Una lista de decisiones de supervisión no es un formulario nuevo ni una reunión nueva. Es un lugar fijo donde se registra qué aplicación de IA ha sido evaluada, por quién, sobre la base de qué evaluación de riesgo, y con qué decisión. Aprobada, rechazada, con condiciones, o permitida temporalmente en espera de más investigación. Sin esa lista, una decisión existe solo en la memoria de quienes estuvieron presentes, y desaparece en cuanto alguien cambia de función o la conversación no queda registrada en un acta.
La lista contiene, por cada aplicación, una breve descripción de la tarea, la clasificación según rol y nivel de riesgo, el nombre del responsable del proceso, la fecha de evaluación, la decisión tomada y el motivo de esa decisión. Ninguna especificación técnica, ninguna documentación del proveedor: eso pertenece al expediente de la aplicación en sí, no a la lista de decisiones. La lista es una visión general un nivel más arriba: quién decidió qué, y cuándo se reconfirmó esa decisión por última vez. Una aplicación aprobada hace un año para una tarea de riesgo limitado puede estar usándose ahora para algo distinto. Sin una reconfirmación periódica, una decisión antigua sigue siendo válida para una situación que ya no existe.
La razón por la que los registros de IA independientes suelen quedar vacíos no es la falta de voluntad, sino el orden. Cada organización ya tiene un lugar donde se discuten y registran los riesgos: un comité de riesgos, un comité de auditoría, una reunión de dirección con un punto fijo en la agenda sobre riesgo operativo. Quien monta además un registro de IA independiente pide a las personas llevar una segunda administración para algo que, en esencia, pertenece a la primera. Ese segundo proceso pierde, de forma estructural, frente al ajetreo del día a día. La lista de decisiones de supervisión solo funciona si está integrada en lo que ya existe — como parte fija de una reunión existente, con un lugar fijo en la agenda, en lugar de como una obligación nueva añadida.
Esto también significa que la lista utiliza la misma escala y el mismo lenguaje que el resto de la estructura de riesgos. Una aplicación con un nivel de riesgo alto recibe el mismo tipo de atención que cualquier otro expediente con un nivel de riesgo alto: frecuencia de informe fija, responsable fijo, línea de escalamiento fija. Cómo se ve esa conexión en la práctica depende de la gobernanza existente de la organización y está descrito en la página sobre conectar con la estructura de riesgos existente.
Una lista de decisiones es inútil sin una ruta para lo que ocurre cuando alguien no está de acuerdo, o cuando una aplicación cambia sin que nadie lo notifique. Esa ruta no pertenece a la lista en sí, pero debe conectarse con ella: quién puede impugnar un rechazo, quién debe prorrogar un permiso temporal, y a quién llega un caso cuando el responsable del proceso y la función de riesgo no están de acuerdo. Cómo funcionan esas líneas sin que cada pregunta acabe en lo más alto de la organización está descrito en rutas de escalamiento que funcionan.
La lista de decisiones es la memoria; el consejo de administración necesita además un resumen que no haya que volver a elaborar cada trimestre a partir de actas sueltas. Qué debe figurar en ese resumen —y qué no, porque ya está en la lista de decisiones— está descrito en la página sobre un informe de una página para el consejo. Sin ese paso, la lista de decisiones sigue siendo un documento que solo leen los responsables de proceso, mientras el consejo de administración sigue siendo jurídicamente responsable de lo que se decide.
Registrar una decisión no es lo mismo que saber si esa decisión se cumple. Una aplicación que ha sido rechazada puede seguir en uso si nadie comprueba que el rechazo se ha aplicado. Esa es la razón por la que una lista de decisiones sin seguimiento aporta poco: documenta intenciones, no comportamiento. Qué se necesita para ver si una decisión realmente se mantiene, y qué señales corresponden a eso, está descrito en la página sobre monitorización que aporta algo.
Una lista de decisiones solo puede contener lo que se ha notificado. Quien depende de las notificaciones del departamento de TI ve solo una fracción de lo que realmente se utiliza: la mayor parte del uso de IA en una organización surge fuera de los procesos formales de adquisición, en equipos que prueban una herramienta porque funciona. Que esas aplicaciones lleguen alguna vez a la lista de decisiones depende de si los empleados se atreven a contar lo que usan, y eso solo ocurre si las preguntas al respecto no se perciben como el preludio de una sanción.
La primera pregunta que ayuda en esto no es 'qué IA está aprobada' sino 'qué parte de este trabajo ya está siendo realizada, o podría ser realizada, por IA'. Ese es un punto de partida distinto al de una lista de decisiones, y más completo: el escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede ser asumida por IA, y con ello establece una base que no depende de lo que se haya notificado por casualidad. A partir de ese resultado se hace visible qué aplicaciones ya están funcionando en realidad, antes de que la lista de decisiones llegara a saberlo.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.