Una política de IA que se coloca como documento aparte junto a la política existente, en la práctica no se lee. No porque los empleados sean reticentes, sino porque un segundo proceso junto a un proceso existente casi siempre pierde. Quien ya tiene un marco de riesgos, un código de conducta y una línea de escalamiento, no va a consultar un sistema paralelo para una tecnología específica. La política de IA que sí funciona es la que utiliza visiblemente el mismo marco que el resto de la organización ya conoce.
Toda organización con cierto tamaño ya cuenta con marcos para riesgo, compras, seguridad de la información y conducta. Una política de IA que se sitúa por separado introduce un nuevo lenguaje, nuevos roles y un nuevo lugar donde buscar. Esa es precisamente la razón por la que, tras su lanzamiento, se deja de lado. Los empleados siguen el camino de menor resistencia, y ese camino pasa por la estructura que ya conocen. Una política que exige una nueva forma de trabajar junto a la antigua, rara vez gana esa competencia.
La solución no es un documento mejor escrito. Es un documento que no reclama un lugar nuevo, sino que utiliza el lugar existente. Un riesgo de IA se trata entonces como riesgo, con el mismo propietario, la misma línea de escalamiento y el mismo formato de informe que cualquier otro riesgo. Quien quiera fundamentar esto, encuentra el razonamiento en la página sobre conectar con la estructura de riesgos existente en lugar de un marco nuevo al lado.
Una política de IA que funciona no contiene una enumeración de lo que está permitido y lo que no por sistema. Eso cambia demasiado rápido y queda obsoleto en un año. Contiene, en cambio, una serie de elementos fijos que no dependen de qué modelo o proveedor se utilice:
Estos cuatro elementos no forman conjuntamente un sistema de gobernanza de IA aparte, sino una especificación del sistema de riesgos que ya existe. Esa es la diferencia entre una política que se lee y una política que se queda en una carpeta.
Integrar una política tiene poco sentido si no se sabe exactamente qué hay que integrar. La lista de TI de sistemas aprobados es insuficiente para ello: esa describe lo que se ha adquirido, no lo que se utiliza. La IA en la sombra, herramientas que los empleados han empezado a usar por su cuenta sin aprobación formal, queda fuera de eso, mientras que el riesgo no es menor por ello.
La única manera de tener visibilidad sobre esto es preguntando. Y eso solo funciona si preguntar no conduce a una sanción. Quien vincula de inmediato sanciones a la respuesta en el primer inventario, deja de recibir respuestas. Una política de IA que busca integrarse en la estructura existente empieza, por tanto, con un inventario separado de la evaluación, y solo después con la clasificación por rol y nivel de riesgo.
El consejo de administración no tiene interés en un extenso documento de política, sino en un resumen compacto de dónde están los riesgos y qué se está haciendo al respecto. Ese resumen debe tener el mismo formato que otros informes de riesgo que el consejo ya recibe, de modo que no se lea como un informe de IA aparte sino como parte del panorama de riesgo habitual. Cómo se presenta ese informe se explica en la página sobre un informe al consejo de una página que se conecta con los informes de riesgo existentes. Para quien primero quiera saber qué debe conocer en términos generales un consejero sobre el riesgo de IA antes de que se apruebe la política, está la página sobre qué debe saber un consejero sobre el riesgo de IA antes de que se apruebe una política.
Una política que se conecta con la estructura existente responde a la pregunta de quién decide sobre qué y cómo se vigila el riesgo. No responde a la pregunta de qué parte del trabajo real puede ser asumida por la IA y qué parte no. Esa pregunta se sitúa a nivel de tareas, y de eso trata el escaneo de trabajo de FTE TO AI: este calcula por tarea qué parte del trabajo puede ser asumida, de modo que la política y la práctica se basen en la misma imagen de la organización.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.