Cuando la responsabilidad en materia de gobernanza de la IA se reparte entre los departamentos jurídico, de protección de datos, de contratación pública y de tecnología, los riesgos relacionados con la IA pasan desapercibidos. Y en la mayoría de las organizaciones actuales, eso es precisamente lo que está ocurriendo.
La gobernanza de la IA no falla porque la gente sea descuidada. Falla porque nadie asume la responsabilidad de principio a fin.
Cuando una nueva herramienta de IA se incorpora a la organización, el proceso de revisión suele seguir un patrón habitual. La empresa selecciona la herramienta. Se pone en marcha una prueba piloto. Se conectan los datos internos. Los departamentos jurídico, de privacidad, de compras y de seguridad revisan cada uno su parte del proceso antes de que el sistema entre en funcionamiento. A simple vista, parece una cuestión de gobernanza. Lo que queda sin respuesta es la pregunta más importante: ¿quién es responsable de garantizar que este sistema se utilice de una forma que la organización pueda explicar, supervisar y respaldar a lo largo del tiempo?
Una vez que la IA se encuentra en uso activo, el verdadero reto ya no es si alguien ha revisado un contrato o ha aprobado una política. El reto pasa a ser si la organización cuenta con un modelo operativo de supervisión tras la implantación, que abarque cómo se clasifican los sistemas, qué controles son necesarios, quién supervisa el rendimiento, cómo se escalan los problemas y quién responde cuando algo sale mal.
Por qué el GRC es el marco adecuado para la gobernanza de la IA
Hay una razón por la que el GRC está diseñado así. La integración de los riesgos, los controles, el cumplimiento normativo y la presentación de informes en un único modelo operativo para toda la empresa no es una consecuencia secundaria de esta función. Es precisamente su razón de ser. Y es precisamente ese diseño el que convierte al GRC en el marco idóneo para la gobernanza de la IA.
Esto no es una crítica al departamento jurídico. El departamento jurídico es esencial. Interpreta las obligaciones, define los límites y asesora sobre los riesgos. Pero interpretar las normas y ponerlas en práctica son dos tareas diferentes. El departamento jurídico no suele estar preparado para gestionar un programa de supervisión continua. Los flujos de trabajo de recepción de casos, la clasificación de riesgos, la identificación de controles, la comprobación de pruebas, la gestión de incidencias y la presentación de informes de riesgos al consejo de administración son disciplinas propias del GRC, no del ámbito jurídico.
Esta distinción resulta cada vez más difícil de ignorar a medida que aumenta la presión regulatoria. La gobernanza de la IA está pasando de la fase normativa a la fase operativa. Por ejemplo, la Ley de IA de la UE lo concreta, y su relevancia va mucho más allá de las organizaciones europeas. Su estructura refleja la lógica de un programa maduro de GRC: clasificación de riesgos, controles documentados, supervisión continua, gestión de incidentes y responsabilidades definidas. No se trata de tareas legales puntuales, sino de obligaciones de gestión continuas.
Ahí es donde la gobernanza de la IA impulsada por el ámbito jurídico suele quedarse corta. Una empresa puede contar con una política exhaustiva, un memorándum jurídico sólido y un conjunto completo de notas de revisión, y aun así ser incapaz de responder a las preguntas operativas que revelan si la gobernanza existe realmente en la práctica:
- ¿Qué sistemas de inteligencia artificial se utilizan actualmente en toda la empresa?
- ¿Cómo se clasificaron y quién lo hizo?
- ¿Qué autorizaciones eran necesarias antes de la puesta en marcha?
- ¿Qué datos se recopilaron antes del lanzamiento?
- ¿Quién supervisa estos sistemas en la actualidad?
- ¿Qué ocurre si el rendimiento disminuye o si el caso de uso se amplía?
Si esas preguntas no tienen respuestas claras, la organización cuenta con documentación, pero no con un sistema de gobernanza.
Cómo es realmente un modelo de gobernanza de la IA impulsado por el GRC
Incorporar la gobernanza de la IA al modelo de GRC existente no significa que el GRC funcione de forma aislada. Significa que el GRC proporciona la estructura que conecta a los equipos jurídicos, de privacidad, de contratación pública, de seguridad, de datos y de negocio en un todo coherente. Sin esa estructura, cada función solo ve una parte del riesgo, el entorno de control permanece fragmentado y la rendición de cuentas desaparece en el momento en que una herramienta entra en funcionamiento.
En la práctica, para conseguirlo hay que empezar por hacer bien algunos aspectos fundamentales.
- Elabora un inventario completo de los sistemas de IA que se utilizan. Esto incluye no solo los modelos desarrollados internamente, sino también las funciones de IA integradas en plataformas de terceros y productos SaaS.
