Un empleado pega un fragmento de texto en una ventana de chat gratuita porque funciona más rápido que el sistema interno. Un equipo se suscribe a una herramienta de IA porque la solicitud para algo oficial tardaría semanas. Un proveedor añade funcionalidad de IA a un software que lleva años en uso, sin que se haya mantenido una conversación al respecto. Ninguna de estas personas intenta ocultar nada. Están intentando hacer su trabajo.
Esa es la esencia de la IA en la sombra: no surge por mala voluntad, sino por una brecha entre lo que la gente necesita y lo que ofrece el proceso formal. Mientras esa brecha exista, la IA en la sombra seguirá surgiendo, sin importar cuántas políticas se redacten.
La mayoría de las organizaciones tienen un listado de software aprobado. Ese listado es un punto de partida, no un reflejo de la realidad. Lo que la gente realmente usa casi siempre va por delante: la pregunta de cómo evitar que los datos de la empresa acaben en una ventana de chat gratuita ilustra con qué facilidad una herramienta puede quedar fuera de todo control. Lo mismo ocurre con un departamento que, por iniciativa propia, contrata una suscripción porque la vía habitual se percibe demasiado lenta, o con una extensión de navegador que obtiene acceso al correo sin que exista una aprobación específica para ello. Ninguna de estas situaciones figura en una lista de TI. Pero existen.
Existe la tendencia a tratar la IA en la sombra como un problema de cumplimiento: prohibir, bloquear, sancionar. Eso resulta contraproducente. Quien sabe que una respuesta honesta conlleva un problema, deja de dar respuestas honestas. La herramienta no desaparece, se vuelve más invisible. Justo lo contrario de lo que necesita una organización.
Una segunda razón por la que no se resuelve por sí sola: la gobernanza existente suele estar construida para software que se compra e instala, no para un servicio que alguien abre en un navegador y abandona al día siguiente. Una configuración de prueba que en su día pretendía ser temporal muestra cómo algo pequeño, sin un momento claro de evaluación, puede prolongarse durante años sin que nadie se sienta responsable de ello. Sin un proceso que detecte estructuralmente este tipo de uso, permanece bajo el radar, por muy buenas que sean las intenciones.
La única forma de saber qué está ocurriendo es preguntarlo. No como control, sino como inventario. Los empleados que saben que una respuesta honesta no desemboca en una conversación con Recursos Humanos, dan esa respuesta. Esto requiere un tono y un proceso que dejen claro de antemano: esto trata de obtener una visión general, no de sancionar a nadie.
A esto se suma también la atención a la forma en que se colocan nuevos procesos junto a los existentes. Un segundo proceso que se sitúa junto al existente sin que el primero se adapte o se retire, suele ser ignorado, simplemente porque la gente se aferra a su costumbre. Un inventario que se presenta como una obligación adicional encima del trabajo recibe el mismo trato.
Una vez que queda claro qué se utiliza realmente, surge la siguiente pregunta: qué hace esa herramienta y qué riesgo conlleva. Una herramienta que resume texto para uso interno requiere algo distinto de una herramienta que participa en la decisión de aceptar clientes o en la evaluación del personal. Esa clasificación por función y nivel de riesgo es lo que convierte un inventario en algo utilizable: una base sobre la cual el consejo de administración, el CIO o el General Counsel pueden explicar qué está ocurriendo y por qué eso es defendible.
Esta capa de gobernanza se conecta con la estructura de riesgo que la organización ya tiene, no con un marco nuevo al lado. El contenido de las normas que deben cumplir las aplicaciones de IA cambia y se mantiene actualizado en otro lugar; lo que aquí importa es que la organización disponga de una forma efectiva de saber qué está en funcionamiento, quién es responsable de ello y cómo se demuestra ante el consejo de administración o el supervisor.
Una vez que queda claro qué IA se utiliza realmente y qué riesgo conlleva, surge de forma natural otra pregunta: qué parte del trabajo podría en realidad asumir una aplicación de IA, y qué parte no. Es una pregunta distinta a la de la aprobación y la supervisión, pero que se deriva lógicamente de ella. El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede ser asumida por la IA, basándose en lo que realmente implica una función. Mientras que el Responsible AI Scan pone orden en lo que ya está en funcionamiento, el escáner de trabajo muestra lo que aún se puede ganar.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.