NIST AI RMF
DATOS
INFRAESTRUCTURA
MODELO
Categorización y niveles de riesgo
Descripción
Los sistemas de IA se categorizan según su uso previsto, sus beneficiarios y su potencial de daño, lo que permite aplicar controles proporcionales al riesgo. No todos los sistemas de IA conllevan el mismo riesgo; tratarlos por igual desperdicia recursos en los sistemas de bajo riesgo y protege insuficientemente a los de alto riesgo.
Acciones sugeridas
1
Desarrollar un marco de clasificación de sistemas de IA basado en: el nivel de autonomía (asesor frente a autónomo), el impacto de la decisión (reversible frente a irreversible), la población afectada (interna frente a pública), y la sensibilidad del dominio (entretenimiento frente a atención médica)2
Asignar niveles de riesgo utilizando una metodología consistente: Mínimo (controles estándar), Limitado (monitoreo y transparencia mejorados), Alto (TEVV completo, supervisión humana, auditorías de equidad), Inaceptable (prohibido)3
Para cada nivel de riesgo, definir los controles mínimos requeridos: requisitos de pruebas, nivel de supervisión humana, frecuencia de monitoreo, estándares de documentación, y autoridad de aprobación4
Categorizar los sistemas según su potencial de impacto discriminatorio; los sistemas de IA que influyen en decisiones sobre las personas (contratación, préstamos, seguros, beneficios) requieren el mayor escrutinio, independientemente de otros factores de riesgo5
Reevaluar los niveles de riesgo cuando el alcance del sistema se expande, la población de usuarios cambia, o el sistema se aplica a nuevos dominios; la expansión no controlada del alcance es un vector común de escalamiento de riesgo6
Documentar el razonamiento de la clasificación para cada sistema con suficiente detalle para que un auditor pueda comprender y reproducir la evaluación