones legales, las normas sectoriales y las garantías independientes pueden seguir siendo aplicables.
Por tanto, la afirmación responsable es modesta: las cuatro funciones ayudan a los equipos a formular mejores preguntas y a conectar los principios con decisiones respaldadas por pruebas. Son una estructura para gestionar los riesgos de forma continua, no un distintivo que pone fin a la conversación.
Fuentes primarias
Marco de Gestión de Riesgos de la IA del NIST y Playbook del NIST AI RMF. Consultados el 11 de septiembre de 2026.