Un registro de IA ya está parcialmente desactualizado el día en que se entrega. Se añade una nueva herramienta, alguien amplía una suscripción existente con una función de IA, un equipo deja de usar algo que estaba en la lista. Un registro no es un documento que se termina. Es un proceso que sigue en marcha, o se detiene en pocos meses.
La pregunta "cómo lo mantiene actualizado" es, por tanto, más importante que "cómo lo elabora". Un primer inventario es una fotografía de un momento. El valor está en lo que ocurre después.
La causa principal no es el descuido. Es que la IA se propaga de forma distinta a otro software. Una nueva herramienta a menudo no requiere un proceso de adquisición, ni aprobación de TI, ni una ronda de presupuesto. Alguien se registra con una dirección de correo laboral y empieza a usarla. Nadie tiene que informarlo, y nadie se siente obligado a hacerlo — sobre todo si la expectativa es que informar equivale a una prohibición. Lo que ocurre con los empleados que usan una herramienta que nadie ha aprobado determina si esas notificaciones llegan alguna vez.
Además, cambia la naturaleza de las herramientas existentes. Un paquete que el año pasado no tenía funcionalidad de IA, este año puede tenerla, activada por defecto en una actualización. La lista de proveedores de TI no cambia entonces, pero el perfil de riesgo de esas mismas herramientas sí.
Mantenerlo actualizado requiere un ritmo repetitivo en lugar de una acción puntual. Ese ritmo consta de algunos elementos que se repiten:
Una pregunta fija a los equipos, en un momento fijo, sobre qué se ha añadido o cambiado. No como pregunta de control, sino como parte de una reunión recurrente — conversación trimestral, reunión de equipo, ciclo de evaluación de desempeño. La pregunta debe ser lo suficientemente accesible como para obtener una respuesta sincera.
Una señal desde compras o gestión de TI cuando se contrata una nueva suscripción o se renueva un contrato existente. No toda señal conduce a un ajuste del registro, pero toda señal debe revisarse.
Una reevaluación de los elementos existentes en el momento en que cambia el contexto: una herramienta obtiene una nueva función, un equipo empieza a usar una aplicación de IA para un fin distinto de aquel para el que fue clasificada. Con qué frecuencia es necesaria esa reevaluación depende del nivel de riesgo de la aplicación y de la rapidez con que cambia el entorno — más sobre esto en la página que describe con qué frecuencia debe volver a clasificar.
Ningún método lo abarca todo. Un registro que depende completamente de la autodeclaración se pierde, por definición, lo que la gente no informa — por desconocimiento, comodidad, o porque no se dan cuenta de que una herramienta cae bajo la definición de IA. Un registro que depende completamente de las señales de TI se pierde lo que se adquiere fuera de TI, que actualmente constituye la mayor parte de la IA en la sombra.
El enfoque realista combina ambos, sabiendo que la combinación tampoco es completa. Un registro bien mantenido es una aproximación que se acerca más a la realidad que la ausencia de registro, no una garantía de que todo está incluido.
También hay una trampa organizativa: un segundo proceso que se coloca junto a un proceso existente a menudo simplemente se ignora, aunque en el papel sea obligatorio. Por qué ocurre esto y cómo evitarlo se describe en la página sobre por qué se ignora un segundo proceso junto al existente. La lección subyacente es que la actualización se mantiene con mayor facilidad cuando se integra en las rutinas existentes, no cuando se convierte en una obligación nueva y separada.
Un registro actualizado depende, en última instancia, de personas que entienden por qué es útil informar y qué ocurre con su notificación. Esto se relaciona con un aspecto más amplio sobre lo que significa la alfabetización en IA para los empleados: quien no sabe qué cae bajo la definición de IA, tampoco informa lo que debería informarse. Y quien teme una sanción, no informa en absoluto — tampoco lo que sí cae bajo la definición.
A esto también pertenece la conversación sobre los datos empresariales. Un empleado que pega datos de clientes o documentos internos en una ventana de chat gratuita a menudo no está usando una herramienta prohibida en sentido estricto — esa herramienta puede que no figure en ningún sitio como "prohibida". El riesgo está en el uso, no solo en la presencia en una lista. Qué hacer al respecto se describe en la página sobre qué hacer con los datos empresariales en una ventana de chat gratuita.
Un último elemento de un registro vivo es la supervisión de lo que ya contiene. Una aplicación que en el momento de la clasificación requería un control humano puede perder ese control en la práctica sin que el registro lo refleje. Lo que significa la supervisión humana en la práctica, y en qué se diferencia de la supervisión sobre el papel, se describe en la página sobre qué implica la supervisión humana en la práctica.
Un registro actualizado indica qué está en funcionamiento y con qué riesgo. No indica qué parte del trabajo subyacente realmente hace o asume la IA, y qué parte sigue en manos de las personas. Esa pregunta se sitúa un nivel más profundo: no qué herramientas existen, sino cuánto de una tarea concreta puede asumir la IA. El escáner de trabajo de FTE TO AI calcula esto por tarea, y ofrece así una imagen que complementa el registro — uno indica lo que existe, el otro lo que realmente hace.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.