La evaluación de impacto de un sistema de IA analiza las consecuencias posibles de su uso sobre personas, grupos y la sociedad: decisiones injustas, errores, pérdida de privacidad o falta de explicación. ISO 42001 la pide además de la evaluación de riesgos de la organización, y su resultado debe quedar documentado y alimentar los controles del sistema.
Qué es la evaluación de impacto
ISO 42001 es la norma de sistemas de gestión de inteligencia artificial. Además de pedir que la organización gestione los riesgos para sí misma, exige evaluar el impacto que un sistema de IA puede tener sobre las personas y grupos que lo usan o son alcanzados por sus resultados.
El foco cambia: no se pregunta solo qué puede perder la organización, sino qué puede perder quien recibe la decisión.
En qué se diferencia de la evaluación de riesgos
- La evaluación de riesgos mira objetivos de la organización: continuidad, cumplimiento, reputación.
- La evaluación de impacto mira a terceros: derechos, trato equitativo, seguridad, privacidad.
- Ambas se alimentan entre sí: un impacto grave sobre personas es también un riesgo para la organización.
- Una no reemplaza a la otra; el auditor espera ver las dos.
Qué debería cubrir
- Para qué se usa el sistema y quién recibe sus resultados.
- Qué datos usa y de dónde provienen.
- Qué puede salir mal: errores, sesgos, usos no previstos.
- Quién supervisa el resultado y puede corregir o detener una decisión.
- Qué controles se adoptan y quién revisa la evaluación cuando el sistema cambia.
Qué evidencia se revisa
El auditor busca que la evaluación exista antes del despliegue, que tenga fecha y responsable, y que sus conclusiones se reflejen en controles concretos. Una evaluación escrita después de poner el sistema en producción, o que no cambió nada en el diseño, es una señal de alerta.
La pregunta central es la misma que en cualquier auditoría: ¿la conclusión se sostiene con evidencia objetiva?
Errores frecuentes
- Confundirla con la evaluación de protección de datos personales, que es más acotada.
- Hacerla una sola vez y no revisarla cuando cambian el modelo o los datos.
- Que la escriba solo el área técnica, sin quienes conocen a los afectados.
- No dejar asentado quién puede detener el sistema.
Preguntas frecuentes
¿La evaluación de impacto es obligatoria en ISO 42001?
Sí. La norma pide evaluar el impacto de los sistemas de IA sobre personas y grupos y documentar el resultado.
¿Es lo mismo que una evaluación de impacto en protección de datos?
No. Pueden complementarse, pero la de IA abarca más que los datos personales: equidad, seguridad, explicación y supervisión humana.
¿Cuándo se hace?
Antes de desplegar el sistema y cada vez que cambian su uso, sus datos o el modelo.