Biblioteca de prompts de gestión de IA ISO 42001

Create an inventory of our AI systems per ISO 42001:

AI systems we develop/use/provide:
[List AI applications: chatbots, recommendation engines, predictive models, computer vision, NLP, automated decision systems, etc.]

For each AI system, document:
- System name and description
- AI techniques used (machine learning, deep learning, NLP, computer vision, generative AI)
- Purpose and use case
- Development status (research, development, production, retired)
- Internal vs. external use (internal tooling, customer-facing, embedded in products)
- Risk classification (high-risk per EU AI Act, limited risk, minimal risk)
- Data sources and training data
- Stakeholders affected (employees, customers, public)
- Lifecycle stage (design, development, deployment, monitoring, retirement)

Create an AI system register template suitable for ongoing management and regulatory compliance.

Develop a comprehensive AI Management System policy per ISO 42001:

Organization: [name, industry, AI maturity]
AI use cases: [describe key AI applications]

Policy sections aligned with ISO 42001:

1. Gobernanza y supervisión de IA
- Principios éticos de IA (equidad, transparencia, responsabilidad, seguridad, privacidad)
- Estructura de gobernanza (junta de supervisión de IA, comité de ética de IA, roles de IA responsable)
- Compromiso de la dirección con la IA responsable

2. Gestión de riesgos (Sección 6 de ISO 42001)
- Metodología de evaluación de riesgos específicos de IA
- Tratamiento de riesgos y controles
- Integración con la gestión de riesgos empresariales

3. Gestión del ciclo de vida de los sistemas de IA
- Ciclo de vida del desarrollo (diseño, datos, entrenamiento, pruebas, implementación, monitoreo)
- Control de cambios para modelos y datos de IA
- Control de versiones y registro de modelos

4. Transparencia y explicabilidad
- Requisitos de documentación para sistemas de IA
- Mecanismos de explicabilidad (tarjetas de modelo, hojas de datos, herramientas de interpretabilidad)
- Divulgación a las partes afectadas (cuando la IA toma decisiones)

5. Equidad, sesgo y prevención de la discriminación
- Detección y mitigación de sesgos en datos y modelos
- Métricas de equidad y pruebas
- Manejo de atributos protegidos
- Datos de entrenamiento diversos y representativos

6. Privacidad y protección de datos
- Minimización de datos para entrenamiento e inferencia de IA
- Consentimiento y base legal (alineación con GDPR)
- Derechos de los sujetos de datos en el contexto de IA (derecho a la explicación, derecho a no ser sujeto de decisiones automatizadas)
- Técnicas de preservación de la privacidad (aprendizaje federado, privacidad diferencial, datos sintéticos)

7. Seguridad, protección y robustez
- Robustez adversarial y prevención de ataques
- Seguridad del modelo (robo de modelos, envenenamiento, evasión)
- Pruebas y validación de seguridad
- Mecanismos de seguridad y supervisión humana para IA de alto riesgo

8. Supervisión y control humano
- Humano en el bucle para decisiones críticas
- Mecanismos de anulación
- Monitoreo del rendimiento y decisiones del sistema de IA

9. Competencia y concienciación (Secciones 7.2-7.3 de ISO 42001)
- Capacitación en IA para desarrolladores, usuarios y liderazgo
- Programa de concienciación sobre IA responsable

10. Gestión de incidentes
- Tipos de incidentes específicos de IA (incidentes de sesgo, deriva de modelos, ataques adversariales, daños no intencionales)
- Respuesta y notificación de incidentes
- Revisión post-incidente y reentrenamiento de modelos

Address ISO 42001 Annex A controls relevant to your AI risk profile.

