Registro de proveedores de IA y auditorías

Cómo usar este documento

• Para qué sirve. Es un registro base que reúne en un solo lugar a los proveedores de IA de la organización con su nivel, la procedencia de los modelos que suministran, los datos que tratan, el estado de sus contratos y acuerdos de tratamiento, la documentación y los informes de aseguramiento recibidos, las evaluaciones y auditorías realizadas, los hallazgos abiertos y las fechas de la próxima revisión. Incluye la definición de cada campo con instrucciones y un ejemplo completado, y reglas de semáforo.
• Quién debe ser su dueño. El responsable de IA, con compras o gestión de terceros como coordinador operativo, y con Legal, el delegado de protección de datos, seguridad de la información y los dueños de cada sistema. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida qué cuenta como proveedor de IA (sección 2), cómo se asigna el nivel de cada proveedor (sección 3, que aplica la «Política de gestión de proveedores de IA»), la frecuencia de evaluación por nivel (sección 8) y en qué herramienta vive el registro (hoja controlada, módulo de gestión de terceros o del registro de proveedores de TI).
• Campos a completar. Configure los campos de las secciones 4, 5 y 6 en su herramienta. Las columnas «Ejemplo» muestran un proveedor ficticio de un modelo de lenguaje integrado en atención al cliente. Sustituya los textos entre corchetes, como [NOMBRE DE LA ORGANIZACIÓN], [ÁREA RESPONSABLE], [PROVEEDOR] y [COMPLETAR].
• Variantes por país. Este documento no tiene variantes por país. Las entidades financieras sujetas a reglas de registro de proveedores de servicios de tecnología, y las organizaciones que deben firmar acuerdos de tratamiento de datos con sus encargados, deben revisar en «Referencias normativas relacionadas» los campos que su norma exige y añadirlos.
• Revisión. Pida a Legal y al delegado de protección de datos que validen los campos del bloque D, y a seguridad de la información que valide los bloques A6 a A9 y la frecuencia de evaluación.
• Aprobación. El formato del registro y sus reglas los aprueba el [COMITÉ DE IA] o el comité de compras. El registro es un documento interno vivo; registre en «Control de versiones» los cambios de formato, no las actualizaciones de filas.

Registro de proveedores de IA y auditorías

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable del registro	[RESPONSABLE]
Aprobado por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Ubicación del registro	[COMPLETAR: herramienta o enlace]
Contacto	[EMAIL DE GOBERNANZA DE IA]

1. Objeto

1.1 [NOMBRE DE LA ORGANIZACIÓN] mantiene este registro como fuente única de información sobre sus proveedores de IA y sobre las evaluaciones y auditorías que les realiza, para compras, legal, privacidad, seguridad, gestión de riesgos, auditoría y los dueños de los procesos.

1.2 El registro permite saber en todo momento qué proveedores participan en los sistemas de IA de la organización, qué datos reciben, en qué condiciones contractuales, con qué garantías, qué riesgos presentan, qué hallazgos siguen abiertos y cuándo toca revisarlos.

2. Qué se registra

2.1 Se registran como proveedores de IA:

a) los proveedores de modelos o servicios de IA a los que se accede por interfaz (APIs);
b) los proveedores de software o servicios en la nube con funciones de IA activadas por la organización;
c) los desarrolladores, integradores o consultores que construyen, ajustan u operan sistemas de IA por cuenta de la organización;
d) los proveedores de conjuntos de datos o de servicios de etiquetado usados para entrenar o evaluar modelos;
e) [OPCIONAL] los proveedores de servicios de auditoría, pruebas o monitoreo de sistemas de IA.

2.2 Se registran en cualquier estado: en evaluación, aprobados, aprobados con condiciones, en revisión y retirados. Los retirados no se borran.

2.3 Este es el registro único de proveedores de IA: otros documentos no llevan listas propias de proveedores. Los modelos de pesos abiertos que la organización descarga y ejecuta sin proveedor no figuran aquí, sino en el «Inventario de sistemas de IA» y en la «Ficha de procedencia de modelos de terceros y de pesos abiertos»; la nube de terceros donde se ejecuten sí es un proveedor.

2.4 Cada proveedor tiene una fila en el registro de proveedores (sección 4). Cada evaluación o auditoría tiene una fila en el registro de evaluaciones (sección 5) y cada hallazgo, una fila en el registro de hallazgos (sección 6).