Para mantener la competitividad, las empresas están operando de manera agresiva para adoptar la IA de forma rápida y a escala.
Sin embargo, muy pocas organizaciones comprenden correctamente la complejidad adicional que presentan los riesgos que introduce la IA o las carencias de su metodología de riesgo actual a la hora de gestionarlos.
Y en esta tensión está el quid de la cuestión: Los riesgos de la IA están aumentando de manera exponencial y no se pueden administrar adecuadamente sin una gobernanza de la IA eficaz. De hecho, la gobernanza de la IA no puede tener éxito a menos que se consolide como una disciplina interfuncional que aúne la seguridad, la privacidad, el riesgo, el ámbito jurídico, la ingeniería y los aspectos empresariales en torno a objetivos compartidos.
Asimismo, las organizaciones están tratando de abordar este cambio sin precedentes, así como los profesionales relevantes deben (sin excusa alguna) aprender de sus compañeros que ya están creando programas de IA responsables y escalables.
¿Por qué es diferente el riesgo de la IA?
La IA introduce nuevos tipos de incertidumbre para los que los procesos tradicionales de seguridad o riesgo de terceros nunca fueron diseñados para evaluar. En efecto, hasta identificar qué IA está presente dentro de un entorno ya es algo bastante difícil. Los empleados adoptan herramientas por su cuenta, los terceros integran funciones de IA en sus plataformas sin notificar a nadie y los equipos internos comienzan a experimentar con modelos antes de que se formalicen los procesos.
Por su parte, los equipos de seguridad se están adaptando al incorporar la detección de IA en las herramientas de visibilidad y la gestión de activos existentes. Están catalogando los sistemas de IA de la misma manera que lo harían con cualquier tecnología crítica para el negocio y utilizando protecciones contractuales para reducir las vulnerabilidades cuando los empleados dependen de herramientas externas. Aun así, la visibilidad tan solo es el comienzo.
El reto principal es que los sistemas de IA son dinámicos, probabilísticos y no paran de evolucionar. Los modelos aprenden de los nuevos datos, los proveedores lanzan nuevas funciones y el comportamiento del sistema puede variar con el tiempo. Todo esto exige que haya que dejar de lado las evaluaciones estáticas y puntuales, y haya que irse aproximando lo máximo posible a la supervisión continua y los controles programáticos.
Asimismo, también es imprescindible que la organización disponga de una postura clara sobre su apetito de riesgo. ¿Qué usos se consideran aceptables? ¿Qué tipos de datos pueden fluir hacia los sistemas de IA? ¿Qué funciones deben seguir siendo revisadas por humanos? Sin mecanismos de protección para la gobernanza, cada equipo evaluará estas preguntas de manera diferente y la tarea de administrar los posibles riesgos será imposible.
Por ello, una base sólida de gobernanza de la IA proporciona a los equipos de riesgo exactamente lo que necesitan para trabajar con eficacia:
- Claridad sobre el propósito y los casos prácticos
- Categorías de riesgo definidas
- Expectativas de transparencia y documentación
- Un proceso compartido para decidir si desarrollar o adquirir
- Políticas de datos, selección de modelos y uso aceptable
Con todo esto, la gestión de riesgos de IA se convierte en un proceso mucho más ágil en lugar de algo abrumador.
Cómo crear el modelo operativo: el comité de gobernanza de la IA
La mayoría de las organizaciones que están acelerando la adopción de la IA están creando un comité de gobernanza de la IA para unificar la supervisión y la toma de decisiones. El comité funciona como puente entre la innovación y el control responsable.
En este respecto, su composición es intencionadamente transversal, puesto que los equipos de privacidad, seguridad, riesgo, cumplimiento normativo, TI, estrategia y jurídico conforman el núcleo. Por su parte, los líderes de ingeniería, producto y datos también colaboran siempre que sea necesario. Dependiendo del modelo de negocio, las operaciones o las finanzas también pueden desempeñar un papel central.
Entre las responsabilidades del comité se suelen incluir:
- Definir la estrategia de IA empresarial y los mecanismos de protección: esto abarca las políticas, el uso aceptable, la selección de modelos y la alineación con marcos normativos como el NIST, la OCDE, las normas ISO y la pila de regulaciones de IA emergentes a nivel global.
