NIST AI RMF & AI Compliance

Overview

El Marco de Gestión de Riesgos de IA del NIST (AI RMF 1.0), publicado por el Instituto Nacional de Estándares y Tecnología en enero de 2023, es un marco voluntario diseñado para ayudar a las organizaciones a gestionar los riesgos asociados a los sistemas de IA a lo largo de su ciclo de vida. El AI RMF es un enfoque flexible y estructurado que las organizaciones pueden adaptar a su contexto, sus capacidades y su tolerancia al riesgo. Se ha convertido en uno de los principales marcos de referencia para la gobernanza de la IA en Estados Unidos y goza de un reconocimiento internacional creciente. El Perfil de IA Generativa del NIST (NIST AI 600-1, julio de 2024) lo amplía a los modelos generativos.

El marco se organiza en dos secciones principales: la información de base que enmarca los riesgos de la IA y las funciones del Núcleo, que ofrecen orientaciones prácticas. El Núcleo consta de cuatro funciones: Gobernar, Mapear, Medir y Gestionar. Cada una contiene categorías y subcategorías que describen resultados y actividades concretos. Esta estructura se alinea a propósito con la organización por funciones del Marco de Ciberseguridad del NIST, lo que la hace accesible a las organizaciones que ya tienen experiencia con las normas del NIST.

Para los equipos de desarrollo de IA, el AI RMF ofrece un lenguaje común y una metodología sistemática para identificar, evaluar y mitigar los riesgos de la IA. Aborda los riesgos relacionados con el sesgo y la equidad, la transparencia y la explicabilidad, la privacidad, la seguridad, la protección frente a daños y la rendición de cuentas. El marco trata la gestión de riesgos de la IA como parte de la gestión de riesgos general de la organización, de modo que los riesgos propios de la IA se consideren junto a los riesgos operativos, financieros y reputacionales.

AI-Specific Requirements

La función Gobernar establece las estructuras, políticas y procesos de la organización para la gestión de riesgos de la IA. Pide cultivar una cultura consciente del riesgo, definir funciones y responsabilidades para la gobernanza de la IA, implantar políticas y procedimientos para el desarrollo y el despliegue de IA, y establecer mecanismos de seguimiento y revisión continuos. Las organizaciones deben documentar su tolerancia al riesgo en materia de IA, definir procedimientos de escalado para los riesgos identificados y respaldar la gobernanza de la IA con recursos suficientes y el compromiso de la dirección.

La función Mapear se centra en comprender el contexto en el que operan los sistemas de IA. Esto incluye identificar y clasificar los sistemas de IA, evaluar las posibles consecuencias de sus fallos o de su uso indebido, comprender las características de los datos usados para el entrenamiento y la operación, y evaluar el entorno operativo y las expectativas de las partes interesadas. En lo que respecta a los datos de entrenamiento, la función Mapear pide comprender su procedencia, evaluar su calidad y representatividad, identificar posibles sesgos y documentar las metodologías de recogida y tratamiento de datos.

La función Medir aborda la evaluación y el análisis de los riesgos de la IA mediante métodos cuantitativos y cualitativos. Las organizaciones deben implantar procedimientos de prueba y evaluación, medir el rendimiento del sistema de IA según métricas definidas, evaluar el sesgo y la equidad en los grupos demográficos pertinentes, valorar los riesgos de seguridad y privacidad, y repetir las evaluaciones periódicamente a medida que evolucionan los sistemas y los contextos. La función Gestionar toma después los resultados del mapeo y la medición para priorizar y tratar los riesgos identificados, implantar controles, comunicar la información de riesgos a las partes interesadas y supervisar la eficacia de los tratamientos de riesgo.

How Ertas Helps

Varios de los riesgos que el marco le pide mapear dependen de dónde residen los datos y los modelos. En Ertas Studio, el entrenamiento se realiza en las GPU en la nube de Ertas, por lo que el conjunto de datos de entrenamiento se sube a Ertas y se almacena para poder repetir las ejecuciones, y puede eliminarlo cuando ya no lo necesite. Deje constancia de ese flujo en su trabajo de Mapear, y reduzca el riesgo para la privacidad entrenando con datos desidentificados o minimizados, con cada ejemplo editado y aprobado en Data Craft, el generador de conjuntos de datos de Studio.

Para Medir, Studio le permite lanzar varias ejecuciones de entrenamiento en paralelo y compararlas, lo que le da evidencias para elegir un modelo candidato frente a otro. Las pruebas relevantes en su contexto, como las de sesgo, robustez y exactitud en la tarea, las diseña usted. Para Gestionar, el modelo entrenado es suyo: expórtelo en GGUF o safetensors y ejecútelo en su propio entorno, donde los datos de inferencia nunca llegan a Ertas. Su versión no cambia hasta que vuelva a entrenarlo, de modo que el modelo que midió es el que está en producción. El endpoint de modelo adaptativo y los desarrollos empresariales a medida pueden ejecutar el modelo en su propia nube o en sus propias instalaciones (on-premise).

Gobernar queda enteramente a su cargo: las políticas, las funciones, la tolerancia al riesgo y la participación de las partes interesadas. También el registro de riesgos y las evaluaciones de impacto que lo alimentan.

Compliance Checklist