Gran parte de la monitorización del uso de la IA surge como una iniciativa separada: un formulario nuevo, una reunión nueva, un panel nuevo. Parece completa en el momento del lanzamiento. Un año después, se ha diluido. No porque el contenido fuera malo, sino porque estaba junto a la estructura existente en lugar de formar parte de ella.
La pregunta, por tanto, no es solo qué debe monitorizarse, sino dónde aterriza esa monitorización. Un proceso que nadie tiene que recordar porque ya forma parte de una rutina que de todos modos ya funciona, sobrevive. Un proceso que exige un paso adicional a personas que ya están saturadas, se acaba omitiendo con el tiempo. Eso no es falta de voluntad. Es una consecuencia previsible de cómo las organizaciones gestionan el tiempo y la atención.
Toda organización ya tiene un ritmo: informes trimestrales, comités de riesgo, ciclos de auditoría, reuniones de equipo. Si la monitorización del uso de la IA introduce un ritmo nuevo, compite con todo lo que ya existe, y por lo general pierde. No hay un punto en la agenda para ello, ni un responsable que lo considere parte esencial de su función, ni un momento en el que surja de forma natural.
Si, en cambio, la monitorización se convierte en una pregunta que ya se formula —en el comité de riesgo existente, en el control interno existente, en la línea de reporte existente hacia la dirección—, nadie tiene que recordar nada nuevo. La pregunta "qué aplicaciones de IA se han incorporado o han cambiado" se vuelve entonces tan natural como "¿hay nuevos proveedores?" o "¿ha habido incidentes?". La forma exacta en que se produce esa conexión depende de cómo tenga usted ya organizado el enlace con la estructura de riesgo existente; esa estructura es el punto de apoyo, no algo aparte.
Un documento de monitorización que funciona es lo bastante breve como para usarse de forma repetida y lo bastante específico como para señalar algo cuando cambia. Debe contener al menos:
El valor del documento no está en su exhaustividad el primer día. Eso rara vez es viable, ni tampoco es necesario. El valor está en que se mantenga actualizado, y en que mantenerlo actualizado no exija un esfuerzo adicional sobre lo que ya se hace.
La monitorización depende de lo que las personas están dispuestas a comunicar. En el momento en que comunicar equivale a arriesgarse a que se les pida cuentas por algo, la información se detiene. Alguien que completa una tarea con una herramienta de IA más rápido de lo esperado no lo comunicará si la consecuencia es la retirada de presupuesto o una conversación incómoda. La lista sigue entonces siendo formalmente completa y sustancialmente vacía, precisamente el problema que perpetúa la IA en la sombra.
La consecuencia es que la monitorización solo funciona si las preguntas se plantean sin rendición de cuentas asociada. No porque el uso deba quedar sin consecuencias, sino porque el primer paso —saber qué está ocurriendo— requiere una actitud distinta del segundo paso —evaluar si es adecuado. Quien hace coincidir esos dos pasos no obtiene una respuesta honesta en ninguno de los dos.
Esa distinción es también donde se cruzan la gobernanza y la rendición de cuentas. La visibilidad para la dirección no tiene que significar que cada aplicación individual se ponga sobre la mesa; se trata de un nivel de reporte que permita formar un juicio sin perderse en el detalle, tal como se describe en un informe a la dirección que cabe en una página. Lo que hay debajo de eso —el registro de decisiones sobre aplicaciones concretas— pertenece más bien a una lista de decisiones de supervisión que al documento que se eleva hacia arriba.
Que un documento de política se lea o no es una pregunta similar: un texto que nadie consulta ofrece tan poco sostén como un proceso de monitorización que nadie completa. Véase una política de IA que se lee. Y para quien se pregunte qué parte de esta responsabilidad corresponde a la dirección y qué parte a la gobernanza de TI, existe una distinción entre lo que un consejero debe saber sobre el riesgo de la IA y lo que un CIO debe saber sobre el riesgo de la IA: ambas preguntas requieren distintos niveles de detalle dentro del mismo proceso de monitorización.
Una estructura de monitorización conectada con lo que ya existe produce, en algún momento, una imagen fiable de qué aplicaciones de IA están en uso y para qué. Ese inventario es una pregunta distinta de cuánto del trabajo subyacente realiza realmente la IA, y con qué efecto. Quien quiera calcular esto por tarea —qué parte de una función o proceso puede transferirse a la IA, a partir de las tareas tal como se ejecutan hoy— lo encuentra en el escaneo de trabajo de FTE TO AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.