Muchas organizaciones asumen que la clasificación como proveedor o usuario es única y definitiva: se adquiere un sistema en algún lugar, y con ello queda determinado el papel de su organización. En la práctica, esto es más matizado. El papel que tiene usted respecto a un sistema de IA depende de lo que hace con él, no de dónde proviene el sistema. La misma organización puede ser usuario para un sistema y, sin que nadie lo haya denominado así, proveedor para otro.
La pregunta central no es quién construyó el sistema, sino quién lo pone en el mercado o lo despliega bajo su propio nombre. Una organización que adquiere un sistema de IA listo para usar y lo utiliza para su propio proceso es, en general, usuario. En cuanto esa misma organización adapta, desarrolla, cambia de etiqueta o ofrece a otros un sistema bajo su propio nombre, esa situación cambia. También influye el grado de control sobre el modelo: quién determina con qué datos se entrena, quién fija los parámetros, quién asume la responsabilidad del comportamiento del sistema en producción. Estas preguntas no se responden una sola vez en el momento de la adquisición, sino que siguen siendo relevantes mientras el sistema esté en uso.
El papel de una organización no es, por tanto, una etiqueta fija, sino el resultado del uso efectivo. Esto significa que cambios internos —una nueva aplicación de un sistema existente, una adaptación por parte del propio departamento de TI, la entrega de una función de IA a un cliente o filial— pueden modificar la clasificación sin que haya mediado una decisión formal. Lo que esto significa en la práctica, y en qué momento un papel cambia efectivamente, se desarrolla en la página sobre el momento en que cambia su papel respecto a un sistema de IA. Es importante señalar que este cambio a menudo pasa desapercibido, porque ocurre a nivel de departamento, lejos de donde se fija la política.
La pregunta de si usted es proveedor o usuario no existe de forma aislada. Está entrelazada con la pregunta de qué nivel de riesgo tiene una aplicación, y con la pregunta de si una aplicación cae dentro del alcance de la normativa. Un sistema utilizado como usuario con un impacto bajo puede requerir un tratamiento distinto al de la misma organización cuando adapta más el sistema y con ello se acerca al papel de proveedor. Lo que significa concretamente un nivel de riesgo más alto para la propia organización se describe en la página sobre qué significa un nivel de riesgo alto para su organización. Tampoco todas las aplicaciones están dentro del alcance de los mismos requisitos; qué aplicaciones quedan fuera de ese alcance y de qué depende esto se explica en la página sobre qué aplicaciones quedan fuera del alcance.
La razón por la que esta clasificación sigue siendo poco clara para muchas organizaciones no es que falten las reglas. El texto vigente y los criterios precisos se encuentran en otro lugar y no cambian por este artículo. El problema está antes: para saber qué papel corresponde, primero hay que saber qué sistemas de IA están realmente en uso, por quién, y con qué grado de adaptación. Ese inventario falta en la mayoría de las organizaciones. La lista oficial de herramientas aprobadas por TI raramente describe lo que realmente se usa. Los departamentos empiezan a usar herramientas, adaptan modelos con sus propios datos, o integran una función de IA en un proceso interno, sin que esto quede registrado en ningún lugar de forma centralizada. Quien quiera saber si la organización es proveedor o usuario debe, por tanto, saber primero qué está en funcionamiento — y esa es una pregunta que no se responde con un documento de política, sino con un inventario que se atreva a preguntar a las personas qué usan, sin vincular esto a una rendición de cuentas.
Dado que el papel de una organización puede cambiar sin una decisión formal, es importante para la dirección y los supervisores que los informes reflejen ese cambio. Un enfoque de gobernanza que parte de una división de papeles estática pasa por alto el momento en que una adaptación interna coloca a la organización, de hecho, en otra posición. Cómo puede redactarse una política de IA de manera que haga visibles este tipo de cambios en lugar de ocultarlos, y que además sea realmente leída por quien es responsable de ella, se aborda en la página sobre una política de IA que se ajusta a la práctica en lugar de quedarse en el cajón.
La pregunta de si su organización es proveedor o usuario trata sobre responsabilidad y obligaciones. Todavía no dice nada sobre lo que significa la IA para el trabajo en sí: qué tareas asume, modifica o apoya. Esa pregunta es una continuación natural de la determinación del papel, pero requiere otra mirada — no sobre la gobernanza, sino sobre el contenido del trabajo. El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede ser asumida por la IA, independientemente del papel que adopte la organización respecto al sistema subyacente.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.