Guías
NIST AI RMF y OSFI E-23
Qué evidencia registra Oloproof respecto a la función Measure del NIST AI RMF y a la Guideline E-23 de la OSFI, punto por punto, y qué no registra. Las ediciones son el NIST AI Risk Management Framework 1.0 (NIST AI 100-1, enero de 2023) y la Guideline E-23, Model Risk Management (versión final del 11 de septiembre de 2025, en vigor desde el 1 de mayo de 2027 para las instituciones financieras de regulación federal en Canadá).
Esto no es una certificación, ni una evaluación de su cumplimiento, ni asesoramiento jurídico. Un marco pide prácticas en toda una organización; Oloproof produce evidencia sobre sistemas de IA, que es una parte de esas prácticas. El NIST ha dicho que el AI RMF 1.0 se está actualizando, así que compruebe la edición que se le exige.
Cómo leer las tablas
- Registrado: Oloproof registra evidencia para el punto tal como está redactado, en cada ejecución o registro que nombra.
- En parte: Oloproof registra parte de lo que pide el punto; el resto se dice al lado.
- No cubierto: el punto pide algo que Oloproof no hace.
Los puntos están parafraseados. Lea el texto del propio marco antes de fiarse de una fila.
NIST AI RMF 1.0: Measure
| Punto | Qué pide, en breve | Qué registra Oloproof | Estado |
|---|---|---|---|
| MEASURE 1.1 | Métricas elegidas para los riesgos que encontró la función Map | Las especificaciones de métricas, las reglas y la política de publicación de cada ejecución, por digest. Elegirlas le corresponde a usted | En parte |
| MEASURE 1.2 | Métricas y controles reevaluados con el tiempo | Marcas de tendencia donde cambiaron el juez o los casos; una decisión dice cuándo su evidencia está desactualizada (Gates en CI) | En parte |
| MEASURE 1.3 | Evaluación por personas que no construyeron el sistema | Un espacio de trabajo que decide sobre su propia evidencia, etiquetadores contados por cuenta, y un registro de decisión que una segunda parte comprueba sin conexión. Quiénes son esas personas le corresponde organizarlo a usted | En parte |
| MEASURE 2.1 | Conjuntos de prueba, métricas y herramientas documentados | Cada ejecución nombra sus versiones de suite, sistema y evaluadores, sus métricas y métodos por dirección de contenido, y la versión del análisis | Registrado |
| MEASURE 2.2 | Protección de los sujetos humanos | Nada | No cubierto |
| MEASURE 2.3 | Rendimiento medido y demostrado | Cada regla se decide sobre un intervalo: PASS, FAIL, INSUFFICIENT_EVIDENCE o MANUAL_REVIEW. Si la suite se parece al despliegue le corresponde a usted | En parte |
| MEASURE 2.4 | Comportamiento supervisado en producción | Unas personas revisan una muestra que el espacio de trabajo extrae del tráfico real (Evaluar producción) | En parte |
| MEASURE 2.5 | Validez y fiabilidad demostradas | Intervalos con sus denominadores, y jueces medidos frente a personas antes de que puedan decidir (Jueces) | En parte |
| MEASURE 2.6 | Riesgos para la seguridad (safety) evaluados con regularidad | Techos sobre lo que sale mal, decididos sobre sus casos, y las calificaciones de una herramienta de red team leídas cuando las tiene (Techos de riesgo). Oloproof no escribe ataques | En parte |
| MEASURE 2.7 | Seguridad (security) y resiliencia evaluadas | Solo mediante techos sobre casos que usted escribe o importa | En parte |
| MEASURE 2.8 | Transparencia y rendición de cuentas examinadas | Visados y aprobaciones de dos personas con nombre, guardados en una cadena y llevados en el registro de decisión | En parte |
| MEASURE 2.9 | El modelo explicado y su salida interpretada | Los diagnósticos por intervención nombran la parte implicada en los fallos; no explican ningún modelo | En parte |