- Clasifica esos sistemas según su nivel de riesgo de una forma clara y reproducible. El objetivo no es elaborar una teoría, sino garantizar que la empresa sepa qué casos de uso requieren un análisis más exhaustivo, controles más estrictos y una supervisión más atenta.
- Define quién aprueba qué. Los equipos de negocio necesitan un flujo de trabajo claro para la recepción, la revisión, la escalación y la aprobación. Si la aprobación depende de conversaciones puntuales, el proceso no funcionará.
- Establece unas expectativas mínimas en materia de control. Las pruebas, la supervisión, el registro de datos, la revisión de proveedores y la escalación de incidencias no deben dejarse a la interpretación individual en cada ocasión.
- Integrar la supervisión de la IA en los procesos de GRC ya existentes. El riesgo asociado a la IA debería integrarse en la misma estructura general que se utiliza para la gestión de incidencias, la garantía de los controles y la presentación de informes al consejo de administración.
Del tema del cumplimiento normativo al riesgo empresarial
Cuando la gobernanza de la IA se integra en el marco de GRC, se produce un cambio importante para los consejos de administración y la alta dirección: la IA deja de considerarse un tema limitado al cumplimiento normativo y pasa a gestionarse como parte del riesgo empresarial. Ese es el lugar que le corresponde. Los riesgos son demasiado amplios y el impacto en el negocio demasiado real como para que la supervisión de la IA quede relegada a un proceso secundario sin un responsable claro.
Las organizaciones no necesitan un nuevo comité con competencias poco definidas. Necesitan un puesto específico que pueda gestionar el proceso, mantener el modelo de pruebas y garantizar que la rendición de cuentas no desaparezca una vez que la herramienta entre en funcionamiento. Ese puesto es el de GRC, y el momento de asignarlo es antes de la próxima implementación, no después del primer incidente.
Cómo contribuye Archer a la gobernanza de la IA
Archer proporciona a los equipos de GRC las herramientas necesarias para gestionar el riesgo relacionado con la IA como una disciplina operativa, y no como un mero trámite de cumplimiento normativo. Los equipos pueden crear un inventario centralizado de IA, clasificar los sistemas según una biblioteca de controles alineada con la Ley de IA de la UE y llevar a cabo evaluaciones de impacto en materia de privacidad y ética, todo ello dentro de la misma plataforma que se utiliza para la gestión de riesgos empresariales, la supervisión de terceros y la presentación de informes al consejo de administración.
Para obtener más información sobre Archer AI Governance, haz clic aquí: https://www.archerirm.com/ai-governance
Si tu organización está preparada para pasar de la teoría a la práctica en materia de gobernanza de la IA, Archer está diseñado para ayudarte a conseguirlo. Solicita una demostracióno ponte en contacto con nosotrospara dar los primeros pasos.
Preguntas frecuentes
¿Quién debería encargarse de la gobernanza de la IA dentro de una organización?
La gobernanza de la IA debería ser competencia de los equipos de Gobernanza, Riesgo y Cumplimiento (GRC), ya que están diseñados para coordinar la gestión de riesgos, los requisitos de cumplimiento y los controles operativos en toda la empresa. Aunque los departamentos jurídico, de privacidad, de seguridad y de TI desempeñan un papel importante, el GRC proporciona la estructura centralizada necesaria para garantizar una supervisión coherente, la rendición de cuentas y la gestión del ciclo de vida de los sistemas de IA.
¿Por qué no basta con los departamentos jurídico o de TI por sí solos para la gobernanza de la IA?
Los equipos jurídicos y de TI son fundamentales, pero no están preparados para gestionar la supervisión continua de los sistemas de IA. El departamento jurídico se centra en la interpretación de la normativa y el riesgo contractual, mientras que el de TI se centra en la implementación y la infraestructura. La gobernanza de la IA requiere un seguimiento continuo, la clasificación de riesgos, la validación de controles y la elaboración de informes, funciones que son esenciales para los modelos operativos de GRC, más que para departamentos aislados.
¿Qué riesgos surgen cuando la gobernanza de la IA carece de un único responsable?
Sin un modelo de responsabilidad claro, la gobernanza de la IA queda fragmentada entre los distintos departamentos, lo que da lugar a aprobaciones incoherentes, una visibilidad limitada de los sistemas de IA implantados y una responsabilidad poco clara cuando surgen problemas. Esto aumenta la exposición a incumplimientos normativos, al riesgo operativo y a problemas éticos, sobre todo a medida que las herramientas de IA se extienden por todas las funciones empresariales sin una supervisión centralizada.
