Evaluación de proveedores de sistemas de IA
Descripción
Evaluación de debida diligencia de los proveedores de sistemas de IA que abarca las capacidades técnicas, las prácticas de IA responsable y la postura de seguridad.
Orientación de implementación
Marco de evaluación
Desarrollar un cuestionario de evaluación de proveedores de IA que abarque: la metodología de desarrollo del modelo, la gobernanza de los datos de entrenamiento, las prácticas de pruebas de sesgo, los controles de seguridad (SOC 2, ISO 27001), las capacidades de respuesta a incidentes y los compromisos de IA responsable. Ponderar los criterios según el apetito de riesgo organizacional.
Proceso de debida diligencia
Realizar una debida diligencia estructurada: revisar la documentación y las certificaciones del proveedor, evaluar las capacidades técnicas mediante una prueba de concepto, evaluar la madurez de IA responsable (principios de ética de IA publicados, informes de transparencia, auditorías de sesgo), y verificar las afirmaciones de cumplimiento regulatorio.
Clasificación de riesgo
Clasificar a los proveedores de IA de terceros por riesgo: crítico (las decisiones centrales del negocio dependen de su IA), significativo (impacto operativo relevante), y estándar (alcance o impacto limitado). Aplicar una profundidad de evaluación y un monitoreo continuo proporcionales según la clasificación.
Requisitos de evidencia
- Cuestionario de evaluación de proveedores y criterios de puntuación
- Evaluaciones de debida diligencia completadas por proveedor
- Registro de clasificación de riesgo de proveedores
- Resultados de la evaluación de la prueba de concepto