¿Qué es el NIST AI RMF y cómo usarlo en una pyme?
El NIST AI RMF (NIST AI 100-1, enero de 2023) es un marco voluntario y no certificable del Instituto Nacional de Estándares y Tecnología de EE. UU. para gestionar el riesgo de la IA con cuatro funciones: gobernar, mapear, medir y gestionar. Una pyme lo usa con un perfil: describe qué logra hoy, define qué necesita según sus riesgos y trabaja primero las brechas más importantes, sin intentar cumplir todas las subcategorías.
Las cuatro funciones
Gobernar crea la cultura, las políticas, los roles y la rendición de cuentas, y atraviesa a las demás. Mapear establece el contexto: propósito, usuarios, beneficios, riesgos e impactos. Medir analiza y rastrea los riesgos. Gestionar trata los riesgos priorizados, responde a incidentes y monitorea después del despliegue. En total son 19 categorías y 72 subcategorías.
- Fuente: NIST AI 100-1 — Artificial Intelligence Risk Management Framework 1.0 (NIST (EE. UU.), 2023), Sec. 5 y Tablas 1–4documento oficial
Cómo usarlo con pocos recursos
Elige un alcance (un caso de uso o un área), describe el perfil actual, define el perfil objetivo según tus riesgos y requisitos legales, y prioriza las brechas por riesgo. El perfil objetivo se ajusta al contexto, así que no exige cumplir todas las subcategorías. Si usas IA generativa, el perfil NIST AI 600-1 resume sus riesgos propios.
Una empresa pequeña también necesita gobernanza, pero más simple: la estructura mínima que cubra los riesgos más altos, para empezar pequeño y crecer. Por ejemplo, un responsable de IA, una política breve, el inventario, reglas de uso de las herramientas con datos de clientes y una revisión periódica.
- Fuente: NIST AI 100-1 — Artificial Intelligence Risk Management Framework 1.0 (NIST (EE. UU.), 2023), Sec. 6documento oficial
- Fuente: NIST AI 600-1 — Generative AI Profile (NIST (EE. UU.), 2024), Sec. 1documento oficial
- Fuente: ISO/IEC 42001:2023 — Sistema de gestión de inteligencia artificial (ISO/IEC JTC 1/SC 42, 2023), Cl. 4.1