Anexo A - Controles / ISOIEC 420012023

¿Cómo están organizados y numerados estructuralmente los controles de referencia del Anexo A de la norma ISO/IEC 42001:2023?. Están agrupados en 10 dominios de control numerados del A.1 al A.10. Están agrupados bajo 9 objetivos de control específicos numerados del A.2 al A.10. Siguen la misma numeración de las cláusulas obligatorias del estándar (Cláusulas 4 a 10). Se organizan de forma continua del control 1 al 38 sin subdivisiones temáticas.

Bajo el objetivo de control A.2 (Políticas relacionadas con la IA), ¿cuál es el requisito específico del control A.2.3 (Alineación con otras políticas organizacionales)?. Exigir que la política de IA reemplace por completo a las políticas existentes de seguridad y calidad de la organización. Obligar a que la política de IA sea redactada exclusivamente por un comité de ética externo. Determinar dónde otras políticas existentes de la organización pueden verse afectadas o aplicarse a los objetivos organizacionales con respecto a la IA. Garantizar que todos los proveedores de la cadena de suministro adopten de forma idéntica la política de IA de la organización.

El control A.3.3 regula la "Notificación de inquietudes" (reporting of concerns). De acuerdo con la guía de implementación de la norma, ¿cuál de las siguientes es una función indispensable que debe cumplir este mecanismo?. Debe ser visible para el público general en la página web principal y de acceso no autenticado. Debe prever una protección eficaz contra represalias para los denunciantes y permitir reportes de forma anónima y confidencial. Debe requerir obligatoriamente la firma electrónica del denunciante antes de iniciar cualquier investigación. Exige reportar de forma automática todas las inquietudes directamente a la autoridad de protección de datos en menos de 24 horas.

En el Dominio A.5 (Evaluación de los impactos de los sistemas de IA), ¿qué exige específicamente el control A.5.4 (Evaluación del impacto en individuos o grupos)?. Medir el impacto financiero que la implementación del sistema algorítmico generará en el ROI de la empresa. Evaluar y documentar los impactos potenciales del sistema de IA en la privacidad, la equidad, los derechos humanos universales, la situación jurídica o las oportunidades de vida de las personas. Validar que los científicos de datos no sufran fatiga cognitiva durante el entrenamiento del modelo. Realizar un inventario de los derechos de propiedad intelectual de los modelos de machine learning adquiridos de terceros.

De acuerdo con los controles del ciclo de vida del sistema de IA (A.6), ¿en qué momento o fases debe estar habilitado, como mínimo, el control A.6.2.8 (Registro de registros de eventos / Logging)?. Únicamente durante la fase previa de descubrimiento y extracción de datos históricos. En todas las fases del ciclo de vida del sistema de IA, pero obligatoriamente como mínimo cuando el sistema de IA esté en uso. Exclusivamente después de que ocurra una no conformidad o un fallo grave del modelo en producción. Solo en la fase de validación por parte del equipo independiente de pruebas (TEVV).

El control A.7.4 aborda la "Calidad de los datos para los sistemas de IA". ¿Cuál es la responsabilidad de la organización bajo este control?. Garantizar que el 100% de los datos de entrenamiento procedan exclusivamente de repositorios de datos abiertos o de dominio público. Utilizar únicamente datos sintéticos para evitar cualquier tipo de riesgo legal asociado al procesamiento de datos personales. Definir y documentar los requisitos de calidad de los datos y garantizar que los datos utilizados para desarrollar y operar el sistema de IA cumplan con esos requisitos. Delegar la validación de la calidad de datos completamente en el proveedor del servicio de almacenamiento en la nube (SaaS).

¿Qué control de la norma ISO/IEC 42001 exige explícitamente definir, documentar e implementar procesos para registrar el linaje y el origen de los datos a lo largo de su ciclo de vida?. A.4.3 (Recursos de datos). A.7.5 (Procedencia de los datos). A.7.6 (Preparación de datos). A.10.3 (Proveedores).

¿Cuál es la diferencia de enfoque fundamental entre el objetivo de control A.6 (Ciclo de vida del sistema de IA) y el objetivo de control A.9 (Uso de sistemas de IA)?. A.6 aplica únicamente a modelos desarrollados de forma interna (in-house), mientras que A.9 aplica exclusivamente a herramientas SaaS de terceros. A.6 se enfoca en el diseño, desarrollo, validación y despliegue responsable del sistema; mientras que A.9 se centra en su operación y uso responsable conforme a su propósito y límites previstos. Los controles del dominio A.6 son obligatorios para la certificación, mientras que los controles del dominio A.9 son de carácter puramente voluntario. A.6 regula la gobernanza organizativa de la empresa, mientras que A.9 gobierna la relación contractual con los clientes finales.

Bajo el dominio de control A.10 (Relaciones con terceros y clientes), ¿cuál es el objetivo del control A.10.2 (Asignación de responsabilidades)?. Asegurar que el cliente final asuma la responsabilidad jurídica absoluta por cualquier daño derivado de una inferencia incorrecta del modelo. Eximir a la organización de cualquier control interno cuando la solución algorítmica provenga de un proveedor externo (SaaS). Asegurarse de que las responsabilidades dentro del ciclo de vida del sistema de IA se asignen explícitamente entre la organización, sus socios, proveedores, clientes y terceros. Prohibir el uso de herramientas de IA en las que intervengan más de tres intermediarios tecnológicos en la cadena de valor.

Según la metodología de planificación e implementación de la norma ISO/IEC 42001:2023, ¿son obligatorios los 38 controles de referencia del Anexo A para lograr la certificación de conformidad?. Sí. La organización debe implementar de forma estricta y secuencial los 38 controles para poder obtener el certificado. No. El Anexo A es un catálogo de referencia. La organización selecciona los controles aplicables en su Declaración de Aplicabilidad (SoA) justificados en base a sus evaluaciones de riesgo (6.1.2) e impacto (6.1.4), pudiendo excluir controles bajo justificación. No. Ninguno de los controles del Anexo A es auditable; el auditor solo evalúa las Cláusulas mandatorias 4 a 10. Solo son obligatorios aquellos controles que regulan la ciberseguridad tradicional y la confidencialidad de la información.