NIST AI RMF 1.0 en español: cómo montar gobernanza de IA en 30 días (sin humo)

GUÍAS & TUTORIALES · GOBERNANZA · RIESGO REAL

Antes de entrar al plan: esto no va de “frenar” la IA. Va de poder decir “sí” con seguridad. Y si ya estás documentando casos de uso, políticas y quién toca qué, este artículo encaja perfecto con cómo documentar el uso de IA en empresa, porque aquí vamos a convertir esa documentación en gobernanza operativa.

1) NIST AI RMF en cristiano: qué es y qué NO es

El NIST AI Risk Management Framework (RMF) es un marco para gestionar riesgos de sistemas de IA durante todo su ciclo de vida. No te pide “cumplir” con un check legal; te da un mapa para tomar decisiones repetibles. Traducido: menos improvisación, más trazabilidad.

Qué NO es: un documento para que lo guarde Legal, una auditoría anual, ni un freno a producto. Si se aplica bien, es justo lo contrario: te evita apagar fuegos y te acelera porque define cómo se aprueba, cómo se mide y cómo se corrige.

Y sí: aunque lo montes “mínimo viable”, ya estás haciendo algo que la mayoría de equipos no hace: construir un sistema nervioso alrededor de la IA.

2) Las 4 funciones del NIST RMF y su traducción a acciones

La clave: no intentes “hacerlo todo”. En 30 días buscas un circuito básico (decidir → inventariar → evaluar → controlar → medir → responder) que luego podrás profundizar.

3) El plan de 30 días (sin humo): semana a semana

Este plan asume algo realista: tienes gente ocupada, sistemas ya en marcha (o copilotos “por ahí”) y necesitas resultados visibles. Cada semana deja entregables que se pueden enseñar.

4) GOVENARNZA en serio: roles, comité y “líneas rojas”

La gobernanza no es un comité eterno. Es decidir quién puede decir sí y bajo qué condiciones. En la práctica, con 4 roles bien definidos funciona sorprendentemente bien:

Además, necesitas líneas rojas (lo que no se hace) desde el día 1. Ejemplos típicos:

• No meter datos sensibles en herramientas no aprobadas (incluye chats, extensiones y copilotos “caseros”).
• No desplegar sistemas que tomen decisiones automatizadas sobre personas sin revisión y trazabilidad.
• No usar modelos/proveedores sin contrato, DPA o condiciones claras para tu contexto.
• No publicar contenido generado sin políticas claras de revisión (marca, legal, seguridad).

Si tu equipo está usando IA generativa a diario, conviene que al menos entiendas el lado feo: alucinaciones, privacidad, fugas y decisiones erróneas. Aquí tienes una pieza que te aterriza esos riesgos sin dramatismo: errores típicos al usar IA (alucinaciones y privacidad).

5) MAP: inventario de IA (la pieza que casi nadie tiene)

Si tuviera que elegir una sola cosa para empezar mañana, sería esto: un inventario único de sistemas de IA. No perfecto. No elegante. Pero real.

¿Qué entra en el inventario? Todo lo que use IA para generar, recomendar, clasificar o decidir. Incluye herramientas compradas, modelos en la nube, modelos locales, automatizaciones internas, y “experimentos” que ya están tocando datos reales.

6) MEASURE: evaluación de riesgos sin volverte loco

La evaluación de riesgos falla por dos extremos: o es un “PowerPoint filosófico”, o es un documento técnico imposible. La salida es un enfoque por escenarios y severidad que puedas aplicar a cualquier sistema en 60–90 minutos.

Con eso, asignas una clasificación simple (por ejemplo: bajo/medio/alto) y decides el “paquete” de controles obligatorio. Y un consejo práctico: no intentes medirlo todo de golpe. Elige 2–3 métricas por riesgo y madura con el tiempo.

Si en tu stack hay navegadores con IA, extensiones o asistentes que “leen” páginas y correos, mete esto en tu radar: son una puerta frecuente a instrucciones invisibles y abuso de herramientas. Te lo desgloso aquí: navegadores con IA, prompt injection y cómo protegerte.

7) MANAGE: controles y guardrails que de verdad ayudan

“Poner controles” suena a burocracia hasta que lo traduces a algo que un equipo puede ejecutar. Aquí tienes un menú de controles prácticos, pensado para que puedas combinarlos según el riesgo:

Lo importante es que cada sistema tenga su “ficha” con: riesgos principales, controles aplicados, quién lo aprueba y qué métricas lo vigilan. Eso es gobernanza operativa.

8) Métricas: lo mínimo que deberías medir desde el primer mes

Si no mides, no gobiernas. Pero medir “todo” es otra forma de no medir nada. Aquí tienes un set mínimo, aplicable a la mayoría de casos:

• Calidad/precisión: tasa de respuestas correctas en muestras, o validación humana por lote.
• Seguridad: intentos de jailbreak/prompt injection detectados, bloqueos, y falsos positivos.
• Privacidad: alertas por datos sensibles, incidentes de exposición, cumplimiento de retención.
• Operación: latencia, coste por uso, disponibilidad, y drift (si aplica).
• Impacto: ahorro de tiempo, conversión, tickets resueltos, reducción de errores humanos (lo que importe de verdad).

Si quieres aterrizar KPIs bien (sin inventarte números “bonitos”), aquí tienes una guía directa para medir resultados: KPIs de IA en un proyecto (qué medir y cómo).

9) Incidentes: el playbook que te salva el día que pase “eso”

En IA, un incidente no siempre es “se cayó el servidor”. Puede ser: una fuga de datos por un prompt, una respuesta peligrosa, una recomendación discriminatoria, o un copiloto que ejecuta acciones que no debería. Si no tienes un plan, la reacción típica es el caos.

Un truco que funciona: en la semana 4, haz un simulacro de 30 minutos con un caso sencillo (por ejemplo, “aparece un output con datos sensibles”). No buscas perfección: buscas tiempo de reacción y claridad en responsabilidades.

10) Tu “mínimo viable” al día 30: checklist final

Si terminas el mes con esto, vas muy por delante de la mayoría:

A partir de ahí, el siguiente salto no es “más documentos”, sino más ritmo: revisiones mensuales, mejoras de controles, mejores evaluaciones, y auditorías internas selectivas (solo donde el riesgo lo merece).

Y si estás en España/UE y te preocupa cómo encaja todo esto con el mundo regulatorio, hay una idea útil: un buen NIST RMF te deja mucho mejor posicionado para cualquier exigencia futura, porque ya tienes inventario, evaluación, controles y evidencias. No es magia, pero sí base sólida.