Un General Counsel no se juzga por lo que sale mal con la IA. Se le juzga en el momento en que resulta que la organización no pudo demostrar que lo sabía, o peor, que podría haberlo sabido y no hizo nada. Esa es la diferencia entre un incidente y una negligencia. Lo primero le ocurre a una organización. Lo segundo se le atribuye.
La pregunta jurídica —qué está permitido, qué es obligatorio, qué plazo aplica— es importante, pero llega después de otra pregunta. Esa pregunta es: qué estamos usando en realidad. No lo que se ha adquirido, no lo que figura en la lista de proveedores de TI, sino lo que las personas dejan que participe en la práctica en decisiones, redacción o evaluación. Sin respuesta a esa pregunta, cualquier asesoramiento jurídico es un asesoramiento sobre una situación que usted no conoce.
Eso hace incómoda la posición del General Counsel. Se espera que usted evalúe riesgos a partir de un inventario que, por lo general, no existe, o que consiste únicamente en lo que ha sido aprobado —lo cual, por definición, no es lo que alguien ha empezado a usar sin autorización.
"No necesitamos una política de IA porque no usamos IA" no es una respuesta que se sostenga. Es una suposición, y las suposiciones son precisamente lo que un supervisor, un juez o un periodista no aceptan después de los hechos. Tampoco acepta usted una lista de herramientas aprobadas como una imagen completa: esa lista dice algo sobre lo que se ha adquirido, nada sobre lo que se usa.
Lo que sí necesita es una distinción entre tipos de uso. Un modelo de lenguaje que resume notas internas conlleva un riesgo distinto al de un sistema que influye en una decisión de contratación o en una evaluación de crédito. Sin una clasificación por función y nivel de riesgo, cualquier debate sobre el riesgo de IA es un debate en abstracto, y los debates en abstracto no conducen a posiciones defendibles.
La IA en la sombra —el uso que surge fuera de toda aprobación— no es algo que un departamento de TI detecte con un escaneo de red. Las personas usan IA en su propio portátil, en su navegador, con su propia cuenta. Ese uso deja pocas huellas en un sistema que no está buscando eso.
Lo que sí funciona es preguntar. Pero solo si la respuesta no tiene consecuencias para quien la da. Alguien que usa IA para preparar un borrador de contrato, o para que le resuman un análisis de riesgo, no lo comunica si esa comunicación puede acarrear una amonestación. El inventario que usted necesita solo se logra si hacer preguntas no equivale a rendir cuentas por ello.
Eso es un equilibrio precario para una función jurídica. Usted está acostumbrado a evaluar el riesgo a partir de lo que puede salir mal. Aquí, primero debe lograr que las personas se atrevan a contar lo que ya están haciendo, antes de poder evaluar si eso constituye un riesgo.
El núcleo de su posición no es evitar todo riesgo —eso no es realista ni se espera de usted. El núcleo es la demostrabilidad: poder mostrar que la organización sabía qué usaba, había evaluado qué riesgo conllevaba eso, y contaba con una estructura para actuar en consecuencia. Ese es un encargo distinto al de controlar resultados. Es el control del proceso mediante el cual se vigilan los resultados.
Esa demostrabilidad no tiene que apoyarse en un marco nuevo. La mayoría de las organizaciones ya cuentan con una estructura de riesgo —para riesgo financiero, riesgo operativo, cumplimiento normativo. El riesgo de IA debe integrarse ahí, no quedar aparte como un proceso independiente que nadie conoce ni mantiene. Un conjunto de gobernanza que se conecta con lo que ya existe, se usa. Una estructura separada se olvida después del primer trimestre.
Esta posición describe el mecanismo: inventariar, clasificar, conectar con la estructura existente, hacerlo demostrable. No describe qué legislación o normativa aplica a su organización, qué plazos rigen, ni qué obligación entra en vigor en qué momento. Ese contenido cambia, se amplía, lo explica quien está especializado en ello. Lo que aquí cuenta es la estructura dentro de la cual ese contenido puede encajar en el momento en que usted lo necesite.
Las preguntas que usted plantea coinciden con lo que un gestor de riesgos debe saber sobre el riesgo de IA y con la posición de un responsable de cumplimiento que debe poder demostrar el uso de IA. También el directivo que rinde cuentas ante el consejo de supervisión se beneficia del mismo inventario en el que usted basa su propia evaluación —es la misma base factual, observada desde otra responsabilidad.
El Responsible AI Scan que ejecuta este mecanismo —inventariar, clasificar, conectar con la estructura de riesgo existente— está en desarrollo. Quien lo necesite ahora puede inscribirse en la lista de espera. Todavía no hay un servicio que ofrecer; hay una dirección en la que esto se está construyendo, y esa dirección es esta.
Una vez que queda claro qué IA está en funcionamiento y qué riesgo conlleva, surge otra pregunta, que queda fuera de su propia responsabilidad pero que se conecta con ella: qué parte del trabajo subyacente está esa IA asumiendo en realidad. Esa es una pregunta que no trata del riesgo, sino de la organización del trabajo, y la responde el escaneo de trabajo de FTE TO AI, que calcula por tarea qué parte es susceptible de ser asumida.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.