Módulo 1. Fundamentos, Gobernanza y Marco Regulatorio de la Inteligencia Artificial

1. Fundamentos de IA para profesionales de gobierno, riesgos y auditoría

• Inteligencia Artificial, Machine Learning e IA generativa.

• Modelos predictivos y generativos.

• Large Language Models – LLM.

• Retrieval-Augmented Generation – RAG.

• Agentes de IA y sistemas con mayor autonomía.

• Diferencias relevantes entre aplicaciones tradicionales y soluciones basadas en IA.

• Capacidades, limitaciones y principales fuentes de riesgo.

2. Gobernanza de Inteligencia Artificial

• ¿Por qué la IA requiere mecanismos específicos de gobernanza?

• Estrategia de IA y alineamiento con los objetivos de la organización.

• Principios de IA responsable.

• Roles, responsabilidades y rendición de cuentas.

• Estructuras de gobierno y supervisión.

• Políticas y estándares para el uso de IA.

• Inventario de sistemas, soluciones y casos de uso de IA.

• Shadow AI y utilización no autorizada de herramientas.

3. Marco normativo peruano y referencias internacionales

• Ley N.° 31814 – Ley que promueve el uso de la IA en favor del desarrollo económico y social del país.

• D.S. N.° 115-2025-PCM – Reglamento de la Ley N.° 31814.

• Ámbito de aplicación y principales obligaciones para organizaciones del sector privado.

• Clasificación de los sistemas de IA según riesgo.

• Usos de IA considerados de riesgo alto.

• Transparencia, explicabilidad, responsabilidad y supervisión humana.

• Consideraciones para entidades financieras y otros sectores regulados.

• Estrategia Nacional de Inteligencia Artificial – ENIA 2026–2030.

• NIST AI Risk Management Framework.

• ISO/IEC 42001 y normas técnicas relacionadas.

• Enfoque de ISACA para la gobernanza, riesgos y auditoría de IA.

• EU AI Act como referencia internacional basada en riesgo.

Módulo 2. Riesgos y Controles durante el Ciclo de Vida de IA

1. Gestión de riesgos de Inteligencia Artificial

• Características particulares de los riesgos de IA.

• Identificación, análisis y evaluación de riesgos.

• Clasificación de casos de uso según impacto y nivel de riesgo.

• Sistemas de IA de riesgo alto y sus implicancias.

• Apetito y tolerancia al riesgo.

• Evaluaciones de impacto y análisis de afectación potencial.

• Indicadores de riesgo y desempeño: KRIs y KPIs.

• Responsabilidad y supervisión humana.

2. Datos, privacidad y sesgo

• El papel crítico de los datos en los sistemas de IA.

• Calidad, integridad, representatividad y trazabilidad.

• Sesgos en los datos y sus efectos sobre decisiones y resultados.

• Clasificación y confidencialidad de la información.

• Protección de datos personales y privacidad.

• Consentimiento, finalidad y tratamiento de información.

• Procedencia y uso legítimo de los datos.

• Licenciamiento y propiedad intelectual.

• Relación con la Ley de Protección de Datos Personales y su Reglamento.

3. Controles durante el ciclo de vida de una solución de IA

• Definición y evaluación del caso de uso.

• Diseño y desarrollo.

• Entrenamiento o adaptación del modelo.

• Validación y pruebas antes de producción.

• Despliegue y operación.

• Monitoreo continuo.

• Data drift y model drift.

• Gestión de cambios y versiones.

• Retiro o descomisionamiento.

• Privacy by Design y Security by Design.

• Human-in-the-Loop y mecanismos efectivos de supervisión.

Módulo 3. IA Generativa, Seguridad, Terceros e Incidentes

1. Amenazas específicas de Inteligencia Artificial

• Cómo cambia la superficie de ataque con la incorporación de IA.

• Manipulación y envenenamiento de datos o modelos.

• Exposición y extracción de información.

• Manipulación de entradas y resultados.

