NIST AI RMF.
Comprender los riesgos de IA en el uso concreto, tomar decisiones fundamentadas y comprobar el efecto de las medidas de protección.
- NIST AI 100-1 · AI RMF 1.0
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 7 min.
Respuesta breve.
NIST AI RMF es un marco voluntario para gestionar riesgos de sistemas de IA. AI Risk Management Framework 1.0 apoya desarrollo, uso y evaluación mediante las funciones Govern, Map, Measure y Manage. Conecta pruebas técnicas con responsabilidad y análisis de consecuencias durante el ciclo de vida; no establece un procedimiento general de certificación.
AI RMF 1.0, Playbook y perfil de IA generativa.
NIST AI RMF 1.0 es una publicación del National Institute of Standards and Technology estadounidense del 26 de enero de 2023. NIST AI 100-1 describe riesgos para personas, organizaciones y sociedad, así como propiedades de una IA fiable. El marco centra el análisis en el uso real: que un modelo supere una prueba todavía no resuelve qué consecuencias tienen sus resultados en un procedimiento operativo.
NIST AI RMF Playbook complementa el marco con propuestas voluntarias de actuación. Según la página de NIST sobre el Playbook, no es una lista que deba completarse íntegramente; se seleccionan las propuestas adecuadas para el contexto propio. A su vez, NIST AI 600-1, de julio de 2024, es un perfil separado de IA generativa. Profundiza en sus riesgos y complementa la edición básica, en lugar de sustituirla por una nueva versión.
En su página del programa y en las preguntas frecuentes actualizadas en agosto de 2026, NIST anuncia una revisión de AI RMF 1.0. Esta página se refiere a la edición básica publicada y a los complementos citados. Para el trabajo propio, debe documentarse qué versión, qué perfil y qué estado de las fuentes fundamentan una evaluación.
A quién se dirige AI Risk Management Framework.
Según NIST AI 100-1, capítulo 2, NIST AI RMF se dirige a distintos actores del ciclo de vida de IA: desarrollo, adquisición, uso y evaluación. Las preguntas frecuentes de NIST mencionan organizaciones de distintos tamaños y sectores. También una empresa que adquiere IA externa puede abordar con él cuestiones de uso, dependencias de proveedores y responsabilidad propia.
El análisis corresponde a un equipo multidisciplinar. Por ejemplo, los especialistas técnicos pueden comprobar el comportamiento de un sistema, mientras que los responsables funcionales explican qué errores tienen consecuencias en un procedimiento de trabajo. Protección de datos, seguridad y perspectiva de las personas afectadas complementan este trabajo. Según NIST AI 100-1, capítulo 3, pueden existir tensiones entre propiedades de fiabilidad; por ello, un buen indicador individual no sustituye una decisión global fundamentada.
Conectar Govern, Map, Measure y Manage.
Las cuatro funciones de NIST AI 100-1, capítulo 5, organizan el trabajo de riesgos de IA. No son cuatro fases de proyecto que deban completarse necesariamente una tras otra. Govern actúa de forma transversal; los hallazgos operativos y de evaluación conducen de nuevo a aclarar el contexto y tomar decisiones.
Govern: responsabilidad y reglas de decisión.
Según el capítulo 5.1, Govern conecta el trabajo técnico con responsabilidades, tolerancia al riesgo y reglas organizativas. Para un uso concreto, debe comprenderse quién responde de una evaluación, quién puede decidir sobre riesgos residuales y cuándo se escala. El gobierno sigue activo después de una aprobación y sostiene las otras funciones.
Map: contexto de uso y posibles consecuencias.
Según el capítulo 5.2, Map examina finalidad, entorno, participantes y posibles impactos de un sistema de IA. Un asistente para borradores internos tiene puntos de decisión distintos de una aplicación cuyos resultados influyen en la selección de candidaturas. La descripción del contexto hace visible qué información falta y qué supuestos limitan una evaluación posterior.
Measure: comprobar afirmaciones con métodos adecuados.
Según el capítulo 5.3, Measure utiliza métodos cualitativos y cuantitativos para examinar riesgos y propiedades relevantes del sistema. Las pruebas deben ajustarse a las consecuencias identificadas y mostrar sus límites. El valor de un resultado depende de los datos, las condiciones de prueba y el uso examinado; por ello, la incertidumbre forma parte de la evaluación.
Manage: gestionar el tratamiento y la operación.
Según el capítulo 5.4, Manage ordena medidas y decisiones según los riesgos evaluados. Incluye tratamiento, supervisión y gestión de cambios o incidentes. Una organización debe poder explicar por qué aprueba, restringe o termina un uso y qué resultados modificarían posteriormente esa decisión.
