Los proveedores de servicios financieros conocen la gestión de riesgos como oficio. Ya existen marcos para el riesgo de crédito, el riesgo operacional, el riesgo de modelo y el cumplimiento normativo. Precisamente por eso la gobernanza de IA se plantea aquí de forma distinta que en sectores que empiezan de cero: la pregunta no es si existe una estructura de riesgo, sino si la IA ya está incorporada en ella o ha crecido al margen. Los modelos de puntuación crediticia, detección de fraude o segmentación de clientes suelen existir desde mucho antes de que se les pegara la etiqueta de 'IA'. La pregunta de gobernanza entonces no es: ¿construimos algo nuevo?, sino: ¿la supervisión existente sigue siendo adecuada para lo que actualmente está en funcionamiento?
La relación entre lo que conoce un comité de riesgo de modelo o un departamento de cumplimiento y lo que realmente está en uso varía mucho según la entidad. En algunas, prácticamente todo ha pasado alguna vez por un proceso de validación; en otras, junto a los modelos aprobados también funcionan herramientas que empleados o equipos individuales han empezado a usar por su cuenta, sin que nadie las haya sometido a evaluación. Qué relación se aplica a una organización concreta no puede determinarse sin haberlo examinado.
Una entidad con un marco de riesgo de modelo maduro a veces asume que la IA ya queda cubierta por él. La gestión de riesgo de modelo está construida sobre modelos estadísticos con entradas y salidas fijas. Un modelo de lenguaje que resume consultas de clientes, una herramienta que genera texto borrador para una carta de asesoramiento, o un sistema que rastrea contratos, no siempre encaja en esa definición y por ello se escapa por la brecha existente. La pregunta de gobernanza no es entonces solo qué modelos existen, sino también qué herramientas se reconocen como IA y cuáles no.
Además, el papel de la IA en el proceso resulta determinante. Una herramienta que apoya a un asesor en la elaboración de un consejo es distinta de una herramienta que genera el consejo en sí o que influye en una decisión de aceptación. La misma tecnología puede ser una ayuda en una aplicación y, en otra, un eslabón que incide directamente en una decisión hacia un cliente. Por eso es necesaria una clasificación por función y nivel de riesgo antes de que una entidad pueda determinar qué nivel de supervisión corresponde a cada aplicación.
La lista de TI de aplicaciones aprobadas no es lo mismo que lo que realmente se usa. Los empleados de la prestación de servicios financieros trabajan con expedientes de clientes, datos de transacciones e información de asesoramiento confidencial, y precisamente ese grupo no es inmune a pegar un texto en una ventana de chat gratuita para obtener más rápido un resumen o una respuesta preliminar. Cómo se presenta este riesgo en la práctica y qué se puede hacer al respecto se describe en el enfoque contra los datos empresariales en una ventana de chat gratuita.
El motivo por el que este uso permanece invisible rara vez es mala voluntad. Suele ser más bien consecuencia de la falta de claridad sobre lo que está permitido y lo que no, combinada con la presión del tiempo. Quien quiera saber qué se usa realmente debe preguntarlo directamente, y eso solo funciona si los empleados no temen una sanción por su respuesta. Un enfoque que tiene esto en cuenta se explica en la página sobre cómo identificar herramientas que nadie ha aprobado.
Otro elemento que distingue a la prestación de servicios financieros es la costumbre de rendir cuentas. Un gestor de riesgos o un General Counsel de este sector está acostumbrado a poder mostrar a un supervisor o al consejo de vigilancia cómo se ha evaluado un riesgo y qué medidas se derivan de ello. Para la IA esto significa que un inventario no puede existir al margen del marco de riesgo existente; debe integrarse en él, con la misma clasificación en clases de riesgo y las mismas líneas de reporte que ya se aplican a otras categorías de riesgo. Un conjunto de gobernanza que se coloca junto al marco existente en lugar de incorporarse en él genera trabajo adicional en la siguiente ronda de auditoría, en lugar de ofrecer un punto de apoyo.
El contenido de las normas aplicables a la IA cambia y se mantiene actualizado en otro lugar. Esta página describe el mecanismo: inventariar lo que está en funcionamiento, clasificar por función y riesgo, e incorporar el resultado en las estructuras de gobernanza existentes, de modo que una entidad disponga, ante una pregunta del supervisor o del consejo, de una respuesta acorde con la forma en que ya se gestiona el riesgo.
La tensión entre la supervisión existente y el nuevo uso de la IA no es exclusiva de la prestación de servicios financieros. Se observan patrones comparables en la forma en que se organiza la gobernanza de la IA en el sector energético, en la manera en que la construcción gestiona las aplicaciones de IA en obra y en el proceso de diseño, y en cómo el sector inmobiliario considera la IA en tasación y gestión. Lo que difiere no es el mecanismo, sino el punto donde recae el riesgo: en un banco o una aseguradora, suele ser una decisión que afecta directamente a un cliente.
Un inventario del uso de IA y la correspondiente clasificación de riesgo muestran qué está en funcionamiento y bajo qué supervisión debería quedar. No muestran lo que ese uso significa para la propia organización del trabajo: qué parte de una tarea, como la elaboración de un informe de asesoramiento, la revisión de un expediente o el resumen de una conversación con un cliente, es susceptible de ser asumida por la IA y qué parte permanece a cargo de un empleado. Esa pregunta queda fuera del alcance de un análisis de gobernanza y la responde el análisis de trabajo de FTE TO AI, que calcula, tarea por tarea, qué parte del trabajo puede transferirse a la IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.