Auditoría de sistemas de IA de terceros
Descripción
Auditorías o evaluaciones periódicas de los sistemas de IA de terceros para verificar el cumplimiento contractual, los controles de seguridad y las afirmaciones de IA responsable.
Orientación de implementación
Programa de auditoría
Establecer un calendario de auditorías basado en el riesgo: auditorías anuales para los proveedores de IA críticos, bienales para los proveedores significativos, y auditorías activadas tras incidentes o cambios importantes. Definir el alcance de la auditoría, abarcando: el desempeño técnico, los controles de seguridad, las prácticas de IA responsable y el cumplimiento contractual.
Métodos de auditoría
Utilizar enfoques de auditoría apropiados: revisar los informes SOC 2 o ISO 27001/42001 del proveedor, realizar pruebas independientes de las salidas del sistema de IA (pruebas de sesgo, verificación de exactitud), revisar los informes de incidentes y los registros de respuesta del proveedor, y evaluar las prácticas de manejo de datos frente a los requisitos contractuales.
Hallazgos y remediación
Documentar los hallazgos de la auditoría con calificaciones de severidad. Exigir planes de remediación con plazos definidos para los hallazgos significativos. Hacer seguimiento de la remediación hasta su conclusión. Considerar la continuidad de la relación con el proveedor en caso de hallazgos críticos o recurrentes.
Requisitos de evidencia
- Documentación del calendario y el alcance de la auditoría
- Informes de auditoría completados por proveedor
- Certificaciones y informes de evaluación de terceros
- Registros de seguimiento y cierre de la remediación