Ficha de procedencia de modelos de terceros y de pesos abiertos

Cómo usar este documento

• Para qué sirve. Es la ficha que documenta, para cada modelo de IA de terceros que la organización usa a través de una API o aloja en su infraestructura, de dónde viene, con qué licencia se usa, qué restricciones legales o contractuales pueden aplicarle por su origen, dónde se procesan los datos según la modalidad de alojamiento, si el artefacto es íntegro y cómo se comporta en las pruebas. Es especialmente útil para modelos de pesos abiertos, que no tienen un proveedor que responda a un cuestionario de diligencia debida.
• Quién debe ser su dueño. Seguridad de la información completa y custodia la ficha; legal completa las secciones de licencia y restricciones; el dueño del sistema aporta el caso de uso y firma la decisión. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida a partir de qué nivel de riesgo se exige la ficha para modelos usados por API (se recomienda: Medio y Alto), qué herramientas usará para verificar hashes y analizar archivos, qué modelo de referencia usará para comparar comportamientos y quién aprueba según el carril de aprobación.
• Una ficha por artefacto. Complete una ficha por cada combinación de modelo, versión y variante (por ejemplo, una cuantización o un ajuste fino distinto es otra ficha). Anote su identificador en la entrada correspondiente del «Inventario de sistemas de IA».
• Campos a completar. Sustituya los textos entre corchetes. Donde la ficha pide el contenido de una licencia o de una norma, cópielo de la fuente oficial vigente: esta plantilla no reproduce licencias ni normas.
• Revisión. Pida a legal o a su asesor que revise las secciones 4, 5 y 9, y al delegado de protección de datos (o el rol equivalente del país) que revise la matriz de residencia de la sección 6.
• Aprobación y archivo. La decisión de la sección 10 la toma quien corresponda según el carril de aprobación del nivel de riesgo. Archive la ficha con las evidencias y vuelva a revisarla con la frecuencia de su nivel de riesgo.

Selección de módulos

Perfil o nivel	Secciones que conservar
P2 Usa modelos de terceros por API o RAG	Secciones 1 a 6, 8, 10 y 11
P3 Aloja modelos, incluidos los de pesos abiertos	Todas las secciones salvo la 9, si no ajusta modelos
P4 Entrena o ajusta modelos	Además, la sección 9
Niveles Básico y Estándar	Filas sin marca de nivel
Nivel Reforzado	Todas las filas, incluidas las [NIVEL REFORZADO]

Elimine las secciones y filas que no apliquen a su organización.

Ficha de procedencia de modelos de terceros y de pesos abiertos

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área responsable de la ficha	[ÁREA RESPONSABLE]
Responsable de la ficha	[RESPONSABLE]
Identificador de la ficha	[COMPLETAR]
Identificador en el «Inventario de sistemas de IA»	[COMPLETAR]
Sistema o sistemas de IA que usan el modelo	[SISTEMA DE IA]
Fecha de apertura	[FECHA]
Próxima revisión	[FECHA]

1. Objeto y cuándo se completa

1.1 [NOMBRE DE LA ORGANIZACIÓN] completa esta ficha:

a) antes de alojar en su infraestructura, propia o alquilada, cualquier modelo de terceros, incluidos los de pesos abiertos de cualquier origen, aunque sea para pruebas con datos reales;
b) antes del piloto de un sistema de riesgo Medio o Alto que use un modelo de terceros a través de una API;
c) cada vez que cambie la versión, la cuantización, el ajuste o la modalidad de alojamiento del modelo.

1.2 La ficha no sustituye la «Lista de verificación de diligencia debida para proveedores de IA» cuando el modelo se contrata a un proveedor: la complementa con la información del modelo en sí. Cuando no hay proveedor contratado (pesos abiertos descargados), esta ficha es la autoevaluación que sustituye esa diligencia debida.

1.3 Ningún modelo cubierto por 1.1 pasa a piloto o producción sin una decisión «Aprobar» o «Aprobar con condiciones» en la sección 10.

2. Identificación del modelo

Campo	Valor
Nombre comercial o técnico del modelo	[COMPLETAR]
Familia y versión exacta	[COMPLETAR]
Variante (completo, cuantizado y formato, adaptador, ajustado, fusionado)	[COMPLETAR]
Modalidad de alojamiento (SaaS, API del desarrollador, alojamiento propio, nube de terceros)	[COMPLETAR]
Perfil de despliegue del sistema (P1 a P5)	[COMPLETAR]
Nivel de riesgo del sistema que lo usa (Bajo, Medio, Alto)	[COMPLETAR]
Dueño del sistema	[COMPLETAR]
Finalidad prevista del uso del modelo	[COMPLETAR]
Datos que recibirá (categorías; ¿datos personales, sensibles, confidenciales?)	[COMPLETAR]