Introducción: la IA se ha convertido en una cuestión de gobernanza
La inteligencia artificial ya no es un proyecto secundario gestionado por el departamento de TI. Las herramientas de IA ahora evalúan a candidatos a puestos de trabajo, aprueban créditos, redactan informes financieros y, cada vez más, actúan por sí solas como agentes de IA. Cada uno de estos usos genera nuevos riesgos, desde decisiones sesgadas y filtraciones de datos hasta multas regulatorias y daños reputacionales.
Por eso, la gobernanza de la IA se ha convertido en el área de más rápido crecimiento dentro de la gobernanza, el riesgo y el cumplimiento (GRC). Los consejos de administración, los reguladores y los inversores esperan ahora que las organizaciones demuestren no solo que utilizan la IA, sino que también la controlan.
Sin embargo, la mayoría de las organizaciones no están preparadas. La encuesta CFO Signals de Deloitte reveló que el 59% de los responsables financieros considera que equilibrar la velocidad de adopción de la IA con sus riesgos es su principal reto de gobernanza. Esta guía explica qué significa la gobernanza de la IA, las normativas que la impulsan, los riesgos que deben gestionar los equipos de GRC y las competencias necesarias para liderar esta labor.
¿Qué es la gobernanza de la IA?
La gobernanza de la IA es el conjunto de políticas, funciones, procesos y controles que garantizan que una organización desarrolle y utilice la IA de forma responsable, segura y conforme a la ley. Se integra de manera natural en los tres pilares de GRC:
|
Pilar de GRC |
Qué significa para la IA |
|---|---|
|
Gobernanza |
Supervisión por parte del consejo, estrategia de IA, titularidad claramente definida y rendición de cuentas para cada sistema de IA |
|
Gestión de riesgos |
Identificación, evaluación y seguimiento de riesgos de la IA, como sesgos, errores, problemas de seguridad y exposición a terceros |
|
Cumplimiento normativo |
Cumplimiento de la legislación sobre IA, las normas de protección de datos, la normativa sectorial y las políticas internas |
En la práctica, la gobernanza de la IA responde a preguntas sencillas pero fundamentales. ¿Qué sistemas de IA utilizamos? ¿Quién es responsable de ellos? ¿Qué podría salir mal? ¿Quién verifica los resultados? ¿Y podemos demostrar todo esto ante un regulador o auditor?
Las organizaciones con funciones maduras de GRC parten con ventaja, porque la gobernanza de la IA se basa en las mismas disciplinas: registros de riesgos, controles internos, políticas, auditoría y elaboración de informes.
La ola regulatoria: marcos que todo equipo de GRC debe conocer
La regulación de la IA está pasando de los principios a normas de obligado cumplimiento. Cuatro marcos determinan actualmente cómo las organizaciones de todo el mundo gobiernan la IA.
El Reglamento de IA de la UE
El Ley de Inteligencia Artificial de la UE es la primera ley integral sobre IA del mundo. Clasifica los sistemas de IA por nivel de riesgo, desde las prácticas prohibidas hasta los usos de alto riesgo, como la contratación, la calificación crediticia y las infraestructuras críticas. Las prohibiciones relativas a la IA de riesgo inaceptable y las obligaciones en materia de alfabetización en IA se aplican desde febrero de 2025. Con las modificaciones del Ómnibus Digital, las obligaciones para los sistemas independientes de alto riesgo se aplican ahora a partir del 2 de diciembre de 2027, mientras que las normas de transparencia para los chatbots y el contenido generado por IA no se aplazaron. La ley se aplica a cualquier organización cuya IA afecte a personas en la UE, incluidas las empresas con sede en el Golfo.
ISO/IEC 42001
ISO/IEC 42001 es la primera norma internacional certificable para un sistema de gestión de la IA. Sigue la misma estructura que ISO 27001 e ISO 9001, por lo que se integra fácilmente con los sistemas de gestión existentes. La certificación se está convirtiendo rápidamente en una forma de demostrar una IA responsable ante clientes y organismos reguladores.
