Publico dirigido:

• CISOs y Head of Security — responsables de la estrategia de seguridad y de extenderla al riesgo de IA.
• CTOs y líderes de tecnología — que diseñan, compran o despliegan sistemas de IA y deben gobernar su ciclo de vida.
• GRC Leaders y Risk Managers — que integran el riesgo de IA al portafolio de riesgo empresarial y lo cuantifican.
• DPOs y especialistas en privacidad — que gestionan el impacto de la IA sobre datos personales y derechos fundamentales.
• Compliance Officers — que deben demostrar confianza a terceros y trazar el camino regulatorio y de certificación.

Objetivos del programa

• Inventariar y clasificar casos de uso de IA por criticidad y nivel de riesgo.
• Fijar el apetito y la tolerancia de riesgo de IA de la organización y traducirlos en una Política de Uso Aceptable y una matriz RACI.
• Construir y priorizar escenarios de riesgo de IA y mapearlos a controles trazables sobre OWASP, MITRE ATLAS e ISO.
• Cuantificar un escenario con FAIR-AIR y comunicar la exposición en términos financieros al directorio.
• Seleccionar estrategias de tratamiento y evaluar proveedores de IA mediante due diligence.
• Diseñar y conducir un tabletop de incidente de IA y un plan de monitoreo continuo.
• Integrar el programa con los marcos que la organización ya corre (ISO 27001/27701, NIST CSF) y trazar el camino hacia ISO/IEC 42001.
• Defender una decisión de tratamiento de riesgo de IA ante un comité ejecutivo.

Metodología

• El taller tiene una proporción 60% teórica / 40% práctica.
• Caso testigo propio. Cada asistente practica sobre el contexto de su propia organización.
• Toolkit, no apuntes. Cada módulo produce una pieza que se acumula en un “Programa de Riesgo de IA”: inventario, matriz riesgo-control, estimación FAIR, AUP, RACI, KRIs, plan de monitoreo, playbook de IR y presentación ejecutiva, listos para adaptar en la organización.

Contenidos del programa

Día 1 · Entender, gobernar y mapear

Módulo 1 · AI & Risk Fundamentals

Nivelar el lenguaje de IA y de riesgo para que toda la sala parta del mismo piso.

• Tipos y modelos de IA —predictivo, generativo, agéntico— y su perfil de riesgo dominante; el salto agéntico.
• Por qué la IA rompe el control clásico: opacidad, autonomía, evolución impredecible y accountability distribuida.
• Vocabulario de riesgo: inherente y residual, probabilidad e impacto, cualitativo vs. cuantitativo, KRI y KPI.

Módulo 2 · Risk Governance

• Quién responde y cuánto riesgo de IA está dispuesta a aceptar la organización.
• Principios de IA responsable —equidad, seguridad y fiabilidad, privacidad y seguridad, transparencia y explicabilidad, accountability y centralidad humana— como base de la gobernanza.
• Roles y rendición de cuentas (RACI) en el ciclo de vida del modelo; involucramiento ejecutivo y alineación a la estrategia; distinción de roles —developer, provider, deployer, user— y sus obligaciones.
• Apetito, tolerancia y capacidad de riesgo de IA; integración a ERM, COBIT y COSO.
• Política de Uso Aceptable (AUP) como control de primer nivel frente al Shadow AI.
• Cultura de riesgo de IA: comportamientos riesgos, campañas de concientización, entrenamiento y refuerzo sobre riesgos de IA.

Módulo 3 · Risk Mapping

Qué puede salir mal, dónde y sobre qué.

• Panorama de amenazas propias de la IA: data poisoning, prompt injection, model inversion, model evasion, etc.
• Construcción de escenarios de riesgo (evento, actor, activo, impacto) y riesgo a lo largo del ciclo de vida —datos, drift—.
• Evaluaciones de impacto: FRIA, conformity assessment y PIA/DPIA, con foco en privacidad aplicada a IA —decisiones automatizadas, transferencias internacionales de datos y categorías sensibles o biométricas—.

Módulo 4 · Risk Measurement

• Cuantificar para decidir y para hablarle al directorio.
• Calibración de estimadores (método Hubbard).
• Cuantificación con FAIR-AIR
• Del número a la decisión: comunicar la exposición en términos financieros.

Día 2 · Tratar, resistir y demostrar

Módulo 5 · Risk Treatment

Qué hacer con el riesgo: aceptar, evitar, mitigar o transferir.

• Las cuatro estrategias de tratamiento y el riesgo residual.
• Controles de mitigación específicos para LLMs y agentes: OWASP Top 10 (LLM y Agentic), MITRE ATLAS, CSA AI Controls Matrix, HITL/AITL, zero trust por agente, identidades no humanas, kill switch y gestión de Shadow AI.
• AI TPRM: due diligence de proveedores de IA y los riesgos propios de desplegar un modelo propietario.

Módulo 6 · AI Resilience

Responder y recuperar.

• IR, BCP y gestión de crisis actualizados por IA.
• Escenarios de incidente de IA: fuga vía LLM, deepfake ejecutivo y fraude, prompt injection con exfiltración, agente descontrolado (rogue agent).
• Diseño y conducción de tabletops técnicos y ejecutivos.

Módulo 7 · AI Compliance & Trust

Demostrar confianza a terceros y trazar el camino regulatorio.

• Principios y marcos: OECD AI Principles, NIST AI RMF, EU AI Act e ISO/IEC 42001, 42005 y 23894.
• Mapeo ISO 42001 contra normas marcos ISO/IEC 27001, 27701 y NIST CSF 2.0.
• El mapa regulatorio LATAM; impacto de EU AI Act en la región.