Si su empresa usa IA para atender a clientes, redactar propuestas u ordenar solicitudes, ya existe una referencia nacional sobre cómo gestionar el riesgo. El 14 de julio de 2026 SDAIA lanzó el marco nacional de gestión de riesgos de IA para entidades públicas y privadas, con un método de 4 fases, 7 principios y 7 tipos principales de riesgo. El 14 de octubre de 2026 SDAIA afirmó haber adoptado 23 normas nacionales relacionadas con la IA. El marco es una guía, no una nueva multa, pero establece las preguntas que le harán a su empresa. Su primer paso: una lista de todas las herramientas de IA que usa su equipo.

¿Qué ha lanzado exactamente SDAIA?

Según la Agencia de Prensa Saudí, el marco ofrece una metodología nacional unificada para identificar, evaluar, tratar y supervisar los riesgos de la IA, de modo que las entidades públicas y privadas puedan adoptarla de forma segura y responsable. SDAIA explica por qué no basta con la gestión de riesgos informáticos habitual: los riesgos de la IA pueden surgir de forma inesperada durante la operación, el rendimiento de un sistema puede cambiar con el tiempo y su comportamiento puede ser difícil de explicar o reproducir.

El marco incluye un escenario práctico de una entidad pública que usa un modelo para preparar informes internos, recorrido fase por fase, y puede consultarse a través del enlace oficial de SDAIA. Para una visión más amplia de las normas de gobernanza de datos de SDAIA, consulte nuestro artículo Gobernanza de datos e IA responsable según las normas de SDAIA.

Las cuatro fases, aplicadas a una empresa privada

El método es un ciclo de vida de 4 fases conectadas. Así se ve en una empresa mediana que usa un asistente de IA para atender a clientes por WhatsApp:

  • 1. Definir el contexto y el alcance: ¿Cuál es la herramienta? ¿Qué hace exactamente? ¿Quién la usa? ¿Qué datos se introducen y si incluyen datos personales de clientes?
  • 2. Identificar y evaluar los riesgos: ¿Y si el asistente da un precio erróneo, promete algo que usted no ofrece o muestra los datos de un cliente a otro? Cada riesgo se puntúa en una matriz que relaciona su probabilidad con la magnitud de su impacto.
  • 3. Tratar los riesgos: Una decisión por riesgo: reducirlo (revisión humana antes de enviar precios), evitarlo (impedir que la herramienta acceda a ciertos datos) o aceptarlo si el impacto es pequeño.
  • 4. Supervisar y revisar de forma continua: Como el rendimiento puede variar, revise con regularidad una muestra de respuestas, registre los errores y vuelva a evaluar cada vez que cambie de herramienta o de proveedor.

7 principios sobre los que le preguntarán a su empresa

El marco se basa en 7 principios: integridad y equidad, privacidad y seguridad, humanidad, fiabilidad y seguridad operativa, transparencia y explicabilidad, rendición de cuentas y responsabilidad, y beneficios sociales y ambientales. Clasifica los riesgos de la IA en 7 tipos principales para que no se pase por alto ninguna categoría esencial. En la práctica, pregúntese por cada herramienta: ¿trata a los clientes con equidad? ¿Sabemos adónde van los datos? ¿Podemos explicar su decisión a un cliente que se queja? ¿Y quién, con nombre y apellido, responde cuando se equivoca?

23 normas nacionales: del qué al cómo

En el 10.º Foro de Normas, organizado por la Organización Saudí de Normalización, Metrología y Calidad en Riad el 14 de octubre de 2026, SDAIA explicó que las políticas y los marcos definen lo que deben lograr los sistemas de IA, mientras que las normas definen cómo se aplican, se miden y se demuestran esos requisitos. Afirmó haber publicado más de 10 marcos y herramientas regulatorias de IA y haber adoptado 23 normas nacionales relacionadas con la IA que abarcan gobernanza y sistemas de gestión, calidad de los datos de entrenamiento, seguridad, robustez, protección y privacidad, además de marcos de referencia y big data, según informó Al-Madina. Lo que significa para usted: si suministra tecnología a entidades públicas o grandes empresas, espere ver estas normas en los requisitos de las licitaciones.

La visión de Origami

Leemos el marco como una señal de dirección más que como una obligación inmediata. Hoy es una guía, pero las grandes organizaciones construyen sus políticas sobre él y luego trasladan sus requisitos a sus proveedores. Una empresa que ya tiene un registro escrito de sus herramientas de IA y sus riesgos responderá a esas preguntas en un día; una que no lo tiene empezará de cero bajo la presión de un plazo de entrega.

Nada de esto requiere un departamento de riesgos completo. Para una empresa pequeña o mediana, una sola tabla con cinco columnas (herramienta, uso, datos, riesgo principal, responsable de la decisión) cubre la mayor parte de lo que piden las fases 1 y 2. Y cuando sus sistemas están diseñados para registrar cada respuesta automática y permitir la revisión humana antes de las decisiones sensibles, la fase 4 se vuelve automática en lugar de una carga. Eso es lo que construimos como parte de nuestros servicios.

Empiece esta semana

  • Haga una lista de todas las herramientas de IA que usa su equipo, incluidas las suscripciones personales que los empleados usan para trabajar.
  • Para cada herramienta, anote los datos que se introducen y señale todo lo que contenga datos personales de clientes o empleados.
  • Puntúe los 3 riesgos principales de cada herramienta en probabilidad e impacto, y empiece por el más alto.
  • Nombre a una persona responsable por herramienta y fije una revisión cada 3 meses.
  • Lea el escenario práctico del documento de SDAIA y úselo como plantilla.

Fuentes

  • Agencia de Prensa Saudí — SDAIA Introduces National Framework for Managing AI Risks (14 de julio de 2026): spa.gov.sa
  • Agencia de Prensa Saudí — anuncio en árabe con el enlace al marco: spa.gov.sa
  • SDAIA — documento del marco nacional de gestión de riesgos de IA: sdaia.gov.sa
  • Organización Saudí de Normalización, Metrología y Calidad — 10.º Foro de Normas 2026: saso.gov.sa
  • Al-Madina — SDAIA sobre el papel de las normas en las aplicaciones de IA: al-madina.com
  • Al-Jazirah Online — la misma cobertura (14 de octubre de 2026): al-jazirahonline.com