Marco de Gestión de Riesgos de IA del NIST
El estadounidense NIST AI RMF ofrece una estructura voluntaria y práctica basada en cuatro funciones: gobernar, contextualizar, medir y gestionar. Muchos equipos de riesgos lo utilizan como guía de trabajo.
Principios de IA de la OCDE y el enfoque de los EAU
Los Principios de IA de la OCDE establecen la referencia mundial para una IA fiable y han sido adoptados por decenas de países. Los EAU han desarrollado esta base mediante su estrategia nacional de IA y su carta para el desarrollo y uso de la IA, y están implementando rápidamente la IA en todo el gobierno, elevando también el nivel de exigencia para la gobernanza en el sector privado.
Los principales riesgos de la IA que deben gestionar los equipos de GRC
La IA introduce riesgos para los que los controles tradicionales nunca fueron diseñados. Entre los más importantes se incluyen:
- Sesgo y discriminación. Los modelos entrenados con datos históricos pueden tratar de manera injusta a candidatos, clientes o empleados.
- Resultados inexactos. La IA puede generar respuestas convincentes pero incorrectas, lo cual resulta peligroso en la elaboración de informes financieros, el trabajo jurídico o el análisis de riesgos.
- Privacidad y filtración de datos. El personal puede introducir datos confidenciales en herramientas públicas de IA sin darse cuenta.
- Amenazas de ciberseguridad. Los sistemas de IA pueden manipularse mediante la inyección de instrucciones, datos contaminados o fraudes facilitados por ultrafalsificaciones.
- Riesgo de terceros y proveedores. Muchas capacidades de IA proceden de proveedores externos cuyos modelos y prácticas de datos son difíciles de auditar.
- Riesgo de decisiones autónomas. Los agentes de IA que actúan sin aprobación humana pueden cometer errores costosos a gran escala.
- «IA en la sombra». Empleados que utilizan herramientas de IA no autorizadas al margen de cualquier política o supervisión.
Cada uno de estos riesgos debe incluirse en el registro de riesgos empresariales, con un responsable, controles y seguimiento claramente definidos, al igual que cualquier otro riesgo significativo.
Creación de un marco de gobernanza de la IA: pasos prácticos
No es necesario empezar desde cero. La mayoría de las organizaciones pueden establecer una gobernanza eficaz de la IA ampliando sus estructuras actuales de gobernanza, riesgo y cumplimiento (GRC):
- Cree un inventario de IA. Enumere todos los sistemas de IA en uso, incluidas las herramientas integradas en el software de los proveedores, e indique quién es responsable de cada uno.
- Clasifique según el riesgo. Ordene los sistemas según su impacto en las personas, las finanzas y el cumplimiento normativo, utilizando un enfoque basado en el riesgo similar al de la Ley de IA de la UE.
- Asigne responsabilidades claras. Defina las funciones del consejo de administración, la alta dirección, las áreas de riesgos, cumplimiento y TI, y los responsables de las áreas de negocio. Muchas organizaciones están creando un comité de gobernanza de la IA.
- Redacte una política de IA. Establezca normas para el uso aceptable, el tratamiento de datos, la supervisión humana y la aprobación de nuevas herramientas de IA.
- Integre la IA en la gestión de riesgos empresariales. Incorpore los riesgos de la IA al registro de riesgos, defina el apetito de riesgo y establezca indicadores clave de riesgo.
- Implemente controles y supervisión humana. Exija una revisión humana de las decisiones de gran impacto y conserve registros de auditoría de los resultados generados por la IA.
- Realice pruebas, supervisiones y auditorías. Revise periódicamente la precisión, los sesgos y la deriva de los modelos, e incluya la IA en los planes de auditoría interna.
- Forme a su personal. La gobernanza solo funciona cuando el personal comprende tanto la IA como sus responsabilidades.
