Matriz de priorización impacto-riesgo de IA

Cómo usar este documento

• Para qué sirve. Es una matriz base para comparar iniciativas de IA con criterios comunes, cruzando el valor que aportan con el riesgo que generan, y decidir cuáles se impulsan, cuáles se condicionan, cuáles esperan y cuáles se descartan. Es el único método de priorización de [NOMBRE DE LA ORGANIZACIÓN]: el «Portafolio de casos de uso de IA» usa sus puntuaciones y su cuadrante, no un cálculo propio.
• Quién debe ser su dueño. El responsable de IA mantiene la metodología; los dueños de los sistemas puntúan el valor; el comité de IA (o la dirección, en organizaciones pequeñas) decide la prioridad. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Antes de adoptarla, decida si ajusta los pesos de cada criterio (sección 6) y los umbrales de los cuadrantes (sección 7), que se dan como valor orientativo; quién puntúa el riesgo de forma independiente (sección 8) y cada cuánto se celebra la sesión de priorización.
• Campos a completar. Sustituya los textos entre corchetes, como [NOMBRE DE LA ORGANIZACIÓN], [COMITÉ DE IA], [FRECUENCIA DE REVISIÓN] y [COMPLETAR]. Conserve las cláusulas marcadas [OPCIONAL] solo si aplican.
• Variantes por país. Este documento no tiene variantes por país. Los filtros de la sección 4 deben ajustarse a las normas que apliquen a su organización; consulte «Referencias normativas relacionadas».
• Revisión. Pida a Legal y al delegado de protección de datos que validen los filtros previos y las escalas de riesgo, y a la dirección (finanzas o estrategia) que valide las escalas de valor.
• Aprobación y publicación. Haga que la apruebe el comité de IA, registre la aprobación en «Control de versiones» y compártala con quienes proponen iniciativas de IA para que preparen sus fichas con los mismos criterios.
• Qué no es. La matriz ordena y documenta decisiones de cartera; no sustituye la evaluación de impacto, la evaluación de impacto en protección de datos ni el registro de riesgos de cada sistema. Su eje de riesgo (R) es una puntuación para priorizar: no sustituye el nivel de riesgo (Bajo, Medio, Alto o Inaceptable) de la «Matriz de clasificación de riesgos de IA», que es el que fija el carril de aprobación.

Matriz de priorización impacto-riesgo de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria de la metodología	[ÁREA RESPONSABLE]
Responsable	[RESPONSABLE]
Órgano que decide	[COMITÉ DE IA]
Aprobada por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]

1. Propósito

1.1 Esta matriz establece cómo [NOMBRE DE LA ORGANIZACIÓN] compara y prioriza las iniciativas de IA según el valor que aportan y el riesgo que generan, con criterios explícitos, puntuaciones trazables y decisiones registradas.

1.2 Su finalidad es evitar dos errores frecuentes: impulsar iniciativas por novedad o presión sin medir su riesgo, y bloquear iniciativas valiosas por temor sin analizar si el riesgo es controlable.

2. Alcance

2.1 Se aplica a toda propuesta de uso de IA que requiera recursos, datos o aprobación de [COMITÉ DE IA], incluidas:

a) sistemas de IA desarrollados internamente;
b) herramientas o servicios de IA de terceros que se integren en procesos de negocio;
c) funciones de IA que se activen en productos ya contratados cuando cambien el tratamiento de datos o afecten decisiones sobre personas;
d) ampliaciones de un sistema existente a una nueva finalidad, población o país.

2.2 Las herramientas de productividad de nivel Bajo ya autorizadas por la «Política de uso responsable de IA (incluida la IA generativa)» no necesitan pasar por la matriz, salvo que se usen para una finalidad nueva.

2.3 Las iniciativas llegan a la matriz mediante el «Formulario de propuesta de caso de uso de IA» (estado «Propuesto») y se puntúan en estado «En evaluación».