Relaciones con terceros
Descripción
Aborda los riesgos de IA de terceros, incluyendo la evaluación de proveedores, los controles contractuales, la gestión de dependencias y la auditoría de sistemas o servicios de IA externos.
Controles
| ID | Control | Descripción |
|---|---|---|
| A.9.1 | Evaluación de proveedores de sistemas de IA | Evaluación de debida diligencia de los proveedores de sistemas de IA que abarca las capacidades técnicas, las prácticas ... |
| A.9.2 | Acuerdos con sistemas de IA de terceros | Contratos con proveedores de IA que definen estándares de desempeño, requisitos de seguridad, responsabilidad, derechos ... |
| A.9.3 | Gestión de sistemas de IA de terceros | Gestión continua de las dependencias de IA de terceros, incluyendo el monitoreo del desempeño, la verificación del cumpl... |
| A.9.4 | Auditoría de sistemas de IA de terceros | Auditorías o evaluaciones periódicas de los sistemas de IA de terceros para verificar el cumplimiento contractual, los c... |
Orientación de implementación
Desarrollar cuestionarios de evaluación de riesgo de proveedores de IA que abarquen las prácticas de desarrollo del modelo, el manejo de datos, las pruebas de sesgo y los controles de seguridad. Negociar contratos que incluyan SLA específicos de IA (exactitud, métricas de equidad), derechos sobre los datos, disposiciones de transparencia del modelo y cláusulas de auditoría. Mantener un registro de riesgo de proveedores de IA con reevaluaciones periódicas y seguimiento de incidentes. Ejercer los derechos de auditoría mediante evaluaciones de terceros o la revisión de los informes SOC 2, ISO 42001 o equivalentes del proveedor.
Requisitos de evidencia
Informes de evaluación de proveedores
Contratos con terceros con disposiciones de IA
Registro de riesgo de proveedores
Informes de auditoría o certificaciones de terceros