En un país sin ley federal de IA, "voluntario" no significa "opcional" en la práctica — es el marco que reguladores, aseguradoras y clientes empresariales esperan que uses, aunque nadie te obligue por ley.
El NIST AI Risk Management Framework (AI RMF 1.0) es una guía voluntaria para gestionar riesgo a lo largo de todo el ciclo de vida de un sistema de IA, desde el diseño hasta el retiro. Ante la ausencia de una ley federal de IA en EE.UU. — y con la administración actual activamente cuestionando las leyes estatales — el AI RMF terminó ocupando el vacío: es lo que auditores, aseguradoras y equipos legales de grandes clientes empresariales piden ver cuando evalúan a un proveedor de IA, incluso sin ninguna obligación legal directa de usarlo.
GOVERN no es un paso aislado, es la función que atraviesa a las otras tres: cultura organizacional, estructuras de responsabilidad, inventario de sistemas de IA, y gestión de la cadena de suministro (qué modelos de terceros usás, y qué garantías te dan). Sin esta base, las otras tres funciones se vuelven ejercicios aislados sin dueño real.
MAP contextualiza cada sistema de IA en su entorno real de operación — qué impactos técnicos, sociales y éticos puede tener, incluyendo riesgos que vienen de terceros (un modelo de un proveedor, datos de otro). MEASURE define qué métricas usar para evaluar cada característica de confiabilidad (precisión, sesgo, robustez) y trackea el riesgo en el tiempo. MANAGE asigna recursos a los riesgos ya mapeados y medidos: prioriza, define tratamientos, planea respuesta ante incidentes, y monitorea continuamente los elementos de terceros.
El NIST publica un Playbook con guía accionable función por función — el punto de partida recomendado no es implementar las cuatro funciones a la vez, sino empezar por un inventario real de qué sistemas de IA ya usa la empresa (parte de GOVERN) antes de intentar medir o gestionar riesgo de algo que ni siquiera está mapeado formalmente.
El AI RMF no compite con ISO/IEC 42001 — se complementan. ISO 42001 certifica que existe un sistema de gestión de IA (AIMS) auditable formalmente, mientras que el AI RMF da el contenido práctico de qué gestionar y cómo. Muchas empresas usan el AI RMF como guía de implementación interna y luego certifican formalmente contra ISO 42001 cuando necesitan demostrarlo a un cliente o regulador.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel