El departamento de TI registra lo que se ha adquirido, instalado o autorizado. Esa es información útil, pero responde a una pregunta distinta de la que en realidad plantea un consejero, un CIO o un General Counsel. La lista de TI muestra lo que ha sido aprobado. La pregunta que importa es qué se utiliza.
Entre esas dos cosas hay un espacio. Un empleado que usa una herramienta de IA gratuita en el navegador no queda registrado en ningún sitio. Un equipo que consulta un modelo de lenguaje a través de una extensión del navegador no aparece en un resumen de licencias. Un departamento que ha incorporado un chatbot en una macro de hoja de cálculo no figura en un registro de activos. Nada de esto va necesariamente en contra de las normas. Simplemente resulta invisible para la lista en la que confían el consejo de administración y la supervisión.
La brecha entre la lista y la práctica no surge porque alguien sea negligente. Surge porque las aplicaciones de IA se han vuelto fácilmente accesibles, a menudo sin proceso de adquisición, sin factura, sin intervención de TI. Un empleado que quiere realizar una tarea más rápido busca una solución y a menudo la encuentra en pocos minutos, fuera de cualquier canal formal. Ese comportamiento es previsible y genera un problema real: nadie con visión de conjunto de la organización sabe entonces qué IA está realmente trabajando con qué datos.
La lista de TI no carece de valor. Es el punto de partida de un inventario, no el punto final. Lo que revelan los datos de compras y licencias muestra que las facturas y los contratos a menudo revelan más que el propio registro de activos: una suscripción de prueba que se ha seguido renovando, una licencia contratada por un departamento sin consultar a TI, una conexión API que se factura mensualmente sin que exista una aprobación formal de base. Además, hay señales de TI que son útiles para detectar la IA en la sombra: tráfico de red hacia dominios de IA conocidos, nuevas extensiones del navegador, picos inusuales en el tráfico de datos hacia servicios externos. Ninguna de estas fuentes es completa por sí sola. Juntas ofrecen una imagen que la lista oficial no proporciona.
Las señales técnicas muestran que algo se utiliza, pero rara vez muestran por qué o para qué exactamente. Ese contexto solo se obtiene preguntándolo a las personas que lo utilizan. Eso solo funciona si la pregunta no se plantea como una investigación. Quien teme una sanción no da una respuesta honesta, o no responde en absoluto. Cómo preguntarlo a los empleados sin represalias describe cómo plantear esa pregunta de manera que las personas cuenten lo que realmente usan, y por qué, sin sentir que se están delatando a sí mismas.
Un inventario es más que una lista de aplicaciones. Por cada aplicación, se documenta: quién la utiliza, para qué tarea, con qué datos, y si el resultado influye en una decisión que tiene consecuencias para alguien fuera de la organización. Esta última pregunta determina el nivel de riesgo y, con ello, qué requisitos de gobernanza se aplican. Qué debe documentar por cada aplicación describe ese formato en detalle. Para organizaciones con varios departamentos, sedes o filiales, se añade una capa adicional: la misma aplicación puede tener un impacto bajo en un departamento y afectar a una decisión sobre clientes en otro. Cómo construir un inventario de IA en una organización con varias unidades profundiza en esa escala, y en por qué la lista de TI se queda aún más atrás de la realidad en ese contexto que en el de un solo departamento.
Un inventario construido a partir de varias fuentes —la lista de TI, los datos de compras, las señales técnicas y las conversaciones con los empleados— ofrece a un consejero algo con lo que puede dar cuenta de lo que ocurre, en lugar de confiar en un registro que sabe incompleto. Esto no garantiza que todo esté identificado; el uso invisible nunca puede excluirse por completo. Sí constituye una base demostrablemente construida, con un método claro, en lugar de una lista que existe por casualidad.
Un inventario muestra qué aplicaciones de IA existen y quién las utiliza. No muestra cuánto del trabajo subyacente asumen realmente esas aplicaciones, ni cuánto margen queda todavía para transferir tareas. Esa es otra pregunta, con otro instrumento: el escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede asumir la IA, a partir de lo que esa tarea realmente implica en lugar de a partir del nombre del puesto.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.