PICEE-PA (Política, Identidad, Capacidad, Ejecución y Evidencia para la Administración Pública) es una propuesta de diseño independiente y neutral respecto a proveedores, así como un perfil de aplicación para la administración pública destinado a la gobernanza de las acciones iniciadas por la IA. Conecta la autorización administrativa con la autorización técnica a través de Política, Identidad, Capacidad, Ejecución y Evidencia.
Su premisa central es que la capacidad técnica de un sistema de IA para invocar una herramienta, API o flujo de trabajo no constituye por sí sola autoridad administrativa para realizar una acción.
Por lo tanto, PICEE-PA conecta dos dimensiones de gobernanza para cada acción significativa iniciada por la IA:
1. autorización administrativa: propósito, contexto del proceso, delegación, reglas aplicables y responsabilidad; y
2. autorización técnica: identidad, capacidades limitadas, aplicación de políticas, controles en tiempo de ejecución y evidencia.
PICEE-PA no es un estándar, un esquema de certificación ni una declaración de cumplimiento legal. Es una propuesta arquitectónica y de gobernanza reutilizable, destinada a la evaluación, implementación y posterior validación.
Necesidades abordadas
La IA en el sector público está evolucionando desde sistemas que generan información o recomendaciones hacia sistemas con capacidad de invocar herramientas, modificar datos y activar flujos de trabajo operativos.
Los marcos de gobernanza de la IA, los mecanismos de identidad, los motores de políticas, las tecnologías de entornos aislados y los sistemas de auditoría existentes abordan partes importantes de este problema, pero no necesariamente proporcionan un perfil común de administración pública que conecte la autoridad administrativa con la ejecución técnica al nivel de cada acción de IA consecuente.
PICEE-PA soluciona esta deficiencia haciendo explícita la cadena de autorización, legible por máquina cuando corresponda, aplicable en tiempo de ejecución y reconstruible después de la ejecución.
Características principales
PICEE-PA define cinco niveles de gobernanza:
- Política: propósito, proceso, reglas aplicables, restricciones y riesgo.
- Identidad: solicitante, agente de IA o carga de trabajo, patrocinador y cadena de delegación.
- Capacidad: acción específica delimitada, recurso, alcance de datos y límites operativos otorgados al agente.
- Ejecución: aplicación en tiempo de ejecución, aprobaciones humanas cuando sea necesario, aislamiento, comportamiento de cierre de fallos y mecanismos de recuperación.
- Evidencia: reconstrucción duradera de la decisión de política, autorización, ejecución real, aprobaciones, resultado y procedencia.
La propuesta también introduce dos artefactos reutilizables:
- Sobre de Ejecución Administrativa (AEE): una representación estructurada previa a la ejecución de la autoridad administrativa y técnica bajo la cual puede proceder una acción iniciada por IA.
- Paquete de Evidencia Administrativa (AEB): un paquete de evidencia estructurado posterior a la ejecución que respalda la auditabilidad y la reconstrucción de lo que se autorizó y lo que realmente ocurrió.
El repositorio público incluye la especificación de diseño, esquemas JSON, ejemplos de objetos AEE/AEB, una implementación de referencia mínima y pruebas de validación.
Su público objetivo
PICEE-PA está destinado a:
- Administraciones públicas que exploran la IA y los sistemas de agentes;
- Directores de informática (CIO), directores de tecnología (CTO) y equipos de transformación digital del sector público;
- Profesionales de la gobernanza de la IA y la seguridad de la información;
- Arquitectos empresariales y de soluciones;
- Especialistas en interoperabilidad;
- Investigadores que trabajan en gobernanza de la IA y gobierno digital;
- Proveedores de tecnología que implementan servicios públicos habilitados por IA.
Reutilización
PICEE-PA está diseñado para ser independiente del proveedor.
Las organizaciones públicas y los investigadores pueden reutilizar el modelo conceptual, los esquemas AEE/AEB, los ejemplos y la implementación de referencia independientemente de un modelo de IA específico, un proveedor de nube, un motor de políticas o un marco de agente.
La implementación de referencia es intencionadamente minimalista y tiene como objetivo demostrar el flujo de gobernanza, en lugar de prescribir una pila tecnológica de producción.
El código se publica bajo la licencia Apache 2.0.
La documentación y las especificaciones se publican bajo la licencia Creative Commons Attribution 4.0 International (CC BY 4.0).
Repositorio de código fuente:
https://github.com/valeriolombardi/governed-ai-pa
Archivo permanente:
https://doi.org/10.5281/zenodo.22229330
Normas y marcos de trabajo relacionados
PICEE-PA no declara conformidad ni certificación con los siguientes marcos. Su diseño se basa en conceptos relevantes de los mismos y pretende seguir siendo compatible con ellos:
- la Ley de Inteligencia Artificial de la UE;
- el Marco Europeo de Interoperabilidad y el ecosistema Interoperable Europe;
- Marco de Gestión de Riesgos de IA del NIST;
- Principios de confianza cero e identidad de carga de trabajo;
- Conceptos de gestión de IA ISO/IEC 42001;
- Enfoques de política como código, como OPA/Rego y Cedar;
- Enfoques modernos de autorización delegada y seguridad basada en capacidades;
- Conceptos de procedencia y auditabilidad, incluido W3C PROV.
PICEE-PA está diseñado como un perfil de aplicación que puede utilizar las tecnologías existentes de identidad, autorización, políticas y control de ejecución, en lugar de reemplazarlas.
Contribución a las políticas y la interoperabilidad
PICEE-PA apoya el objetivo de unos servicios públicos basados en IA que sean fiables y reutilizables, separando la inteligencia del modelo de la autoridad para actuar.
La propuesta promueve la interoperabilidad a nivel organizativo, legal, semántico y técnico mediante la definición de conceptos de gobernanza reutilizables y artefactos legibles por máquina que pueden implementarse en diferentes organizaciones públicas, modelos de IA, proveedores y pilas tecnológicas.
Por lo tanto, puede complementar el trabajo europeo sobre la adopción responsable de la IA, los servicios públicos digitales interoperables, los componentes de IA reutilizables para el sector público y la gobernanza interorganizacional.