ISO/IEC 42001:2023 · Annex A
La lista de controles ISO 42001: los 38 controles del anexo A
Una línea clara sobre lo que pide cada control de la norma de sistemas de gestión de IA. De lectura libre. Genere su Declaración de Aplicabilidad en minutos con StandardOS.
¿Ya opera ISO 27001? Los capítulos 4 a 10 son la estructura armonizada, la misma columna vertebral, así que la mayoría de los registros de su sistema de gestión cuentan para ambas. Vea qué cubrimos, capítulo por capítulo.
Políticas para la IA
3Los controles sobre dejar por escrito la posición de la organización respecto a la IA: para qué usará y no usará IA, y cómo esa posición se mantiene actual a medida que cambian los sistemas.
Funciones y gobernanza interna
2Los controles sobre quién dentro de la organización es responsable de la IA, y cómo se toman y se escalan las decisiones al respecto.
Recursos detrás de un sistema de IA
5Los controles sobre de qué está hecho un sistema de IA: los datos, las herramientas, el cómputo y las personas, y saber de qué depende usted realmente.
- A.4.2Escribir de qué depende cada sistema de IA
- A.4.3Los datos que necesita un sistema de IA, identificados
- A.4.4Las herramientas con las que se construyen y operan los sistemas de IA
- A.4.5El cómputo y la infraestructura donde corren los sistemas de IA
- A.4.6Las personas y capacidades de las que depende un sistema de IA
Efectos en las personas y la sociedad
4Los controles sobre las consecuencias para las personas y para la sociedad, distintas de las consecuencias para la organización. Es el grupo sin equivalente en ISO 27001, y la razón por la que una evaluación de riesgos 42001 hace preguntas que una de seguridad no hace.
La vida de un sistema de IA
9Los controles sobre un sistema de IA desde el diseño hasta la retirada: cómo se especifica, se verifica, se pone en producción, se supervisa en uso y finalmente se retira.
- A.6.1.2Qué significa aquí desarrollar con responsabilidad, en forma de objetivos
- A.6.1.3Procesos de diseño y desarrollo que sostengan esos objetivos
- A.6.2.2Escribir qué debe hacer el sistema de IA antes de construirlo
- A.6.2.3Un registro de cómo se diseñó y construyó el sistema
- A.6.2.4Probar que el sistema hace lo especificado
- A.6.2.5Poner en servicio un sistema de IA de forma deliberada, no por inercia
- A.6.2.6Vigilar un sistema de IA en marcha y actuar cuando se desvía
- A.6.2.7Documentación técnica para quienes deben entenderla
- A.6.2.8Registrar qué hizo un sistema de IA, para poder reconstruirlo
Datos que usan los sistemas de IA
5Los controles sobre los datos de los que un sistema de IA aprende y con los que opera: de dónde vienen, qué calidad tienen y para qué está permitido usarlos.
- A.7.2Decidir qué datos pueden usarse para construir y mejorar un sistema
- A.7.3Saber de dónde vinieron los datos y con qué condiciones
- A.7.4Si los datos son suficientemente buenos para su uso
- A.7.5Mantener trazables el origen y la historia de los datos
- A.7.6Cómo los datos en bruto se vuelven datos de entrenamiento o de entrada
Lo que cuenta hacia fuera
4Los controles sobre lo que la organización cuenta a quienes están fuera: qué hace un sistema, cómo se construyó y cómo alguien afectado por él puede plantear una preocupación.
Usar la IA de forma responsable
3Los controles sobre el uso responsable de la IA una vez en marcha: para qué puede usarse, quién puede usarla, y qué supervisión hay entre el sistema y una decisión que afecta a alguien.
Proveedores y clientes
3Los controles sobre la IA que usted no construyó y la IA que suministra a otros: qué exige a un proveedor, y qué tienen derecho a saber sus propios clientes.