El sector TIC ocupa una posición que ningún otro sector tiene: aquí la IA no solo se utiliza, aquí también se construye, se integra y se revende. Un desarrollador que conecta un modelo de lenguaje a una aplicación, un consultor que incorpora una función de IA en un proyecto de cliente, un equipo que ajusta (finetunea) un modelo de código abierto: no son excepciones, es el trabajo diario. La relación entre lo que la organización decide por sí misma y lo que un empleado o equipo individual añade por su cuenta es distinta en este sector que en un banco o una empresa constructora. Mientras que en otros sectores la IA es un añadido a procesos existentes, en el sector TIC la IA suele formar parte del producto mismo. Eso significa que la gobernanza no trata solo de herramientas internas, sino también de lo que hay dentro del software que se entrega a terceros.
En muchos sectores, el departamento de TI es quien tiene visibilidad de lo que está en funcionamiento. En el sector TIC esa suposición es más débil que en otros lugares, precisamente porque casi todo el mundo tiene por sí mismo el conocimiento técnico para solicitar una clave de API, descargar un modelo o incorporar una función de IA en una base de código sin que eso vaya precedido de una solicitud, una licencia o un proceso de aprobación. Un desarrollador que utiliza un modelo de lenguaje para generar código, un arquitecto que prueba un agente de IA en un entorno de pruebas (sandbox), un equipo de ventas que construye una demo con un modelo externo: esas decisiones se toman a nivel de proyecto, no a nivel directivo. Un inventario que empieza por las licencias adquiridas se pierde, por tanto, una parte sustancial de lo que realmente ocurre. La pregunta no es si existe IA en la sombra, sino cuánto del entorno de producción depende ya de ella sin que nadie lo haya registrado.
Los medios técnicos para detectar el uso de IA existen, pero a menudo solo ven lo que pasa por las redes corporativas y los dispositivos gestionados. En un sector donde gran parte del trabajo se realiza en entornos de desarrollo propios, cuentas personales y proyectos de clientes con infraestructura propia, eso ofrece una imagen limitada. La información más completa proviene de las personas que hacen el trabajo. Eso solo funciona si la pregunta se plantea sin consecuencias: alguien que sabe que una respuesta honesta conlleva una sanción no responderá con honestidad. Cómo evitar que los empleados utilicen una herramienta que nadie ha aprobado no empieza, por tanto, con el control, sino con una invitación a informar de lo que ya está ocurriendo. Es un orden distinto al que la mayoría de las organizaciones tiene por costumbre, y en el sector TIC ese orden es especialmente importante, porque la desconfianza entre los equipos de desarrollo y los departamentos de cumplimiento suele estar ya presente.
No todo uso de IA en el sector TIC requiere la misma atención. Un modelo que resume documentación interna es diferente de un modelo que participa en decisiones sobre derechos de acceso o que funciona como parte de un producto entregado a un cliente. La clasificación por rol y nivel de riesgo no es, por tanto, algo que ocurra una sola vez, sino algo que debe evolucionar junto con lo que un equipo construye. Es una dinámica distinta a la de sectores con procesos más estables, como puede leerse en las descripciones de la gobernanza en los servicios financieros o el sector energético, donde las aplicaciones de IA suelen permanecer dentro de una estructura operativa fija. En el sector TIC, la aplicación a veces cambia más rápido de lo que la clasificación puede seguir, lo que significa que la propia estructura de gobernanza debe tener espacio para la reevaluación, no solo para la aprobación única.
Un riesgo que adquiere un carácter propio en el sector TIC es el uso de herramientas de IA gratuitas o públicas para trabajo que en realidad es confidencial: código fuente, datos de clientes, arquitectura interna, condiciones contractuales. Un desarrollador que hace revisar rápidamente un fragmento de código por un modelo público no piensa en lo que ocurre con esa entrada. Cómo evitar que los datos de la empresa acaben en una ventana de chat gratuita describe ese mecanismo, y es más relevante en este sector que en la mayoría de los demás, porque los datos que se filtran a menudo no son solo datos personales, sino también propiedad intelectual y código de clientes. Una estructura de gobernanza que no regula nada al respecto deja el riesgo en manos del empleado individual, mientras que la exposición recae en la organización.
Un directivo o un General Counsel en el sector TIC suele contar ya con marcos de riesgo para la seguridad de la información, la calidad del software y la gestión de proveedores. La gobernanza de IA funciona mejor cuando se conecta con esa estructura existente que cuando se convierte en un proceso aparte que nadie reconoce. Esto se aplica aquí con más fuerza que en sectores como el sector inmobiliario o la construcción, donde la gobernanza de IA a menudo todavía empieza desde una hoja en blanco. En el sector TIC suele existir ya un lenguaje de riesgo; el trabajo consiste en ampliar ese lenguaje sin sustituirlo.
El Responsible AI Scan identifica qué IA está en funcionamiento dentro de la organización, incluyendo lo que ha surgido fuera de la lista oficial, y vincula a ello una clasificación por rol y nivel de riesgo. El resultado es un conjunto de gobernanza que se conecta con la estructura existente, no un nuevo marco al lado. La herramienta que da soporte a esto todavía está en construcción. Quien desee hacer uso de ella puede inscribirse en la lista de espera; por el momento no se ofrece nada más allá de esa inscripción.
En cuanto se hace visible qué aplicaciones de IA existen y qué nivel de riesgo corresponde a cada una, surge de forma natural la siguiente pregunta: qué parte del trabajo que actualmente todavía realizan personas es apta para dejarse en manos de esas aplicaciones. Es una pregunta distinta de la gobernanza, y la responde el escáner de trabajo de FTE TO AI, que calcula, por tarea, qué parte del trabajo puede asumir la IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.