Política de riesgo de modelo e inventario de modelos

Cómo usar este documento

• Sirve para establecer cómo la organización identifica, clasifica, valida, aprueba, monitorea y retira los modelos que usa, incluidos los modelos de IA y aprendizaje automático y los modelos de proveedores. Incluye el formato del inventario de modelos y la ficha de materialidad.
• Debe tener un dueño claro: normalmente la unidad de riesgos (segunda línea), con ciencia de datos y las áreas de negocio como dueñas de cada modelo y auditoría interna como tercera línea.
• Antes de adoptarla, la organización debe decidir qué órgano aprueba la política (directorio o comité delegado), si crea un comité de riesgo de modelo propio o asigna sus funciones al comité de riesgos, quién realiza la validación independiente (equipo interno o tercero) y qué criterios y umbrales usa para los niveles de materialidad.
• Complete los campos [COMPLETAR] de las secciones 5 (umbrales de materialidad), 8 (frecuencias de validación) y 10 (umbrales de monitoreo) con valores coherentes con el tamaño y el perfil de riesgo de la entidad.
• Conserve solo las variantes por país de los supervisores que aplican a la entidad (Perú, Ecuador, Unión Europea o Estados Unidos) y elimine las demás. Varias pueden aplicar a la vez en grupos con presencia regional.
• Los campos [COMPLETAR] incluyen puntos que conviene confirmar con su asesor, en especial frecuencias mínimas, plazos de notificación al supervisor y el alcance de la norma sobre modelos de IA generativa.
• Antes de aprobarla, conviene que la revisen la unidad de riesgos, cumplimiento normativo, el área legal interna o un asesor externo y, si existe, la función de validación de modelos.
• Apruébela en el directorio o el órgano equivalente, comuníquela a las áreas que desarrollan o usan modelos y publique el inventario en un repositorio con control de acceso y de versiones.

Política de riesgo de modelo e inventario de modelos

Campo	Contenido
Entidad	[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN])
Supervisor principal	[COMPLETAR]
Dueño de la política	[ÁREA RESPONSABLE]
Responsable de la gestión del riesgo de modelo	[RESPONSABLE]
Órgano que la aprueba	[APROBADO POR]
Fecha de aprobación	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Contacto	[EMAIL DE GOBERNANZA DE IA]

1. Objeto

1.1 Esta política establece cómo [NOMBRE DE LA ORGANIZACIÓN] gestiona el riesgo de modelo: la posibilidad de sufrir pérdidas, daños a clientes, sanciones o daño reputacional por decisiones basadas en modelos con errores de diseño, de datos o de implementación, o por un uso indebido de modelos correctos.

1.2 Su finalidad es que cada modelo esté inventariado, tenga un dueño, se clasifique por materialidad, se valide de forma independiente con una profundidad proporcional a su riesgo, se monitoree y se retire de forma ordenada.

2. Alcance y definición de modelo

2.1 A efectos de esta política, un modelo es un método cuantitativo, estadístico, matemático, de aprendizaje automático o de inteligencia artificial que procesa datos de entrada y produce estimaciones, puntuaciones, clasificaciones, predicciones, recomendaciones o contenidos que se usan para tomar decisiones o para informar a la dirección o al supervisor.

2.2 Están incluidos, entre otros:

• modelos de admisión, puntuación crediticia y comportamiento;
• modelos de pérdida esperada, provisiones y capital;
• modelos de precios, tarificación y reservas técnicas;
• modelos de detección de fraude y de prevención del lavado de activos;
• modelos de riesgo de mercado, liquidez y operacional;
• modelos de IA y aprendizaje automático usados en atención a clientes, cobranza, marketing o gestión de personal cuando influyen en decisiones relevantes;
• modelos desarrollados por terceros, incluidos los integrados en productos de proveedores, y servicios de IA generativa usados para tareas con efecto en clientes o en decisiones.

2.3 Las herramientas de cálculo de usuario final (por ejemplo, hojas de cálculo complejas) se incluyen cuando cumplen la definición de 2.1 y su resultado se usa en decisiones relevantes.

2.4 Los sistemas de IA que no cumplen la definición de modelo, como asistentes de productividad sin efecto en decisiones, se gobiernan por la «Política de uso responsable de IA (incluida la IA generativa)» y se registran en el «Inventario de sistemas de IA». [ÁREA RESPONSABLE] resuelve los casos dudosos y deja constancia en el inventario.