- Revisar los supuestos prácticos de alto riesgo: si bien el ~80 % de las iniciativas de IA pueden pasar por una adquisición estándar y su evaluación técnica, a niveles superiores hace falta una evaluación interfuncional más profunda del uso previsto, los daños potenciales, el impacto sobre el cliente y la tolerancia al riesgo de la organización.
- Guiar las decisiones de desarrollo vs. adquisición: los equipos evalúan si las capacidades de IA deben desarrollarse de manera interna o mediante licencias de proveedores, teniendo en cuenta los conjuntos de habilidades, las implicaciones de seguridad y el coste a largo plazo.
- Garantizar la transparencia para los clientes y las partes interesadas: a medida que las organizaciones lanzan funciones basadas en IA, estas deben documentar el propósito, los modelos, la gestión de datos y las expectativas en cuanto a revisión humana a través de artefactos claros y de fácil acceso como, p. ej., informes de transparencia sobre IA.
Esta estructura no solo aporta garantías a la organización, sino que también acelera la innovación responsable. Los equipos ganan confianza porque las reglas son claras, el proceso es consistente y la empresa entiende cómo trasladar las ideas de la fase de experimentación a la de producción.
¿Qué implica esto para la gestión de riesgos de terceros?
A medida que las organizaciones van adoptando la IA, esta se va interconectando cada vez más con la gestión de riesgos de terceros de formas para las que los marcos tradicionales nunca fueron diseñados. En la actualidad, muchos proveedores integran la IA en sus plataformas sin notificar de ello de forma claramente visible, lo que significa que los equipos de riesgo deben ir más allá de las herramientas que se promocionan de manera explícita como IA e identificar dónde opera la IA dentro de las aplicaciones existentes.
Los líderes de seguridad y privacidad hacen hincapié en la importancia de actualizar los procesos de admisión y evaluación que capturan cómo utilizan la IA los proveedores, qué datos fluyen hacia sus modelos, si la información de los clientes se utiliza para entrenar la IA y cómo se van introduciendo nuevas funciones a lo largo del tiempo.
Debido a que los sistemas de IA cambian de manera continua, el modelo de evaluación para proveedores de «configurar y olvidar» se queda excesivamente corto. En este respecto, los programas de gobernanza de la IA pueden proporcionar las garantías que tanto necesitan los programas de gestión de riesgos de terceros; es decir, una supervisión clara, protecciones contractuales, políticas actualizadas y una monitorización continua que permita que las organizaciones puedan equilibrar la innovación con una gestión responsable de los riesgos.
Transformar la gobernanza en crecimiento, paso a paso
En cuanto se hayan establecido las estructuras de gobernanza, las organizaciones podrán poner en práctica la adopción de la IA de forma segura. De hecho, el ciclo de vida refleja cada vez más la gestión de riesgos de terceros, aunque con modificaciones significativas.
Incorporación: esta parte inicial del proceso requiere un contexto mucho más rico. Por ello, los equipos deben capturar las entradas de datos, los resultados, la sensibilidad de los datos, el linaje de los modelos, los resultados esperados y el margen potencial de derivas o sesgos algorítmico. El objetivo no es solo evaluar la vulnerabilidad frente a incidencias de seguridad y privacidad, sino también relacionar cómo la IA se ajusta al propósito empresarial y las expectativas normativas.
Evaluación: este procedimiento se expande tanto en amplitud como en profundidad. Los equipos de privacidad, seguridad y jurídicos colaboran para determinar si los contratos con los proveedores incluyen las protecciones adecuadas, si los datos se pueden utilizar para el entrenamiento de modelos y la forma en que se comunicarán las actualizaciones.
Monitorización: Supervisión siempre activa. Los sistemas de IA cambian con rapidez, lo que también significa que la exposición al riesgo puede cambiar de modo colateral. Asimismo, las organizaciones están incorporando nuevas preguntas específicas sobre IA en las reevaluaciones, actualizando las políticas a medida que van evolucionando los modelos y garantizando una visibilidad continua de cómo los proveedores modifican sus funciones de IA.
Cuando las organizaciones actúan correctamente, la gobernanza deja de verse como un obstáculo y se convierte en un catalizador para el crecimiento. Consulta este seminario web bajo demanda para saber más sobre este tema de la mano de Tim Mullen y Brett Tarr.
