Antes de que un nivel de riesgo, una obligación o una medida de gobernanza cobren sentido, debe quedar claro qué rol desempeña su organización. Quien introduce un sistema de IA en el mercado tiene responsabilidades distintas a quien utiliza un sistema construido por otro. El término que se usa para ello es conocido: proveedor frente a usuario. Pero la clasificación en sí no está fijada en un organigrama. Depende de lo que una organización hace con un sistema específico, y eso puede variar por sistema, por departamento y por momento.
La pregunta clave no es quién ha comprado o instalado el sistema, sino quién lo ha introducido en el mercado o lo pone a disposición bajo su propio nombre. Una organización que adquiere software y lo utiliza tal como se le entrega es, por lo general, usuario. Una organización que desarrolla un sistema, lo hace desarrollar bajo su nombre, o adapta un sistema existente de manera que se convierte funcionalmente en algo distinto, puede pasar así a desempeñar el rol de proveedor. Esto último es a menudo el punto donde las organizaciones se equivocan: afinar un modelo, construir una capa propia sobre un sistema externo, o entrenar un chatbot con datos propios puede desplazar el rol sin que nadie lo haya experimentado como una decisión consciente. Lo que exactamente cuenta como una modificación que cambia el rol está descrito en qué cambia si usted mismo adapta un modelo.
La mayoría de las organizaciones no son exclusivamente proveedor ni exclusivamente usuario. Un banco que utiliza un modelo de lenguaje externo para atención al cliente es en ese caso usuario, pero si ese mismo banco pone un modelo de riesgo desarrollado internamente a disposición de otro departamento o de un cliente, surge para ese sistema un rol de proveedor. Esto significa que la clasificación debe hacerse por aplicación, no una sola vez para toda la organización. Un inventario que registre por sistema quién lo ha construido, quién lo ha adaptado y quién lo utiliza es, por tanto, la única manera de responder a esta pregunta de forma estructural en lugar de incidental.
El rol no es una característica fija de una organización, sino un estatus sujeto a cambio. Un proveedor puede modificar su sistema de una manera que afecte al perfil de riesgo. Un desarrollador interno puede convertir una herramienta interna en algo que se ofrece fuera de la organización. Un sistema que en su momento se introdujo como herramienta sencilla puede, tras una actualización, realizar tareas que lo sitúen en otra categoría de riesgo. En qué momentos se produce concretamente este desplazamiento y qué significa eso para quién es entonces responsable se explica en cuándo cambia su rol. Para las organizaciones que quieren entender qué implica en la práctica un desplazamiento hacia un nivel de riesgo más alto, qué significa un nivel de riesgo alto para su organización ofrece una explicación más detallada.
No toda aplicación que se denomina inteligencia artificial entra en el marco para el que es relevante la distribución de roles. Algunos sistemas quedan fuera del alcance para el que se ha diseñado esta clasificación, y para una organización es igual de importante saber qué queda fuera del alcance que saber qué queda dentro. De lo contrario, se dedica tiempo a clasificar algo que no necesitaba clasificación, o se pasa por alto algo porque parecía demasiado pequeño. Qué aplicaciones quedan fuera de este marco y por qué está descrito en qué aplicaciones quedan fuera del alcance.
Determinar el rol es un primer paso, no el resultado de un proceso de gobernanza. Tras la clasificación sigue la pregunta de qué debe hacerse en la práctica para cada rol y cada nivel de riesgo, y esa pregunta se divide en dos categorías: lo que requiere atención inmediata y lo que puede planificarse a más largo plazo. Estas dos categorías a menudo se confunden, con el resultado de que los asuntos urgentes quedan pendientes mientras se dedica tiempo a algo que todavía no es urgente. Un resumen de lo que tiene prioridad en esto está disponible en qué debe hacerse ahora y qué puede planificarse. Quien desee profundizar aún más en la cuestión de la distribución de roles, con los criterios precisos que determinan el límite entre proveedor y usuario, encontrará esa explicación en es usted proveedor o usuario: de qué depende.
Esta clasificación solo tiene sentido si se aplica a lo que realmente funciona en la organización, no a lo que figura en una lista aprobada. Los sistemas que se han introducido sin autorización cuentan igualmente, y el rol correspondiente debe determinarse de la misma manera. Esto requiere un inventario que vaya más allá de la administración de TI.
En cuanto queda claro qué rol desempeña una organización por sistema, la atención se desplaza de forma natural hacia otra pregunta: qué hacen en realidad estos sistemas y qué parte del trabajo asumen. Esa pregunta queda fuera del escáner de gobernanza, pero se conecta directamente con él. El escáner de trabajo de FTE TO AI calcula por tarea qué parte del trabajo puede asumir la IA, y ofrece así una imagen del impacto de un sistema junto a la imagen de las obligaciones que le corresponden.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.