EKOPARTY TRAININGS: SECURING AI: RISK & GOVERNANCE

La IA ya está en tu organización. La pregunta es: ¿la estás gobernando o estás acumulando riesgos? El uso de herramientas no autorizadas, cuentas personales, datos sensibles y agentes con accesos excesivos da lugar al Shadow AI y puede convertir una adopción acelerada en un problema de seguridad, compliance y presupuesto. En esta capacitación de dos días, vas a transformar ese riesgo en un programa de gestión concreto, utilizando el NIST AI RMF para gobernar, mapear, medir y gestionar los riesgos de IA. Vas a salir con políticas, matriz RACI, escenarios de riesgo cuantificados y un plan de tratamiento listo para implementar, además de los argumentos necesarios para llevar la estrategia de IA al directorio. Dirigido a • CISOs y Head of Security — responsables de la estrategia de seguridad y de extenderla al riesgo de IA. • CTOs y líderes de tecnología — que diseñan, compran o despliegan sistemas de IA y deben gobernar su ciclo de vida. • GRC Leaders y Risk Managers — que integran el riesgo de IA al portafolio de riesgo empresarial y lo cuantifican. • DPOs y especialistas en privacidad — que gestionan el impacto de la IA sobre datos personales y derechos fundamentales. • Compliance Officers — que deben demostrar confianza a terceros y trazar el camino regulatorio y de certificación. Objetivos • Identificar y priorizar los casos de uso de IA según su criticidad y nivel de riesgo. • Definir una estrategia de gobierno de IA, estableciendo apetito de riesgo, políticas y responsabilidades claras. • Detectar, evaluar y priorizar escenarios de riesgo de IA y vincularlos con controles y marcos de referencia como OWASP, MITRE ATLAS e ISO. • Cuantificar el impacto financiero de los riesgos de IA y traducir la exposición a un lenguaje comprensible para el negocio y el directorio. • Evaluar proveedores y definir tratamientos para reducir los riesgos asociados a herramientas y servicios de IA. • Preparar la organización para responder a incidentes de IA, mediante ejercicios tabletop y esquemas de monitoreo continuo. • Integrar la gestión de riesgos de IA con los marcos de seguridad y privacidad existentes y avanzar hacia ISO/IEC 42001. • Presentar y defender decisiones de riesgo ante un comité ejecutivo con argumentos basados en impacto, exposición y negocio. Metodología • 60% práctica / 40% teoría: conceptos y herramientas aplicados directamente a situaciones reales de gestión de riesgo de IA. • Tu organización como caso de trabajo: cada participante trabaja sobre su propio contexto, identificando riesgos y tomando decisiones aplicables a su realidad. • Aprendés haciendo y te llevás resultados: a lo largo del workshop vas construyendo, paso a paso, un Programa de Gestión de Riesgo de IA con entregables concretos: inventario de casos de uso, matriz de riesgos y controles, análisis FAIR, políticas, RACI, KRIs, plan de monitoreo, playbook de respuesta a incidentes y presentación ejecutiva. Agenda I Día 1: Del riesgo a la estrategia Módulo 1 · AI Risk Essentials Entendé el nuevo mapa de riesgos que trae la inteligencia artificial. • Explorá las diferencias entre IA predictiva, generativa y agéntica, y cómo cambia el riesgo a medida que aumenta la autonomía. • Descubrí por qué los modelos de IA desafían los controles tradicionales: opacidad, autonomía, adaptación continua y responsabilidades distribuidas. • Incorporá un lenguaje común para identificar, evaluar y comunicar riesgos, desde probabilidad e impacto hasta riesgo inherente, residual, KPI y KRI. Módulo 2 · Governing AI Pasá de “usar IA” a definir cómo y bajo qué reglas puede usarse. • Construí las bases de una estrategia de gobierno de IA responsable, alineada con los objetivos y necesidades del negocio. • Definí quién decide, quién responde y quién