Conduct an AI risk assessment per ISO 42001 Section 6 for [AI system name]:

AI system details:
- Description: [what the AI does]
- AI technique: [ML model type, architecture]
- Data sources: [training data, inference data]
- Use case: [how it's used, who it affects]
- Deployment: [production, pilot, development]

AI-specific risks to assess:

1. Riesgos de sesgo y equidad
- Sesgo en los datos de entrenamiento (sesgo histórico, sesgo de muestra, sesgo de medición)
- Sesgo algorítmico (el modelo amplifica disparidades)
- Impacto en grupos protegidos (discriminación basada en raza, género, edad, etc.)
- Métricas de equidad: [paridad demográfica, igualdad de oportunidades, impacto dispar]

2. Riesgos de transparencia y explicabilidad
- Modelos de caja negra (falta de interpretabilidad)
- Incapacidad para explicar decisiones a usuarios/reguladores
- Cumplimiento con el derecho a la explicación (Artículo 22 del GDPR)

3. Riesgos de privacidad
- Reidentificación a partir de datos de entrenamiento anonimizados
- Ataques de inversión de modelos (extracción de datos de entrenamiento del modelo)
- Inferencia de membresía (determinar si los datos estaban en el conjunto de entrenamiento)
- Fuga de datos o memorización no intencional

4. Riesgos de seguridad y robustez
- Errores del modelo e predicciones incorrectas
- Ataques adversariales (evasión, envenenamiento, puertas traseras)
- Deriva del modelo y degradación con el tiempo
- Casos límite y cambio de distribución
- Fallos críticos de seguridad (en sistemas autónomos, IA médica, etc.)

5. Riesgos de seguridad
- Robo o extracción de modelos
- Envenenamiento de datos durante el entrenamiento
- Entradas adversariales en tiempo de inferencia
- Riesgos en la cadena de suministro (conjuntos de datos envenenados, bibliotecas comprometidas)

6. Riesgos éticos y sociales
- Daños no intencionales o consecuencias negativas
- Uso indebido del sistema de IA
- Impacto ambiental (huella de carbono del entrenamiento de modelos grandes)
- Manipulación o engaño (deepfakes, desinformación)

7. Riesgos de cumplimiento y legales
- Incumplimiento normativo (Ley de IA de la UE, GDPR, regulaciones sectoriales)
- Responsabilidad por decisiones de IA
- Problemas de propiedad intelectual (entrenamiento con datos protegidos por derechos de autor) — ver el enfoque de Cumplimiento de Propiedad Intelectual de ISMS Copilot

For each risk, assess:
- Likelihood (based on data quality, model complexity, deployment context)
- Impact (severity of harm if materialized)
- Existing controls and mitigations
- Residual risk and treatment plan

Create AI risk register and treatment plan aligned with ISO 42001 risk management requirements.

Create a responsible AI development procedure covering the full AI lifecycle:

1. Diseño y definición del alcance (controles 6.2, A.2.1 de ISO 42001)
- Definir el propósito y requisitos del sistema de IA
- Identificar a las partes interesadas afectadas
- Determinar criterios de equidad y rendimiento
- Evaluar requisitos regulatorios (clase de riesgo de la Ley de IA de la UE, aplicabilidad del GDPR)
- Documentar el uso previsto y las limitaciones

2. Recolección y preparación de datos (controles A.3.x)
- Especificación de requisitos de datos (volumen, calidad, representatividad)
- Fuentes de datos (internos, externos, sintéticos, licenciados)
- Evaluación de sesgos en la recolección de datos
- Aseguramiento de la calidad de los datos (integridad, precisión, consistencia)
- Etiquetado y anotación de datos (control de calidad, capacitación de anotadores, acuerdo entre anotadores)
- Técnicas de preservación de la privacidad (anonimización, privacidad diferencial)
- Documentación de datos (tarjetas de datos, hojas de conjuntos de datos)

3. Desarrollo y entrenamiento del modelo (controles A.4.x)
- Selección del modelo (elección del algoritmo, diseño de la arquitectura)
- Ingeniería y selección de características
- Metodología de entrenamiento y validación (divisiones train/val/test, validación cruzada)
- Ajuste de hiperparámetros
- Detección y mitigación de sesgos durante el entrenamiento
- Evaluación del rendimiento (precisión, recall, F1, AUC, métricas de equidad)
- Documentación del modelo (tarjetas de modelo, hojas de datos)