| MEASURE 2.10 | Riesgo para la privacidad examinado | La política de egreso mantiene el contenido de su lado; no se evalúa ningún riesgo para la privacidad | No cubierto |
| MEASURE 2.11 | Equidad y sesgo evaluados | Segmentos declarados, medidos con control de multiplicidad; lo que hace equitativo un segmento le corresponde a usted | En parte |
| MEASURE 2.12 | Impacto ambiental evaluado | El coste se registra; la energía no | No cubierto |
| MEASURE 2.13 | La propia medición evaluada | Jueces validados frente a las etiquetas de personas, y cada método estadístico admitido con una nota, una malla de cobertura y una auditoría | En parte |
| MEASURE 3.1 | Riesgos seguidos a lo largo del tiempo | Tendencia, actualidad y revisión de producción | En parte |
| MEASURE 3.2 | Riesgos difíciles de medir | Una regla que la evidencia no puede decidir lo dice (INSUFFICIENT_EVIDENCE, MANUAL_REVIEW), y un intervalo sin decidir dice cuántos casos más lo decidirían | En parte |
| MEASURE 3.3 | Comentarios de los usuarios finales | Nada | No cubierto |
| MEASURE 4.1 | Medición ligada al contexto de despliegue | Etiquetas de sus propios revisores; el contexto le corresponde a usted | En parte |
| MEASURE 4.2 | Resultados informados por expertos del dominio | Las etiquetas de los revisores deciden cuánto vale un juez | En parte |
| MEASURE 4.3 | Mejoras y retrocesos documentados | Comparaciones de un cambio con lo que está en producción, pareadas, con intervalos (Comparar) | Registrado |
OSFI Guideline E-23 (2027)
| Principio | Qué pide, en breve | Qué registra Oloproof | Estado |
|---|---|---|---|
| 1.1 a 1.3 | Líneas jerárquicas, un marco de riesgo de modelo, modelos aptos para su propósito | Evidencia de aptitud para un propósito: las reglas de una política de publicación decididas sobre intervalos. El marco y su gobernanza le corresponden a usted | En parte |
| 2.1 | Un inventario de los modelos en uso | Las versiones del sistema de cada proyecto, tal como las registraron las ejecuciones que las evaluaron. No es un inventario de toda la empresa | En parte |
| 2.2 | Una calificación del riesgo de modelo | Nada | No cubierto |
| 2.3 | Esfuerzo proporcional al riesgo | Una política por proyecto: sus umbrales, su nivel de confianza, si una publicación que pasa necesita la aprobación de dos personas | En parte |
| 3.1 | Políticas de ciclo de vida, documentadas | La política de publicación es un archivo, registrado por digest con cada gate decidido bajo ella | En parte |
| 3.2 | Datos adecuados para su uso | Suites versionadas por contenido; si son adecuadas para el uso le corresponde a usted | En parte |
| 3.3 | Normas de desarrollo para el rendimiento y la documentación | Reglas con umbrales, y el registro de cada ejecución | En parte |
| 3.4 | Revisión independiente de la solidez y el rendimiento | Un gate del espacio de trabajo que decide sobre evidencia que él mismo verificó, ejecuciones firmadas por un runner que registra su equipo de plataforma, y un registro de decisión que un revisor comprueba sin conexión. La función de revisión le corresponde a usted | En parte |
| 3.5 | Despliegue con control de calidad y de cambios | Nada: una ejecución firmada da fe de lo que ejecutó un runner, no de lo que sirve en producción | No cubierto |
| 3.6 | Supervisión y retirada | Revisión de producción y actualidad para la supervisión; la retirada no está cubierta | En parte |
| Aprobación | Aprobación antes del uso, con el riesgo residual confirmado | Una publicación que pasa puede esperar la aprobación de dos personas con nombre, registrada y encadenada (Gates en CI) | En parte |
Siguientes pasos
- Gates en CI: la política de publicación, las aprobaciones y el registro de decisión.
- Techos de riesgo: lo que un techo decide y lo que no dice.
- Qué funciona hoy: todo lo que está construido, y lo que no.