La mayoría de las organizaciones cuentan con políticas sólidas de gobernanza de la IA sobre el papel. El problema es que nunca ha habido tanta distancia entre lo que está sobre el papel y la práctica, y reducir esa brecha se ha convertido en el reto más acuciante en materia de gestión de riesgos para los responsables de cumplimiento normativo en la actualidad. Se aprueban políticas, se documentan marcos de referencia y se establecen controles, pero, mientras tanto, los empleados van incorporando cada semana asistentes de IA, copilotos y flujos de trabajo basados en IA a su trabajo diario, a menudo sin ninguna indicación clara de que se requiera supervisión.
Cada herramienta que se adopta al margen de una revisión formal, cada caso de uso que se va extendiendo silenciosamente a nuevas fuentes de datos, amplía un poco más esa brecha. Y cuanto más se amplía, más difícil resulta identificar dónde reside tu exposición real.
Imagínate lo siguiente: tu política de gobernanza de la IA se aprobó hace seis meses. Desde entonces, tres equipos han introducido nuevas herramientas sin que nadie se diera cuenta, algunos casos de uso se han ampliado para incluir datos de clientes y nada de esto ha dado lugar a una revisión formal. La brecha entre lo que se aprobó y lo que realmente se está utilizando hoy en día es precisamente donde se acumulan los riesgos relacionados con la IA.
Por qué una autorización única no puede seguir el ritmo de la evolución del uso de la IA
Antes, los nuevos datos solían seguir trayectorias predecibles. Los equipos proponían un proyecto, se revisaban los flujos de trabajo, se evaluaban los riesgos y se acordaban los controles antes de que nada entrara en funcionamiento. Ese proceso funcionaba porque el cambio era visible. La inteligencia artificial ha comprimido todo el plazo y ha hecho que la expansión sea, en gran medida, invisible.
Lo que comienza como un caso de uso interno limitado va creciendo silenciosamente con el tiempo. Se conecta a nuevas fuentes de datos, cada vez más usuarios obtienen acceso y los resultados empiezan a fluir hacia sistemas posteriores que nunca formaron parte del diseño original. Cada paso por sí solo parece razonable, pero, en conjunto, esos pasos crean una vulnerabilidad que es difícil de detectar hasta que algo sale mal. La autorización que cubría el diseño original rara vez abarca el estado en el que se encuentra el caso de uso seis meses después, lo que significa que una aprobación única no puede regular algo que sigue evolucionando tras su implementación.
La falta de visibilidad es donde reside el riesgo relacionado con los datos de la IA
Pregúntate: ¿puede tu organización identificar, en este mismo momento, en qué casos la IA está interactuando con datos sensibles o sujetos a normativa?
Para muchas organizaciones, la respuesta sincera es «no», o al menos no con total seguridad.
Una herramienta autorizada para un uso interno de bajo riesgo empieza a recopilar datos de clientes. El acceso se extiende a medida que crece su adopción. Los resultados fluyen hacia sistemas que nunca se tuvieron en cuenta en la evaluación original, y nadie tomó una mala decisión en el proceso. El caso de uso simplemente evolucionó, y nadie estaba prestando la atención suficiente como para darse cuenta. Este es el resultado previsible de un cambio que pasa desapercibido, no de una mala intención. El riesgo relacionado con los datos de la IA rara vez se debe a una adopción imprudente. Se debe a un cambio que nadie está supervisando activamente.
La distancia entre la gobernanza y las operaciones es el problema fundamental
Las funciones de gobernanza y privacidad han intervenido tradicionalmente en puntos de control: aprobaciones de proyectos, auditorías periódicas y revisiones formales. Ese modelo partía del supuesto de que los cambios serían visibles y de que siempre habría un momento definido para intervenir.
La IA elimina ambas suposiciones. La mayor parte del cambio se produce en el seno de los flujos de trabajo cotidianos, no en los planes de proyecto ni en las solicitudes formales de cambio, y para cuando se detecta en una revisión trimestral, el caso de uso ya ha pasado a otra cosa. Una gobernanza que solo interviene de forma periódica se vuelve reactiva por naturaleza, y en un entorno de IA que evoluciona rápidamente, ser reactivo equivale a estar expuesto.
La mayoría de las organizaciones no cuentan con políticas deficientes. Lo que ocurre es que están alejadas de las operaciones y, en entornos caracterizados por un cambio continuo, esa distancia respecto a la actividad diaria constituye en sí misma un riesgo significativo.