4. Pruebas y validación (controles A.5.x)
- Pruebas funcionales (¿funciona como se pretende?)
- Pruebas de equidad (análisis de impacto dispar, rendimiento por subgrupos)
- Pruebas de robustez (ejemplos adversariales, casos límite, datos fuera de distribución)
- Pruebas de seguridad (modos de fallo, salidas inseguras)
- Validación de explicabilidad (¿podemos explicar las decisiones?)
- Pruebas de cumplimiento normativo (cumple con los requisitos de la Ley de IA de la UE si es aplicable)

5. Implementación (controles A.6.x)
- Planificación e aprobación de la implementación
- Capacitación y documentación para usuarios
- Configuración de monitoreo y alertas
- Mecanismos de supervisión humana
- Procedimientos de reversión
- Implementación por etapas (canary, pruebas A/B)

6. Monitoreo y mantenimiento (controles A.7.x)
- Monitoreo del rendimiento (precisión, latencia, tiempo de actividad)
- Monitoreo de sesgos (métricas de equidad continuas)
- Detección de deriva del modelo (deriva de datos, deriva de concepto)
- Detección de incidentes (predicciones anómalas, errores)
- Disparadores y procedimientos de reentrenamiento
- Gestión de versiones de modelos

7. Retiro y desmantelamiento
- Criterios de decisión de fin de vida
- Retención o eliminación de datos
- Comunicación a los usuarios
- Planificación de la transición (sistema de reemplazo, procesos manuales)

For our AI development context: [describe teams, tools, platforms, methodologies]

Include checkpoints, approvals, and documentation requirements at each stage per ISO 42001.

Create a model card for [AI model name] per ISO 42001 transparency requirements:

Model card sections:

1. Detalles del modelo
- Nombre y versión del modelo
- Tipo y arquitectura del modelo: [e.g., neural network, random forest, transformer]
- Algoritmo de entrenamiento y framework: [TensorFlow, PyTorch, scikit-learn]
- Desarrolladores del modelo y contacto
- Fecha del modelo y etapa del ciclo de vida
- Licencia y restricciones de uso

2. Uso previsto
- Usos y usuarios principales previstos
- Usos fuera de alcance (para qué NO debe usarse)
- Consideraciones éticas y limitaciones conocidas

3. Factores (características relevantes)
- Grupos o factores considerados (demográficos, geográficos, contextos de uso)
- Factores de instrumentación y entorno

4. Métricas
- Métricas de rendimiento del modelo: [accuracy, precision, recall, F1, AUC, etc.]
- Métricas de equidad y sesgo: [paridad demográfica, igualdad de oportunidades, etc.]
- Umbrales de decisión y compensaciones

5. Datos de entrenamiento
- Descripción y fuente del conjunto de datos
- Preprocesamiento de datos e ingeniería de características
- Tamaño y divisiones del conjunto de datos de entrenamiento
- Sesgos o limitaciones conocidos en los datos

6. Datos de evaluación
- Conjunto(s) de datos de evaluación utilizados
- Motivación para la elección del conjunto de datos
- Preprocesamiento aplicado

7. Análisis cuantitativos
- Resultados de rendimiento general
- Rendimiento en subgrupos (análisis de equidad)
- Intervalos de confianza o cuantificación de incertidumbre

8. Consideraciones éticas
- Daños y sesgos potenciales identificados
- Estrategias de mitigación implementadas
- Casos de uso sensibles y factores de riesgo

9. Advertencias y recomendaciones
- Limitaciones y modos de fallo conocidos
- Recomendaciones para un uso responsable
- Recomendaciones de monitoreo y mantenimiento

Our model: [provide details for each section based on your AI system]

Use this model card template for all AI systems to meet ISO 42001 documentation and transparency requirements.

