Segregación de funciones para los sistemas de IA

Descripción

Separación de responsabilidades en conflicto dentro del ciclo de vida de la IA (desarrollo, pruebas, aprobación, monitoreo) para prevenir conflictos de interés.

Orientación de implementación

Requisitos de separación

Garantizar las siguientes separaciones: los desarrolladores no pueden aprobar sus propios modelos para producción, los científicos de datos no pueden validar de forma independiente los resultados de sus propios modelos, los patrocinadores del negocio no pueden eximir los requisitos de pruebas, y los equipos de monitoreo reportan de forma independiente al desarrollo.

Aplicación técnica

Implementar controles de acceso en las plataformas MLOps que hagan cumplir la separación: entornos de desarrollo y producción separados, puertas de aprobación que requieran usuarios distintos, requisitos de revisión de código antes de la promoción del modelo, y registros de auditoría que hagan seguimiento de quién realizó cada acción del ciclo de vida.

Controles compensatorios

Para los equipos pequeños donde la separación completa no sea viable, implementar controles compensatorios: revisión por pares obligatoria, verificaciones de validación automatizadas, requisitos de firma de la dirección, y aceptación de riesgo documentada para cualquier brecha de separación.

Requisitos de evidencia

• Matriz de segregación de funciones para el ciclo de vida de la IA
• Configuraciones de control de acceso que hacen cumplir la separación
• Registros de revisión de código y aprobación que muestran actores distintos
• Documentación de controles compensatorios (si corresponde)