La clasificación de datos y los controles de privacidad deben poder aplicarse en tiempo real
La clasificación de datos es un buen ejemplo de cómo falla en la práctica la gobernanza de la IA. La mayoría de las organizaciones cuentan con marcos de clasificación bien definidos, pero, en la práctica, los equipos saben que sus datos son sensibles sin tener claro si pueden utilizarse en una herramienta de IA concreta, si un resultado específico requiere revisión o qué restricciones se aplican en las fases posteriores. Cuando la clasificación es abstracta en lugar de práctica, se convierte en un documento de referencia en lugar de un control eficaz.
La gestión de la privacidad se enfrenta al mismo problema de sincronización. Resulta más eficaz cuando se aplica desde el principio y se revisan los casos de uso a medida que estos cambian, pero la revisión de la privacidad suele realizarse con retraso, cuando las decisiones clave de diseño ya están consolidadas. En entornos de IA que evolucionan rápidamente, esa brecha no hace más que ampliarse. Un control que no se puede aplicar en el momento en que se toma una decisión no funciona en absoluto como control.
La rendición de cuentas en materia de IA debe ir más allá de la aprobación inicial
A medida que se acelera el uso de la IA, la claridad cobra más valor que la complejidad.
Cada caso de uso de la IA requiere una responsabilidad que vaya más allá de la aprobación inicial, lo que incluye la responsabilidad sobre los resultados empresariales, la responsabilidad sobre los datos implicados y la responsabilidad sobre la eficacia del control continuo a medida que evoluciona el caso de uso. Cuando esa responsabilidad no queda clara, se pasan por alto las reevaluaciones y el riesgo persiste mucho más tiempo del que debería. En entornos dinámicos, la ambigüedad no se mantiene contenida, ya que se amplía.
Una atribución clara de responsabilidades no frena la adopción de la IA. Evita ese tipo de acumulación silenciosa de riesgos que obliga a las organizaciones a intervenir a posteriori, lo cual siempre resulta más perturbador y costoso que adelantarse a los problemas.
¿Te estás planteando las preguntas adecuadas sobre la gobernanza de la IA?
Los debates de los responsables sobre la gobernanza de la IA suelen centrarse en si existen políticas y si se han comunicado. Una pregunta más útil es si tu programa de gobernanza refleja realmente lo que está sucediendo en la actualidad.
Plantéate las siguientes preguntas sobre la visibilidad operativa:
- ¿Puedes identificar en qué momentos la IA está interactuando con datos sensibles en este momento?
- ¿Entienden tus empleados cuáles son los límites prácticos del uso de la IA, y no solo lo que dice el documento de la política?
- ¿Existe algún mecanismo para detectar cuándo un caso de uso ha evolucionado lo suficiente como para que sea necesario volver a evaluarlo?
No se trata solo de cuestiones de cumplimiento normativo. Son cuestiones relacionadas con la visibilidad operativa, y las organizaciones que pueden responder a ellas con seguridad son aquellas cuya gobernanza de la IA funciona realmente. La verdadera madurez en materia de gobernanza se refleja en lo que tu equipo puede ver y sobre lo que puede actuar en tiempo real, no solo en lo que está documentado.
Permanecer cerca de donde se generan los riesgos relacionados con la IA
La gobernanza de los datos y la privacidad no han perdido importancia. Lo que ha cambiado es el contexto en el que deben desarrollarse. Las organizaciones que se adaptan a esa realidad no se dedican a elaborar más políticas. Se mantienen al tanto de cómo se utiliza la IA, conservan la visibilidad a medida que evolucionan los casos de uso, traducen los marcos de clasificación en decisiones que los equipos pueden aplicar en el momento y se aseguran de que la rendición de cuentas no termine con la aprobación.
Archer se ha diseñado precisamente para este cambio. Como plataforma líder en GRC, Archer ayuda a las organizaciones a mantener una visión actualizada y unificada del uso de la inteligencia artificial, los riesgos relacionados con los datos y la responsabilidad sobre los controles, lo que permite a los equipos de gobernanza adaptarse al ritmo del trabajo moderno en lugar de ir a la zaga.
En un entorno caracterizado por el cambio continuo, una gobernanza eficaz de la IA depende de mantenerse cerca de donde se generan los riesgos.
