ISO/IEC 42001 y el NIST AI RMF: cómo guían el diseño de un agente EIA

Cuando una organización regulada evalúa una solución de inteligencia artificial, tarde o temprano hace la misma pregunta: ¿con qué marco se diseñó? En Abbiamo.ai respondemos con dos referencias. Diseñamos nuestros productos y servicios siguiendo ISO/IEC 42001 y sus prácticas de gestión de IA, y seguimos el marco de gestión de riesgos de IA del NIST. En este artículo explicamos qué es cada uno, en términos generales, y cómo se reflejan en el diseño de un agente EIA (Ente Inteligente Autónomo Cognitivo).

ISO/IEC 42001: un sistema de gestión para la IA

ISO/IEC 42001 es una norma internacional publicada por la ISO (Organización Internacional de Normalización) y la IEC (Comisión Electrotécnica Internacional). Define los requisitos de un sistema de gestión de inteligencia artificial: cómo una organización establece, aplica, mantiene y mejora de forma continua la manera en que desarrolla, ofrece o usa la IA.

Como otras normas de sistemas de gestión, no se centra en una tecnología concreta, sino en la disciplina de la organización. Entre sus ideas centrales están:

• Políticas y objetivos de IA claros, con roles y responsabilidades definidos.
• Evaluación y tratamiento de los riesgos de la IA.
• Evaluación del impacto de los sistemas de IA en las personas y en los grupos a los que afectan.
• Control del ciclo de vida de los sistemas, con documentación.
• Seguimiento, revisión y mejora continua.

El marco de gestión de riesgos de IA del NIST

El NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos) publicó el AI RMF (AI Risk Management Framework), un marco de uso voluntario para gestionar los riesgos de la IA a lo largo de su ciclo de vida. Lo organiza en cuatro funciones:

• Gobernar: establecer la cultura, las políticas y las responsabilidades para gestionar el riesgo.
• Mapear: entender el contexto de uso y los riesgos que pueden aparecer.
• Medir: analizar, evaluar y dar seguimiento a esos riesgos.
• Gestionar: priorizar los riesgos y actuar sobre ellos.

El marco también describe las características de una IA confiable: válida y fiable; segura; protegida y resiliente; responsable y transparente; explicable e interpretable; con privacidad reforzada; y justa, con los sesgos dañinos gestionados.

Los dos marcos se complementan. ISO/IEC 42001 ordena el sistema de gestión; el AI RMF ofrece un lenguaje práctico para pensar en los riesgos. Ninguno dice qué producto construir. Los dos dicen qué preguntas no pueden quedarse sin respuesta.

Cómo se reflejan en el diseño de un agente EIA

Gobierno por configuración: Abbi Studio

Abbie y Caddie se gobiernan desde las siete consolas de Abbi Studio, por configuración y no por código:

• Entidad: quién es el agente EIA para cada cliente: identidad, personalidad, voz, reglas globales y marco regulatorio.
• Entrenamiento: qué sabe y qué sabe hacer: fuentes, intenciones, procedimientos, acciones permitidas y batería de pruebas.
• Despliegue: qué debe lograr, con quién y cuándo: objetivo, público, guion, canales, programación y cumplimiento.
• Evaluación: qué logró y qué se corrige: tablero, revisión con IA, calificación humana, alertas y aprendizajes aprobados.
• Actions: las Abbi Actions las crea y publica solo Abbiamo.ai; las demás consolas pueden restringirlas, nunca ampliarlas.
• Tasks: las Abbi Tasks combinan Actions publicadas en un recorrido con un resultado verificable; las componen Abbiamo.ai, los partners y sus clientes.
• Flow: encadena Tasks en un proceso completo, con condiciones, desvíos y el punto donde entra una persona. Lo define y lo aprueba el cliente o el partner; un Flow nunca amplía lo que permiten sus Tasks y Actions.

La configuración baja en cascada: ningún nivel inferior puede relajar lo que fija el superior. Un experto de negocio gobierna el agente EIA sin tocar el modelo. Esta estructura responde a la idea de roles y responsabilidades definidos, y a la función Gobernar: queda escrito quién decide qué y dónde. Puedes ver el detalle en Tecnología.

Contexto y riesgo antes de operar

Antes de habilitar un proceso se define qué sistemas existen, qué datos son fuente autorizada y en qué punto decide el agente EIA. Antes de cada despliegue productivo se revisa la normativa aplicable en el mercado correspondiente. Y la autonomía se fija acción por acción: sugiere, ejecuta con confirmación o ejecuta sola.

Es la lógica de Mapear y de la evaluación de impacto: entender el contexto antes de actuar y pensar en quién recibe el efecto de cada decisión. Por eso Abbie ofrece pasar a una persona cuando detecta vulnerabilidad, como angustia, duelo o confusión, y no solo cuando el caso excede su mandato.

Medir con evidencia y con personas

La consola de Evaluación muestra qué logró el agente EIA y qué se corrigió, combinando revisión con IA y calificación humana. Ningún agente EIA sanciona ni califica de forma definitiva a una persona sin revisión humana. Es la función Medir llevada al día a día: el riesgo se observa con datos, no con suposiciones.

Aprendizaje que aprueba una persona

Un agente EIA no aprende solo. Mejora únicamente cuando una persona aprueba un aprendizaje, y ese aprendizaje queda en el perfil de ese cliente. Así, la mejora continua que piden ambos marcos ocurre con control de cambios: nada se modifica en producción sin una decisión humana registrada.

Trazabilidad como documentación viva

Cada decisión relevante queda registrada y se puede rastrear hasta la regla o la fuente que la produjo. Los dos marcos dan mucho peso a la documentación y a la rendición de cuentas; en un agente EIA, esa documentación se genera en cada interacción. Contamos con la evidencia y la documentación que respaldan nuestro diseño, y cuando un cliente lo requiere, ponemos a su disposición la documentación correspondiente.

Límites que la plataforma hace respetar

Las Abbi Actions las publica solo Abbiamo.ai. El cliente puede restringirlas, nunca ampliarlas. Es una forma concreta de tratar el riesgo: el agente EIA solo puede actuar con operaciones definidas, con entradas, salidas, límites y bitácora.

Lo que un marco no sustituye

Seguir un marco no reemplaza el criterio de cada organización. Cada cliente define su mandato, sus fuentes y sus límites, y responde ante su propio regulador. Por eso hablamos de responsabilidad compartida y explícita: queda claro qué protege Abbiamo.ai y qué controla el cliente, como la grabación, la telefonía y la infraestructura. Los marcos dan el orden; la operación diaria demuestra si ese orden funciona.

Si estás evaluando cómo gobernar la IA en un proceso de tu empresa, podemos revisarlo juntos con estos marcos como guía. Hablemos de tu operación: tu solicitud llega al partner que atiende a tu empresa, porque Abbiamo.ai trabaja 100 % a través de partners.