Toda organización con cierto tamaño ya cuenta con una estructura de riesgos. Un comité de riesgos, un comité de auditoría, una línea de funciones de control, un formato en el que los riesgos se registran, se discuten y se cierran. Ese proceso tiene un ritmo, un lenguaje y responsables que saben a qué atenerse.
Si la gobernanza de la IA se sitúa junto a eso —un comité propio, una línea de reporte propia, un calendario propio— surge un segundo proceso. Y un segundo proceso junto a uno existente no se ejecuta. No porque las personas sean reticentes, sino porque la capacidad ya está asignada al proceso que existe. Quien trata el riesgo de la IA como un tema aparte, pide tiempo extra, reuniones extra e informes extra además de todo lo que ya está en marcha. Eso pierde, siempre.
El inventario y la clasificación de los sistemas de IA no generan un nuevo marco de riesgos. Aportan información para el marco que ya existe. En concreto, eso significa:
El conjunto de gobernanza que resulta del escaneo no es, por tanto, un documento independiente. Es un conjunto escrito para encajar en lo que ya existe: la matriz de riesgos, la estructura de reporte, las líneas de escalada. Donde esas cosas todavía no funcionan como deberían, se aplica la misma lógica que con la IA: se trata de integración, no de un sistema nuevo. Cómo se ve esto en un componente concreto se describe en cómo se integra una política de IA en la toma de decisiones existente en lugar de quedar aparte, en cómo se integra una lista de decisiones de supervisión en la reunión que ya existe y en cómo se integran las rutas de escalada de IA en la línea de incidentes existente.
Un marco de riesgos de IA aparte suena cuidadoso, pero crea un circuito paralelo. Surgen dos verdades: el reporte de riesgos que el consejero ya conoce, y un reporte de IA que existe junto a él, con definiciones propias de nivel de riesgo y responsables propios. En el momento en que esos dos circuitos no coinciden —y eso ocurre tarde o temprano— no queda claro qué circuito tiene autoridad. Ese es precisamente el escenario en el que la supervisión existe sobre el papel, pero en la práctica nadie es responsable ante quien acudir.
El conjunto de gobernanza que se deriva del inventario está, por tanto, orientado a desaparecer dentro del proceso existente. Ningún panel nuevo, ninguna reunión nueva, ningún formulario de aprobación nuevo, sino una ampliación del formato que el comité de riesgos ya utiliza, con la IA como componente fijo. Así es también como un consejero le sacará provecho: no como un informe de IA aparte que se pasa por alto, sino como una línea en el reporte que ya se lee. Cómo se ve ese reporte cuando es lo bastante compacto para leerse realmente, se describe en el diseño de un informe al consejo que cabe en una página.
La razón por la que conectar con la estructura existente es también la opción jurídica y organizativamente más sólida radica en la demostrabilidad. Un supervisor o un auditor que pregunte cómo se controla el riesgo de la IA, prefiere la respuesta "a través del proceso de riesgos que ya llevamos, con la IA como componente fijo" a "a través de un trayecto de IA aparte que corre junto al proceso habitual". La primera respuesta muestra una organización que gestiona el riesgo de forma integral. La segunda muestra una organización que trata la IA como un caso excepcional, con el riesgo de que esa excepción, en cuanto la atención se desplace, se abandone.
La misma lógica se aplica a la monitorización. Un panel de IA aislado que nadie consulta no aporta nada. La monitorización integrada en el resumen que los gestores de riesgos y el consejero ya utilizan se ve porque ya está en el lugar donde se mira. Lo que se necesita para ello se explica en cómo se integra la monitorización de los sistemas de IA en el resumen que ya se utiliza y, en un plano más amplio, en cómo se construye en la práctica la conexión con la estructura de riesgos existente.
Una estructura de riesgos que ha integrado la IA responde a la pregunta de qué está funcionando y quién es responsable de ello. Esa es una pregunta distinta de qué podría asumir la IA en el trabajo diario. Esa segunda pregunta la responde el escaneo de trabajo de FTE TO AI, que calcula por tarea qué parte del trabajo es candidata a la sustitución. Ambas respuestas van de la mano: la estructura de riesgos determina bajo qué condiciones puede utilizarse la IA, el escaneo de trabajo muestra dónde esa aplicación cambia realmente el trabajo.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.