Evaluación de riesgos IA empresarial

Por qué necesitas una matriz de riesgos

No todos los sistemas de IA conllevan el mismo riesgo. Un chatbot que sugiere restaurantes es fundamentalmente diferente de un modelo que decide quién recibe un préstamo. Tratarlos igual desperdicia recursos en los de bajo riesgo y desprotege los de alto.

Una matriz de riesgos mapea dos dimensiones: probabilidad de daño y severidad del impacto. Esto te da cuatro cuadrantes y una base clara para asignar recursos.

Niveles de riesgo de la Ley de IA de la UE

La Ley de IA de la UE proporciona el marco regulatorio más completo para clasificar riesgos de IA. Desde agosto de 2026, el cumplimiento es obligatorio para empresas que operen en la UE:

• Riesgo inaceptable: Prohibido directamente. Puntuación social, vigilancia biométrica en tiempo real en espacios públicos, manipulación de grupos vulnerables.
• Riesgo alto: Requiere evaluaciones de conformidad, supervisión humana y documentación técnica. Incluye herramientas de contratación, scoring crediticio, fuerzas de seguridad e infraestructura crítica.
• Riesgo limitado: Obligaciones de transparencia. Los usuarios deben saber que interactúan con IA. Chatbots, generadores de deepfakes, reconocimiento de emociones.
• Riesgo mínimo: Sin obligaciones específicas. Filtros de spam, IA de videojuegos, recomendaciones básicas.

El proceso de evaluación

Paso 1: Inventario de sistemas. Lista todos los sistemas de IA, incluyendo herramientas de proveedores e IA embebida en productos SaaS. La mayoría de empresas omite el 30-40% de su huella de IA en el primer intento.

Paso 2: Análisis de impacto. Para cada sistema, responde: ¿Qué decisiones influye? ¿A quién afecta? ¿Qué pasa cuando falla? ¿Puede la persona afectada apelar?

Paso 3: Clasificar. Asigna cada sistema a un nivel de riesgo. En caso de duda, clasifica hacia arriba. Reclasificar a la baja es más fácil que explicar a los reguladores por qué infraclasificaste.

Paso 4: Definir controles. Cada nivel tiene requisitos mínimos. Los sistemas de alto riesgo necesitan documentación, testing, monitorización y supervisión humana. Documenta la justificación de cada clasificación.

Paso 5: Calendario de revisiones. Sistemas de alto riesgo: revisión trimestral. Riesgo limitado: semestral. Riesgo mínimo: anual. Cualquier cambio en el sistema dispara una reevaluación.

Errores comunes

Ignorar la IA de proveedores es el hueco más habitual. Si usas una plataforma SaaS con IA embebida para contratación, ese es tu riesgo, no el del proveedor. El segundo error: evaluaciones estáticas. Los perfiles de riesgo cambian cuando los modelos se reentrenan, los datos mutan y la regulación evoluciona.

Combina la evaluación de riesgos con detección de sesgos y una documentación de modelos adecuada para una cobertura completa. Más en el hub de gobernanza IA.