Un consejo recibe informes periódicos: financieros, operativos, sobre riesgos que ya tienen un lugar en la estructura existente. Un informe sobre IA que se sitúa aparte, con su propio ritmo y su propio formato, se pasa por alto en la práctica. No porque el tema no sea importante, sino porque un segundo proceso junto a uno ya existente exige un esfuerzo aparte que compite con todo lo que ya está en la agenda. Lo que sí se lee es lo que encaja dentro de la línea de reporte existente: el mismo ritmo, la misma extensión, el mismo lugar en la reunión.
Un informe al consejo sobre IA no necesita un inventario técnico completo. El consejo necesita una respuesta a un número limitado de preguntas: qué aplicaciones de IA existen, en qué categoría de riesgo se ubican, qué ha cambiado desde el informe anterior, y si ha habido escalaciones. Este último punto es donde la mayoría de los informes quedan en blanco — no porque no ocurra nada, sino porque no existe una ruta por la que una señal llegue al consejo. Sin unos escalatiepaden die werken que funcionen, un informe es una fotografía sin historia: muestra lo que hay ahora, no lo que ha fallado o casi ha fallado en el camino.
El informe se apoya en lo que ya está registrado. Una oversight-besluitenlijst con quién aprobó qué es la fuente a partir de la cual se resume la página, no un documento aparte que existe por su cuenta. Lo que aparece en la página es una condensación de decisiones ya tomadas; no es una nueva evaluación que el consejo deba hacer por su cuenta a partir de datos en bruto.
Las organizaciones ya tienen una estructura de riesgo: un comité de auditoría, un comité de riesgos, un lugar fijo en la agenda del consejo para los riesgos operativos. Un informe de IA que introduce una comisión propia, un calendario propio o una plantilla propia exige a todos los que ya participan que hagan algo adicional además de lo que ya hacen. Ese trabajo adicional se posterga en cuanto la agenda se llena, y la agenda siempre se llena. El resultado es que el informe desaparece después de unas cuantas veces, no porque alguien decidiera que el riesgo de IA no es importante, sino porque nadie decidió que fuera más importante que lo que ya había.
La solución no está en poner más énfasis en el tema, sino en reducir la friccción al incorporarlo. Una página que aparece con el mismo ritmo trimestral que los demás informes de riesgo, que utiliza el mismo formato y ocupa el mismo lugar en el paquete, se lee porque leerla no exige un acto aparte. Lo que no funciona es un ciclo de gobernanza de IA independiente que corre al margen del ciclo existente — ese se ignora en cuanto llega el primer mes de mucho trabajo.
Un informe de una sola página solo puede ser breve si la estructura subyacente está completa. Presupone una visión general al estilo de wat moet een bestuurder weten over AI-risico sobre roles y responsabilidades, de modo que la página no tenga que explicar cada vez quién es responsable de qué. Presupone un inventario que no contenga solo lo que TI ha aprobado, sino también lo que los departamentos han empezado a usar por su cuenta sin informar de ello — IA en la sombra que solo se hace visible cuando las personas pueden contar sin consecuencias lo que realmente utilizan. Un informe que solo muestra la lista aprobada informa de una ficción.
La página también presupone que ocurre algo entre un informe y el siguiente: monitoring die iets oplevert en lugar de un registro que nadie consulta. Sin esa capa intermedia, la página trimestral es una sorpresa en cada edición, en lugar de un resumen de algo que se ha seguido durante todo el trimestre. Y presupone que la política subyacente no es documentación de cara al cumplimiento formal, sino een AI-beleid dat gelezen wordt por las personas que usan los sistemas a diario — porque un informe sobre el cumplimiento de una política que nadie conoce informa sobre todo de sí mismo.
La página del consejo es una condensación; la base se encuentra una capa más abajo, en quien conoce los sistemas. Lo que un CIO aporta a esto se describe en wat moet een CIO weten over AI-risico, y esas dos capas — la visión de gobierno y el conocimiento operativo — deben encajar antes de que la página de un cuarto de hora de lectura diga realmente algo sobre lo que ocurre en la organización.
Esta estructura se está construyendo, no se ofrece como un producto terminado. Quien desee el escáner que produce este inventario, esta clasificación y esta estructura de informes se incorpora a una lista de espera; está en construcción y no se vende como una herramienta lista para usar antes de que realmente lo sea.
Una vez que queda claro qué IA está en funcionamiento y en qué categoría de riesgo se ubica, surge otra pregunta, que no trata sobre riesgo sino sobre la organización del propio trabajo: qué parte de las tareas que se realizan actualmente se presta a ser asumida por IA. Ese es un cálculo aparte, construido no sobre el riesgo sino sobre las tareas. El escáner de trabajo de FTE TO AI calcula, tarea por tarea, qué parte del trabajo es apta para ser asumida, como paso siguiente en cuanto queda claro qué IA ya está presente en la organización.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.