¿Estás listo para aprovechar la inteligencia artificial en tu programa de cumplimiento normativo y gestión de riesgos?Descarga el informe técnico «La inteligencia artificial para el cumplimiento normativo y la gestión de riesgos: claves para el éxito» y descubre estrategias prácticas para reducir el trabajo manual, mejorar la precisión y crear un programa preparado para lo que venga.
Preguntas frecuentes
¿Por qué fracasa la gobernanza de la IA en la mayoría de las organizaciones a pesar de contar con políticas formales?
La mayoría de las organizaciones cuentan con políticas de gobernanza de la IA bien documentadas, pero esas políticas fracasan en la práctica porque se diseñaron para un mundo en el que el cambio es visible y predecible. La IA acorta el plazo de los cambios y hace que la expansión sea en gran medida invisible: las herramientas se conectan silenciosamente a nuevas fuentes de datos, cada vez más usuarios obtienen acceso y los resultados fluyen hacia sistemas que nunca formaron parte de la revisión original. La brecha entre lo que se aprobó y lo que realmente se está ejecutando es precisamente donde se acumulan los riesgos relacionados con la IA. El problema fundamental no es una política deficiente, sino la distancia entre los equipos de gobernanza y las operaciones cotidianas.
La mayoría de las organizaciones cuentan con políticas de gobernanza de la IA bien documentadas, pero esas políticas fracasan en la práctica porque se diseñaron para un mundo en el que el cambio es visible y predecible. La IA acorta el plazo de los cambios y hace que la expansión sea en gran medida invisible: las herramientas se conectan silenciosamente a nuevas fuentes de datos, cada vez más usuarios obtienen acceso y los resultados fluyen hacia sistemas que nunca formaron parte de la revisión original. La brecha entre lo que se aprobó y lo que realmente se está ejecutando es precisamente donde se acumulan los riesgos relacionados con la IA. El problema fundamental no es una política deficiente, sino la distancia entre los equipos de gobernanza y las operaciones cotidianas.
¿En qué consiste la falta de visibilidad en materia de riesgos relacionados con los datos de IA y cómo genera un riesgo de incumplimiento normativo?
La brecha de visibilidad se refiere a la creciente distancia entre lo que supervisa el programa de gobernanza de una organización y lo que los sistemas de IA están haciendo realmente con datos sensibles o regulados. Surge cuando un caso de uso que se aprobó para un fin concreto y de bajo riesgo evoluciona de forma silenciosa —recogiendo datos de clientes, ampliando el acceso de los usuarios o enviando resultados a sistemas posteriores que nunca formaban parte del ámbito de aplicación—. Dado que cada paso individual parece razonable por sí solo, no se activa ninguna revisión formal. Para cuando una auditoría periódica detecta el desvío, el riesgo ya existe. Cerrar esta brecha requiere una visibilidad operativa continua, no solo revisiones basadas en puntos de control.
La brecha de visibilidad se refiere a la creciente distancia entre lo que supervisa el programa de gobernanza de una organización y lo que los sistemas de IA están haciendo realmente con datos sensibles o regulados. Surge cuando un caso de uso que se aprobó para un fin concreto y de bajo riesgo evoluciona de forma silenciosa —recogiendo datos de clientes, ampliando el acceso de los usuarios o enviando resultados a sistemas posteriores que nunca formaban parte del ámbito de aplicación—. Dado que cada paso individual parece razonable por sí solo, no se activa ninguna revisión formal. Para cuando una auditoría periódica detecta el desvío, el riesgo ya existe. Cerrar esta brecha requiere una visibilidad operativa continua, no solo revisiones basadas en puntos de control.
¿Cómo deben las organizaciones garantizar la rendición de cuentas en los casos de uso de la IA tras la aprobación inicial?
La responsabilidad sobre un caso de uso de IA no puede limitarse a la aprobación inicial, ya que el propio caso de uso sigue evolucionando tras su implantación. Una gobernanza eficaz de la IA requiere una atribución de responsabilidades claramente definida en tres dimensiones: el resultado empresarial que aporta el caso de uso, los datos implicados en dicho caso de uso y la eficacia continua de los controles a medida que el caso de uso cambia. Cuando la atribución de responsabilidades es ambigua, se pasan por alto las reevaluaciones y el riesgo persiste más tiempo del que debería. Las organizaciones que establecen esta estructura de responsabilidad antes de la implementación evitan las costosas intervenciones reactivas que se producen cuando los riesgos se descubren a posteriori, y crean programas de gobernanza que realmente pueden seguir el ritmo de la adopción de la IA.