Alinear estos pasos con la norma ISO/IEC 42001 o el NIST AI RMF otorga credibilidad internacional a su marco.
Las habilidades que los profesionales de GRC necesitan ahora
La gobernanza de la IA está generando una nueva demanda de profesionales de GRC capaces de conectar la tecnología, el riesgo y la regulación. Las capacidades más valiosas incluyen:
- Conocimientos sobre IA: comprender cómo funcionan los modelos de IA y en qué aspectos fallan, sin necesidad de programar.
- Conocimientos normativos: interpretar el Reglamento de IA de la UE, las leyes de protección de datos y las normas sectoriales.
- Evaluación de riesgos: aplicar métodos de gestión de riesgos empresariales a los sistemas de IA.
- Diseño y auditoría de controles: diseñar y probar controles para la IA, incluida la supervisión humana.
- Presentación de informes al consejo de administración: explicar claramente el riesgo de la IA a directores y ejecutivos.
- Ética y criterio: equilibrar la innovación con la equidad, la transparencia y la rendición de cuentas.
Para los responsables de cumplimiento normativo, gestores de riesgos, auditores internos y secretarios de empresa, estas competencias se están convirtiendo rápidamente en esenciales, en lugar de opcionales.
360 Leaders Training ofrece una gama completa de Cursos de formación en Gobierno Corporativo, Riesgos y Cumplimiento (GRC) para profesionales que desean liderar en este ámbito. Los programas abarcan el gobierno corporativo, la gestión de riesgos empresariales, el cumplimiento normativo, la auditoría interna y riesgos emergentes como la IA, y se imparten en Dubái y otros destinos internacionales.
¿Está preparado para reforzar el gobierno de su organización? Explore nuestros cursos de formación en GRC y desarrolle las competencias necesarias para gestionar hoy los riesgos del futuro.
Preguntas frecuentes
¿Qué es el gobierno de la IA?
La gobernanza de la IA es el marco de políticas, funciones, procesos y controles que garantiza que la IA se desarrolle y utilice de forma responsable, segura y conforme a las leyes y normativas.
¿Qué relación existe entre la gobernanza de la IA y el GRC?
La gobernanza de la IA amplía la gobernanza, la gestión de riesgos y el cumplimiento normativo tradicionales. Incorpora la supervisión de la IA por parte del consejo de administración, la gestión de riesgos específicos de la IA y el cumplimiento de las nuevas normativas sobre IA a las estructuras de GRC existentes.
¿Se aplica la Ley de IA de la UE a las empresas de los EAU?
Sí, si sus sistemas de IA se comercializan en el mercado de la UE o si sus resultados afectan a personas en la UE. Las empresas del Golfo con clientes, empleados o socios europeos deben evaluar su grado de exposición.
¿Qué es la norma ISO/IEC 42001?
ISO/IEC 42001 es la primera norma internacional certificable para un sistema de gestión de la IA. Ayuda a las organizaciones a gestionar los riesgos de la IA y a demostrar a clientes y organismos reguladores que utilizan la IA de forma responsable.
¿Cuáles son los mayores riesgos de la IA para las organizaciones?
Los principales riesgos son las decisiones sesgadas, los resultados inexactos, las filtraciones de datos, las amenazas de ciberseguridad, el riesgo asociado a proveedores, los agentes autónomos de IA sin control y el uso no autorizado de «IA en la sombra» por parte del personal.
¿Quién es responsable de la gobernanza de la IA en una organización?
El consejo de administración asume la supervisión última, mientras que la alta dirección, los equipos de riesgos, cumplimiento normativo, TI y auditoría interna, así como los responsables de las áreas de negocio, comparten la responsabilidad cotidiana. Muchas organizaciones designan un comité de gobernanza de la IA.
¿Quién debería asistir a los cursos de formación sobre GRC?
Responsables de cumplimiento normativo, gestores de riesgos, auditores internos, miembros del consejo de administración, secretarios de empresa y altos directivos responsables de la gobernanza, los controles o los informes regulatorios.