• Ataques adversariales.

• Riesgos asociados con interfaces, APIs y componentes de IA.

• Diferencias entre controles tradicionales de ciberseguridad y controles específicos de IA.

2. Riesgos de IA generativa y agentes de IA

• Prompt injection e indirect prompt injection.

• Fuga o exposición de información confidencial.

• Alucinaciones y generación de resultados incorrectos.

• Uso inseguro de outputs generados.

• Riesgos asociados con RAG y fuentes externas.

• Riesgos de agentes de IA con capacidad para ejecutar acciones.

• Privilegios, herramientas y autonomía de agentes.

• Guardrails y otros mecanismos de control.

• Validación y supervisión humana.

3. Riesgo de terceros y cadena de suministro de IA

• Uso de modelos y servicios externos.

• Dependencia de proveedores.

• Modelos fundacionales, servicios cloud y componentes de terceros.

• Responsabilidad compartida.

• Due diligence de proveedores de IA.

• Seguridad, privacidad y tratamiento de información.

• Consideraciones contractuales.

• Monitoreo continuo de proveedores y servicios.

4. Incidentes relacionados con Inteligencia Artificial

• ¿Qué constituye un incidente relacionado con IA?

• Identificación y escalamiento.

• Evaluación, contención y respuesta.

• Recuperación.

• Análisis posterior al incidente.

• Evidencia y trazabilidad.

• Integración con los procesos corporativos existentes de seguridad y gestión de incidentes.

Módulo 4. Auditoría de Inteligencia Artificial

1. ¿Qué significa auditar Inteligencia Artificial?

• Diferencias entre auditar aplicaciones tradicionales y soluciones de IA.

• Universo auditable de IA.

• Inventario de activos, modelos y casos de uso.

• Enfoque basado en riesgos.

• Rol de Auditoría Interna.

• Independencia y relación con las funciones de gobernanza, riesgos, cumplimiento, tecnología y seguridad.

2. Planificación de una auditoría de IA

• Evaluación preliminar de riesgos.

• Definición de objetivos.

• Alcance de auditoría.

• Criterios de auditoría: normativa, políticas internas, estándares y buenas prácticas.

• Identificación de riesgos y controles.

• Documentación y evidencia necesaria.

• Competencias del equipo auditor y necesidad de especialistas.

3. Principales áreas y procedimientos de auditoría

Evaluación de:

• gobierno, roles y rendición de cuentas;

• cumplimiento del marco normativo aplicable;

• inventario y clasificación de sistemas de IA;

• gestión de riesgos;

• datos y privacidad;

• ciclo de vida de la solución;

• validación y testing;

• seguridad;

• terceros;

• monitoreo y gestión de cambios;

• supervisión humana;

• transparencia, explicabilidad y trazabilidad.

Principales técnicas y procedimientos:

• entrevistas y walkthroughs;

• revisión de políticas, procedimientos y documentación técnica;

• evaluación de configuraciones y logs;

• muestreo de decisiones y outputs;

• análisis de datos;

• revisión de métricas, KRIs y KPIs;

• evaluación de evidencia de validación y testing; y

• pruebas sobre el diseño y efectividad de los controles.

4. Resultados de auditoría

• Identificación y sustentación de observaciones.

• Evaluación de riesgo e impacto.

• Causa y consecuencias.

• Recomendaciones y planes de acción.

• Comunicación a la Alta Dirección y órganos de gobernanza.

• Seguimiento y monitoreo.

5. Uso de Inteligencia Artificial por Auditoría Interna

• Casos de uso de IA en planificación, ejecución y reporting.

• Análisis documental y de grandes volúmenes de información.

• Identificación de patrones, anomalías y áreas de riesgo.

• Oportunidades para ampliar cobertura y eficiencia.

• Riesgos, limitaciones y controles cuando la propia función de Auditoría utiliza IA.

• Confidencialidad, validación de resultados y revisión humana.