Conduct a fairness assessment for [AI system name]:

System context:
- Tipo de decisión: [clasificación, ranking, recomendación, predicción]
- Individuos afectados: [clientes, empleados, solicitantes de préstamos, estudiantes, etc.]
- Atributos protegidos: [raza, género, edad, discapacidad, etc. - según las leyes aplicables contra la discriminación]
- Daños potenciales: [denegación de servicio, precios injustos, discriminación, daño reputacional]

Fairness assessment methodology:

1. Identificar grupos protegidos
- Definir atributos sensibles y grupos (ej., género: masculino/femenino/no binario; raza: categorías)
- Determinar si existen proxies para atributos protegidos en los datos (código postal → raza, nombre → género)

2. Seleccionar métricas de equidad (elegir las apropiadas para el caso de uso)
- Paridad demográfica: Tasas iguales de resultados positivos entre grupos
- Igualdad de oportunidades: Tasas iguales de verdaderos positivos y falsos positivos entre grupos
- Paridad predictiva: Igual precisión (valor predictivo positivo) entre grupos
- Equidad individual: Individuos similares reciben resultados similares
- Calibración: Las probabilidades predichas coinciden con los resultados reales entre grupos

3. Medir la equidad
- Calcular las métricas elegidas para cada grupo protegido
- Comparar con umbrales de equidad (ej., regla de los 4/5 para impacto dispar)
- Identificar disparidades y patrones de sesgo

4. Analizar las causas raíz del sesgo
- Sesgo en los datos: Subrepresentación, sesgo histórico, sesgo de medición en los datos de entrenamiento
- Sesgo algorítmico: El modelo se ajusta en exceso al grupo mayoritario, características correlacionadas con atributos protegidos
- Sesgo de implementación: Diferentes patrones de uso entre grupos

5. Estrategias de mitigación
- Preprocesamiento: Reponderación de los datos de entrenamiento, eliminación de sesgos de los datos, balanceo de conjuntos de datos
- Durante el procesamiento: Algoritmos de entrenamiento conscientes de la equidad, eliminación de sesgos adversarial, regularización
- Postprocesamiento: Ajuste de umbrales de decisión por grupo, recalibración de predicciones
- Estructurales: Eliminar o enmascarar atributos protegidos, usar restricciones de equidad

6. Análisis de compensaciones
- Compensaciones entre precisión y equidad (mitigar el sesgo puede reducir la precisión general)
- Conflictos entre métricas de equidad (no se pueden satisfacer todas las definiciones de equidad simultáneamente)
- Decisión sobre compensaciones aceptables basadas en principios éticos y requisitos legales

Document fairness assessment results, mitigation measures, and residual bias for ISO 42001 compliance and regulatory inquiries.

Our AI system: [describe system, decision context, and protected groups]

Test AI model robustness against adversarial attacks:

AI model: [name and type]
Attack surface: [inference API, model file, training pipeline]

Adversarial threat scenarios:

1. Ataques de evasión (en tiempo de inferencia)
- Ejemplos adversariales: Entradas cuidadosamente elaboradas que causan una clasificación errónea
- Métodos de prueba: Ataques FGSM, PGD, C&W
- Defensa: Entrenamiento adversarial, sanitización de entradas, robustez certificada

2. Ataques de envenenamiento (durante el entrenamiento)
- Envenenamiento de datos: Inyección de muestras maliciosas en los datos de entrenamiento
- Métodos de prueba: Cambio de etiquetas, inyección de puertas traseras
- Defensa: Validación de datos, detección de anomalías, algoritmos de entrenamiento robustos

3. Extracción/robo de modelos
- Ataques de consulta para replicar el modelo
- Métodos de prueba: Robo de modelos mediante consultas a la API
- Defensa: Limitación de la tasa de consultas, perturbación de salidas, marca de agua

4. Inversión de modelos
- Reconstrucción de datos de entrenamiento a partir del modelo
- Métodos de prueba: Inferencia de membresía, inferencia de atributos
- Defensa: Privacidad diferencial, redondeo de salidas, restricciones de consulta

5. Inyección de prompts (para LLMs/IA generativa)
- Prompts maliciosos para eludir filtros de seguridad o extraer información sensible
- Métodos de prueba: Prompts de jailbreaking, inyección indirecta
- Defensa: Filtrado de prompts, guardarraíles de salida, moderación de contenido

Robustness testing procedure:
- Generate adversarial examples using attack libraries (Adversarial Robustness Toolbox, CleverHans, Foolbox)
- Measure model accuracy on adversarial inputs
- Assess transferability of attacks across models
- Document vulnerabilities and mitigation measures
- Integrate into CI/CD (automated adversarial testing)

Create robustness test suite and acceptance criteria: [e.g., model accuracy >X% on adversarial examples].

