Un proveedor suministra un paquete de contabilidad, un sistema de RR. HH. o una herramienta de atención al cliente. Existe un contrato, un acuerdo de tratamiento de datos, quizás una auditoría de seguridad. Entonces el proveedor añade en una actualización una función de IA: clasificación automática, sugerencias de texto, un chatbot al que se le da acceso a sus datos. Las notas de la versión lo llaman una mejora. Nadie en su organización ha tenido voz en ello, porque nadie sabía que se avecinaba.
Esto no es una excepción en la forma en que se entrega el software. Se ha convertido en la norma. Los proveedores compiten en funcionalidad de IA y la incorporan lo más rápido posible, a menudo como parte de una suscripción que usted ya paga. La pregunta de si esto encaja dentro de sus acuerdos existentes rara vez se plantea antes de que la función entre en producción.
Un departamento de compras evalúa a un proveedor en el momento de la adquisición. Después, la atención se desplaza hacia la factura, el tiempo de actividad y el soporte. Las actualizaciones funcionales quedan fuera de ese proceso, porque caen bajo mantenimiento, no bajo una nueva adquisición. ¿Quién debería informar de ello? El proveedor lo considera una mejora del producto. El comprador no ve la actualización, o la ve pero piensa que es asunto de otra persona. El usuario dentro de la organización nota sobre todo que un botón hace algo más inteligente y no se pregunta si detrás hay un modelo de lenguaje que procesa datos externamente.
El patrón se parece a lo que ocurre con una extensión de navegador con acceso a su correo: el acceso se concede en un momento en que nadie pensaba en IA, y a partir de ahí permanece activo sin ser detectado. En el caso de los proveedores, el problema de escala es mayor, porque no afecta a un solo empleado sino a toda una organización expuesta a través de un único contrato.
Una disposición contractual que exija la notificación de funcionalidad de IA ayuda en los contratos nuevos. En los contratos existentes esa disposición no está, y no es evidente que un proveedor la acepte con efecto retroactivo. Además, una cláusula no resuelve el problema de detección: si nadie comprueba periódicamente qué ha añadido realmente un proveedor, la notificación sigue dependiendo de la disposición del proveedor a informar por iniciativa propia.
Lo que sí funciona es una instantánea fija: un inventario periódico de qué funcionalidad de IA ofrece en este momento cada proveedor clave, desvinculado de lo que se evaluó en el momento de la adquisición. No es un instrumento jurídico sino una visión de hechos, que después puede compararse con la categoría de riesgo del proceso en el que opera el proveedor.
La misma dinámica que mantiene viva la IA en la sombra entre empleados también actúa aquí, solo que a nivel de proveedor. Quien plantea la pregunta «¿utilizan aquí IA para esto?» quiere una respuesta honesta, no una reacción defensiva del gestor de cuentas. Eso significa que la pregunta no debe formularse como preludio a la rescisión del contrato, sino como parte de un proceso fijo en el que la respuesta no tiene ninguna consecuencia salvo la clasificación. Vea cómo funciona esto con los empleados que usan una herramienta que nadie ha aprobado: la información útil solo surge cuando hacer preguntas se desliga de castigar.
Una lista de proveedores es un punto de partida, no un punto final. Para cada proveedor con acceso a datos de producción, datos de clientes o datos de personal, es relevante saber si ahora incorpora funcionalidad de IA, qué hace esa funcionalidad con los datos, y si ese uso encaja dentro de la misma categoría de riesgo para la que el proveedor fue aprobado originalmente. Un proveedor que hace cinco años se evaluó como de bajo riesgo porque solo facturaba, puede ahora ejecutar un módulo que clasifica facturas automáticamente basándose en un modelo de lenguaje entrenado externamente. Eso es otra categoría de riesgo, aunque en la factura figure el mismo nombre.
Este inventario no debería estar separado del resto de la gobernanza de IA de una organización. La misma clasificación que se aplica a herramientas construidas internamente o a una configuración piloto que nunca se desactivó, debería aplicarse también a lo que introducen los proveedores. Una sola visión de conjunto, una sola escala de riesgo, sin importar si la IA se construyó internamente, la trajo un empleado, o la añadió un proveedor sin anunciarlo.
En cuanto queda claro qué IA entra a través de los proveedores, surge una pregunta posterior que va más allá del riesgo: qué hace realmente esa IA con el trabajo que ahora realizan personas, y dónde se solapa eso con tareas que de todos modos son candidatas a la automatización. El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede ser asumida por la IA, independientemente de qué proveedor o sistema la ejecute finalmente. Eso hace que el inventario que empieza por el riesgo también sea útil para la pregunta que viene después: no solo qué está funcionando, sino qué vale realmente el trabajo.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.