controla cada etapa del ciclo de vida de la IA. • Entendé las responsabilidades de developers, providers, deployers y users, y cómo distribuirlas de forma efectiva. • Establecé apetito, tolerancia y capacidad de riesgo, conectando la gestión de IA con los modelos de gobierno existentes. • Diseñá una Política de Uso Aceptable para establecer límites claros y reducir el Shadow AI. • Trabajá sobre cultura, capacitación y concientización para convertir las políticas en comportamientos concretos. Módulo 3 · Risk Mapping Anticipate a los problemas antes de que se conviertan en incidentes. • Identificá las principales amenazas y vulnerabilidades asociadas al uso de IA, desde prompt injection y data poisoning hasta model inversion y evasion. • Aprendé a transformar amenazas abstractas en escenarios de riesgo concretos, identificando qué puede pasar, a quién afecta y cuál sería su impacto. • Mapeá los riesgos a lo largo de todo el ciclo de vida de la IA, desde los datos y el entrenamiento hasta la implementación y el monitoreo. • Evaluá impactos sobre privacidad, derechos y cumplimiento, incluyendo FRIA, conformity assessment y PIA/DPIA. • Abordá escenarios especialmente sensibles como decisiones automatizadas, transferencias internacionales y uso de información sensible o biométrica. Módulo 4 · Measuring AI Risk Convertí la incertidumbre en información para decidir. • Aprendé a construir estimaciones de riesgo consistentes, defendibles y accionables. • Mejorá la calidad de tus estimaciones mediante técnicas de calibración basadas en el método de Hubbard. • Aplicá FAIR-AIR para cuantificar escenarios de riesgo de IA. • Traducí el riesgo técnico a impacto financiero, generando información que permita priorizar inversiones y tomar decisiones. • Aprendé a comunicar la exposición de forma clara para que el directorio y las áreas de negocio puedan entenderla y actuar sobre ella. Día 2: De la acción a la confianza Módulo 5 · De la evaluación a la acción Convertí el análisis de riesgo en decisiones y acciones concretas. • Aprendé a decidir cuándo aceptar, evitar, mitigar o transferir un riesgo y cómo evaluar el riesgo residual. • Diseñá estrategias de protección para LLMs y agentes, utilizando controles y buenas prácticas de OWASP, MITRE ATLAS y CSA AI Controls Matrix. • Incorporá nuevos enfoques de seguridad para entornos de IA: Human-in-the-Loop, Zero Trust, identidades no humanas, kill switches y controles sobre Shadow AI. • Evaluá proveedores y soluciones de IA mediante AI Third-Party Risk Management, incluyendo los desafíos de implementar modelos propios. Módulo 6 · Prepararse para el incidente Prepará a la organización para responder cuando la IA falla, es atacada o se usa para atacar. • Adaptá los procesos de Incident Response, Business Continuity y gestión de crisis al contexto de IA. • Trabajá sobre escenarios reales: fuga de información mediante LLMs, deepfakes y fraude ejecutivo, prompt injection con exfiltración y agentes fuera de control. • Diseñá y ejecutá tabletop exercises técnicos y ejecutivos para poner a prueba la capacidad de respuesta. • Identificá brechas y oportunidades de mejora antes de enfrentarte a un incidente real. Módulo 7 · De la regulación a la confianza Convertí el cumplimiento en confianza y prepará a la organización para lo que viene. • Navegá los principales estándares, principios y regulaciones de IA, desde OECD y NIST AI RMF hasta EU AI Act e ISO/IEC 42001, 42005 y 23894. • Conectá el gobierno de IA con los sistemas de gestión que la organización ya utiliza, incluyendo ISO/IEC 27001, ISO/IEC 27701 y NIST CSF 2.0. • Construí una hoja de ruta hacia ISO/IEC 42001 sin empezar desde cero. • Entendé el panorama regulatorio de Latinoamérica y cómo las exigencias del EU AI Act pueden impactar a organizaciones de la región.