Address ISO 42001 control A.5.3 (robustness evaluation) and A.6.5 (security of AI system).

Implement continuous monitoring for AI systems per ISO 42001 control A.7.3:

AI system: [name]
Deployment: [production environment]

Monitoring dimensions:

1. Monitoreo de rendimiento
- Precisión, recall, puntuación F1 (vs. línea base)
- Latencia y rendimiento de las predicciones
- Tasas y tipos de errores
- Retroalimentación y correcciones de los usuarios

2. Monitoreo de deriva de datos
- Cambios en la distribución de entradas (cambio de covariable)
- Pruebas estadísticas: divergencia KL, prueba de Kolmogorov-Smirnov, índice de estabilidad poblacional (PSI)
- Detección de deriva de características
- Alertas cuando la deriva excede los umbrales

3. Monitoreo de deriva del modelo (deriva de concepto)
- Degradación del rendimiento del modelo con el tiempo
- Cambios en la distribución de la verdad fundamental
- Comparación de predicciones vs. resultados reales
- Disparadores para el reentrenamiento del modelo

4. Monitoreo de equidad
- Métricas de equidad continuas por grupo demográfico
- Monitoreo de impacto dispar
- Alertas sobre degradación de la equidad

5. Monitoreo de seguridad y anomalías
- Entradas fuera de distribución (detección de OOD)
- Predicciones anómalas (umbrales de confianza, estimaciones de incertidumbre)
- Salidas inseguras o dañinas (moderación de contenido, clasificadores de seguridad)

6. Monitoreo de seguridad
- Detección de ataques adversariales
- Patrones de consulta inusuales (potencial extracción de modelos)
- Control de acceso y autenticación en APIs de modelos

7. Monitoreo de explicabilidad
- Seguimiento de explicaciones proporcionadas a los usuarios
- Monitoreo de predicciones de baja confianza que requieren revisión humana
- Deriva de importancia de características

Monitoring implementation:
- Logging and telemetry (predictions, inputs, metadata)
- Dashboards and visualization (Grafana, custom dashboards)
- Alerting rules and thresholds
- Automated responses (circuit breakers, fallback to simpler model, human escalation)
- Regular review meetings (weekly/monthly model health reviews)

Create monitoring playbook: what to monitor, thresholds, alert recipients, response procedures.

Integration with incident management: AI-specific incidents (bias discovered, model drift, adversarial attack) → incident response procedure.

Develop an AI incident response procedure per ISO 42001 control A.8.1:

AI-specific incident types:

1. Incidentes de sesgo o equidad
- Descubrimiento de resultados discriminatorios
- Daño a un grupo protegido
- Impacto dispar que excede los umbrales

2. Degradación del rendimiento del modelo
- Precisión por debajo del nivel aceptable
- Detección de deriva del modelo
- Errores sistemáticos en las predicciones

3. Incidentes de privacidad
- Fuga de datos de entrenamiento
- Ataque de inversión de modelo o inferencia de membresía
- Reidentificación de individuos

4. Incidentes de seguridad
- Ataque adversarial exitoso
- Robo o extracción de modelos
- Detección de envenenamiento de datos

5. Incidentes éticos o de reputación
- Uso indebido o consecuencias no intencionales de la IA
- Reacción pública o atención mediática
- Investigación regulatoria

Incident response workflow:

1. Detección e informe
- Detección automatizada (alertas de monitoreo)
- Informes de usuarios (mecanismos de retroalimentación, líneas directas)
- Descubrimiento interno (auditorías, revisiones, pruebas)