Aplicar NIST AI RMF en la práctica.
Delimitar el caso de uso.
Como primer paso práctico, elija un procedimiento concreto apoyado por IA y documente finalidad, límites del sistema, persona responsable y versión del marco utilizada.
Examinar conjuntamente el contexto.
Registre participantes, personas afectadas, proveedores y posibles consecuencias y documente los supuestos contradictorios como cuestiones de investigación pendientes.
Determinar riesgos y necesidades de evaluación.
Priorice escenarios relevantes de riesgo y decida qué pruebas técnicas, valoraciones funcionales e información adicional necesita una decisión sólida.
Justificar el tratamiento y la aprobación.
Vincule los resultados con medidas de protección, incertidumbres residuales y una decisión con responsable, incluidas condiciones y restricciones.
Seguir la operación y los cambios.
Defina qué comentarios, incidentes o cambios activan una nueva evaluación y quién asume el trabajo que se derive.
Acreditar mediante decisiones verificables.
Una evaluación orientada al RMF resulta trazable por su alcance, sus métodos y sus resultados documentados. NIST AI 100-1, capítulos 4 y 6, aborda la eficacia y los perfiles según el contexto. Son significativos, por ejemplo, un análisis justificado de riesgos, evaluaciones trazables, límites documentados y decisiones de tratamiento comprobadas. Un cuestionario cumplimentado por sí solo no muestra que un riesgo esté controlado.
El marco voluntario no contiene un procedimiento de certificación como una norma ISO de sistema de gestión. En una evaluación externa, debe examinarse qué se analizó realmente: qué aplicación, versión, métodos y fecha. Un certificado privado debe valorarse según estos datos y no tratarse como una autorización general de NIST. De AI RMF no puede deducirse una vigencia general de certificado.
Otros marcos para otras decisiones.
ISO 42001 describe requisitos de un sistema de gestión de IA y una posible certificación independiente. El Reglamento de IA de la UE establece obligaciones legales separadas según sistema, función y fecha de aplicación. NIST CSF apoya el trabajo de riesgos de ciberseguridad; aplicar estos instrumentos no sustituye un análisis de riesgos de IA según el contexto ni genera un cumplimiento mutuo automático.
En Secani.
Secani ofrece un catálogo editorial de trabajo sobre NIST AI RMF 1.0 con contenidos en alemán e inglés. El perfil de IA guardado incluye datos como función, uso generativo, modelos externos y estado operativo. El catálogo del producto indica la revisión especializada pendiente y no refleja íntegramente el perfil separado de IA generativa ni futuras revisiones de NIST. No genera una decisión automática de conformidad o certificación.
Empezar con una decisión concreta de IA.
Elija un uso para el que su organización deba justificar sólidamente una aprobación o restricción. Reúna la información de contexto, las evaluaciones y las decisiones existentes y designe a la persona responsable. Esto permite comprobar qué información falta para decidir y qué trabajo se necesita primero. El comienzo es una recomendación práctica; el Playbook no prescribe una secuencia universal de proyecto.
Fuentes.
- NIST: AI Risk Management Framework y estado de revisión
- NIST AI 100-1: AI RMF 1.0, capítulos 1–6
- NIST: preguntas frecuentes de AI Risk Management Framework
- NIST: AI RMF Playbook
- NIST AIRC: Playbook y orientaciones de aplicación
- NIST AIRC: núcleo de AI RMF, capítulo 5
- NIST AI 600-1: perfil de inteligencia artificial generativa
- NIST: publicación del perfil de IA generativa
Preguntas frecuentes.
NIST ofrece AI RMF como marco voluntario. Los requisitos legales o contractuales aplicables a un uso concreto de IA deben examinarse por separado.
No. El gobierno actúa transversalmente; las funciones se conectan de forma repetida según el contexto. Ni el núcleo ni el Playbook constituyen una secuencia que deba completarse íntegramente para cada uso.
No. NIST AI 600-1 es un perfil complementario de AI RMF 1.0 para IA generativa y no sustituye la edición básica.
AI RMF no establece un procedimiento de certificación como el de una norma ISO de sistema de gestión. Una evaluación externa debe valorarse según su método y alcance real; no sustituye una comprobación jurídica independiente de conformidad.
Trabajar los riesgos de IA de forma trazable.
Secani apoya el trabajo con el catálogo editorial AI RMF y el perfil de IA asociado.
Esta página presenta publicaciones de NIST en términos generales. Son determinantes las fuentes originales citadas y los requisitos legales aplicables a cada uso.