Un consejo que pone la IA en la agenda suele recibir dos tipos de documentos: un expediente grueso que nadie lee antes de la reunión, o un resumen que dice tan poco que de él no se sigue ninguna decisión. Un informe al consejo de una página no es un resumen del expediente. Es una pregunta distinta: qué necesita saber un consejero para poder asumir responsabilidad, y qué es ruido.
Esa distinción no es trivial. La mayoría de los informes de IA que vemos se limitan a contar sistemas. Una página que solo cuenta cuántas aplicaciones de IA existen no le dice nada al consejo sobre dónde está el riesgo. Contar es una cuestión de TI. La gobernanza es otra cuestión: qué aplicaciones afectan a decisiones sobre personas, cuáles se han puesto en marcha sin supervisión, y cuáles caen bajo una clase de riesgo que requiere una firma.
Una página que funciona contiene un número limitado de elementos, cada uno con una razón para incluirse:
El resto —quién entrenó qué modelo, qué proveedor aplica qué condiciones, qué mitigación técnica se ha aplicado— pertenece a la capa inferior. Esa capa existe, se mantiene actualizada y puede consultarse. Pero no pertenece a la página que lee el consejo, porque entonces el consejo no la lee.
La razón por la que tanta gobernanza de IA se estanca no es la falta de un proceso. Es que existe un segundo proceso, al margen del existente. Un consejo ya tiene un comité de riesgos, ya tiene un calendario de auditoría, ya tiene un formato para informar sobre riesgo operativo, sobre cumplimiento, sobre seguridad de la información. Quien coloca junto a eso un proceso de IA aparte —con su propia frecuencia, su propia plantilla, su propio responsable— está pidiendo algo que será lo primero que se omita cuando la agenda esté demasiado llena. Esto no ocurre por falta de voluntad. Ocurre porque un segundo proceso recibe, por definición, menos atención que el primero.
El informe que sí se lee es el que se integra en el ritmo ya existente: la misma reunión, el mismo formato, la misma manera de escalar que ya existe para otros riesgos. Cómo se concreta esa integración en la práctica se describe en la página sobre la integración en la estructura de riesgo existente, y la forma en que las decisiones se registran después se retoma en la página sobre una lista de decisiones de supervisión integrada en el ritmo existente.
Un informe de una página solo es útil si el inventario que hay detrás es correcto. Ese es el elemento que más se omite: los consejeros reciben una página con una clasificación de riesgo, sin que nadie haya verificado si la lista subyacente de aplicaciones de IA está completa. La IA en la sombra —el uso que ha surgido fuera del listado de TI— desaparece entonces silenciosamente del panorama, no porque carezca de importancia, sino porque nadie lo ha preguntado. Un empleado que usa una herramienta de IA sin que esté aprobada no lo comunica por iniciativa propia si teme una sanción. Lo comunica solo cuando se hacen preguntas sin consecuencias.
La página, por tanto, es la punta de un proceso que empieza en el inventario y escala a través de vías que ya existen. Cómo funciona esa escalada sin crear una nueva jerarquía se describe en la página sobre vías de escalada que realmente se utilizan. Y qué debe mantenerse de forma estructural para poder rellenar la página cada vez sin que se convierta en una reconstrucción se describe en la página sobre monitorización que realmente aporta algo al informe.
El Responsible AI Scan proporciona el inventario, la clasificación y la estructura de gobernanza que se integra con lo que ya existe —incluido el formato para un informe que el consejo realmente lee. El escáner mismo está en construcción; quien quiera algo ahora puede apuntarse a la lista de espera.
Un informe que indica qué parte del trabajo cae bajo el riesgo de IA plantea de forma natural otra pregunta: qué parte del trabajo mismo puede ser asumida por la IA. Ese es un cálculo distinto, hecho por tarea en lugar de por sistema, y ese cálculo lo realiza el escáner de trabajo de FTE TO AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.