GOBERNANZA Responsable: CISO / Comité de Gobernanza de IA / Dirección Ejecutiva

Controles de gobernanza de IA

Establecer las políticas y la supervisión humana necesarias para la adopción segura de la IA en toda la organización.

Mapeo de marcos de referencia

Controles de cada marco de referencia de origen que se mapean a este dominio.

Marco de Referencia	Controles Mapeados
ISO 42001	Cl.5 Liderazgo Cl.6 Planificación A.2 Política de IA A.3 Organización interna
NIST AI RMF	GV-1 Políticas y procesos GV-2 Rendición de cuentas GV-4 Cultura organizacional MG-1 Gestión de riesgos
OWASP LLM	LLM09 Desinformación (implicaciones de gobernanza)
OWASP Agentic	ASI08 Cumplimiento y regulación

3 controles distribuidos entre el Nivel 1 (esencial) y el Nivel 2 (avanzado).

Elementos de la lista de verificación agrupados por control.

Política de uso aceptable de IA

☐ El documento de política está vigente (revisado en los últimos 12 meses), aprobado por el liderazgo ejecutivo y publicado en un lugar accesible
☐ La tasa de reconocimiento de los empleados supera el 95 % en todos los departamentos
☐ La matriz de clasificación de herramientas de IA se mantiene y se actualiza cuando se evalúan nuevas herramientas
☐ Los controles técnicos de aplicación (DLP, bloqueos de red, SSO) están activos y validados
☐ Los informes mensuales de gobernanza se producen y son revisados por el comité de gobernanza de IA

Validación y aprobación del despliegue de IA

☐ Existe una lista de verificación de validación previa al despliegue estandarizada que cubre seguridad, equidad, gobernanza de datos, rendimiento y preparación operativa
☐ Cada despliegue de IA en producción de los últimos 12 meses cuenta con una lista de verificación completada y todas las firmas requeridas archivadas
☐ La matriz de autoridad de aprobación está documentada y asigna aprobadores independientes por dominio
☐ El pipeline de CI/CD aplica la puerta de aprobación y bloquea los despliegues no aprobados
☐ Los despliegues de excepción cuentan con aprobación conjunta documentada y planes de remediación completados dentro de 30 días

Autoevaluación de riesgos de IA

☐ Existe un marco de autoevaluación estandarizado documentado, con niveles de madurez definidos y criterios de puntuación
☐ Se han completado al menos dos autoevaluaciones en los últimos 12 meses (o una más una evaluación activada por un cambio material)
☐ Los resultados de la evaluación incluyen un análisis de tendencias entre períodos que muestra la dirección de la madurez
☐ Existen planes de remediación para todos los controles con puntuación por debajo de la madurez objetivo, con propietarios y fechas asignados
☐ La dirección ejecutiva ha recibido y confirmado los resultados de la evaluación dentro de los 30 días posteriores a su finalización