2. Evaluación inicial y triaje
- Clasificación de gravedad (crítico/alto/medio/bajo)
- Alcance y usuarios afectados
- ¿Se necesita contención inmediata? (desactivar el sistema de IA, volver a proceso manual)

3. Contención y mitigación
- Desconectar el sistema de IA si es necesario
- Revertir a una versión anterior del modelo
- Implementar controles compensatorios temporales (revisión humana, filtrado de salidas)

4. Investigación y análisis de causa raíz
- Examinar datos de entrenamiento, comportamiento del modelo, predicciones
- Identificar la fuente del sesgo, fallo del modelo o vector de ataque
- Documentar hallazgos

5. Remediación
- Reentrenar el modelo con datos corregidos o restricciones de equidad
- Aplicar parches o defensas
- Actualizar procedimientos para prevenir recurrencias

6. Comunicación
- Notificar a los individuos afectados (transparencia)
- Notificación regulatoria si es requerida
- Comunicación interna (liderazgo, legal, relaciones públicas)
- Divulgación pública (si es apropiado)

7. Recuperación y lecciones aprendidas
- Reimplementar el sistema de IA remediado
- Monitoreo mejorado para detectar recurrencias
- Actualizar evaluaciones de riesgos y controles
- Revisión y documentación post-incidente

Create incident response playbooks for each AI incident type with roles, timelines, and communication templates.

Ensure alignment with organizational incident management and ISO 42001 requirements.

Map our AI systems to EU AI Act requirements and align with ISO 42001:

AI system inventory: [list AI systems]

For each AI system, assess:

1. Clasificación de riesgo según la Ley de IA de la UE
- IA prohibida: [categorización biométrica, puntuación social, manipulación dañina, raspado indiscriminado] → No debe implementarse
- IA de alto riesgo: [selección de CV, puntuación crediticia, aplicación de la ley, infraestructura crítica, dispositivos médicos, identificación biométrica, evaluación en educación/empleo, servicios esenciales] → Requisitos estrictos
- Riesgo limitado: [chatbots, deepfakes, reconocimiento de emociones] → Obligaciones de transparencia
- Riesgo mínimo: [videojuegos con IA, filtros de spam] → Códigos de conducta voluntarios

2. Requisitos para IA de alto riesgo (si aplica)
- Sistema de gestión de riesgos: Secciones 6, 8.1 de ISO 42001 → Evaluación y tratamiento de riesgos de IA
- Gobernanza de datos: Control A.3 de ISO 42001 → Calidad de los datos de entrenamiento, mitigación de sesgos
- Documentación técnica: Controles A.2.2, A.4.5 de ISO 42001 → Documentación del sistema, tarjetas de modelo
- Registro y logging: Control A.7.1 de ISO 42001 → Registros automatizados para auditabilidad
- Transparencia para los usuarios: Controles A.6.3, A.6.4 de ISO 42001 → Información al usuario, explicabilidad
- Supervisión humana: Control A.6.7 de ISO 42001 → Mecanismos de humano en el bucle
- Precisión, robustez, ciberseguridad: Controles A.5.x, A.6.5 de ISO 42001 → Pruebas y medidas de seguridad

3. Requisitos para IA de propósito general (GPAI)
- Si proporcionamos modelos base o GPAI: Transparencia, cumplimiento de derechos de autor, divulgación del consumo energético
- Modelos de riesgo sistémico (gran escala): Pruebas adversariales, reporte de incidentes graves, evaluación de modelos

4. Obligaciones de transparencia (toda IA)
- Informar a los usuarios cuando interactúan con IA (Artículo 52 de la Ley de IA de la UE)
- Etiquetado de deepfakes
- Divulgación de reconocimiento de emociones o categorización biométrica

Create compliance mapping table: AI system | AI Act classification | Applicable requirements | ISO 42001 controls addressing | Compliance status | Gaps

Develop AI Act compliance roadmap aligned with ISO 42001 implementation.

Note: EU AI Act enforcement begins phased in 2024-2026. Track implementation timelines for your AI systems.