NIST AI RMF
APLICACIÓN
DATOS
GOBERNANZA
INFRAESTRUCTURA
Gestión del riesgo de la cadena de suministro
Descripción
Los riesgos y beneficios de la IA provenientes de recursos de terceros se monitorean regularmente, y los controles de riesgo se aplican y documentan. La mayoría de las organizaciones consumen más IA de la que construyen; el riesgo de la IA de terceros suele ser la mayor exposición sin gestionar.
Acciones sugeridas
1
Realizar debida diligencia sobre los proveedores de IA que abarque las prácticas de entrenamiento del modelo, el origen de los datos, los resultados de las pruebas de sesgo, la postura de seguridad y el historial de incidentes; exigir evidencia, no solo declaraciones2
Incluir disposiciones específicas de IA en los contratos con terceros: requisitos de transparencia, derechos de auditoría, obligaciones de manejo de datos, SLA de desempeño y disponibilidad del modelo, responsabilidad por daños relacionados con la IA, y disparadores de terminación3
Mantener un inventario completo de todos los componentes y dependencias de IA de terceros, incluyendo modelos fundacionales, API, complementos, embeddings, bases de datos vectoriales, y conjuntos de datos de entrenamiento, con seguimiento de versiones4
Monitorear y reevaluar los riesgos de IA de terceros a lo largo del ciclo de vida de la relación; la debida diligencia inicial no es suficiente, se requiere un monitoreo continuo5
Exigir a los proveedores de IA de terceros que notifiquen los cambios sustanciales en los modelos, los datos de entrenamiento o las capacidades; las actualizaciones silenciosas del modelo pueden romper los sistemas posteriores o introducir nuevos sesgos6
Desarrollar planes de contingencia para la interrupción, la discontinuación o los cambios de política del servicio de IA de terceros que entren en conflicto con los requisitos de gobernanza de la organización