Qué significa gobernar la inteligencia artificial

Gobernar la IA no consiste en disponer de una política de uso. Consiste en que las decisiones adoptadas lleguen efectivamente a quien utiliza las herramientas, y en que la constancia de su aplicación llegue de vuelta a quien tiene que responder de ellas.

Esta página explica cómo se estructura ese trabajo, con ejemplos de situaciones reales.

Una pregunta que conviene poder responder

Conviene empezar por el final. Supongamos que un cliente remite mañana un cuestionario de proveedor con la siguiente pregunta:

Las respuestas que encontramos con más frecuencia son tres: un párrafo genérico de intenciones, una política que alguien redactó y que nadie aplica, o ninguna respuesta.

Gobernar la IA consiste en poder contestar esa pregunta con documentación que existe, con fechas y con constancia de quién adoptó cada decisión. Lo que sigue explica cómo se llega a esa situación.

«Describa los controles que aplica sobre el uso de inteligencia artificial en la prestación del servicio.»

Por qué una política de uso no es suficiente

La mayoría de organizaciones aborda esta cuestión redactando una política de uso de IA. Es un paso correcto y necesario, pero conviene entender qué resuelve y qué no.

Una política establece qué usos se admiten. No determina quién decide cuando se plantea un caso que la política no había previsto, no define el modo en que se comprueba su cumplimiento y no genera por sí misma evidencia alguna de que se haya aplicado.

Dicho de otro modo, cubre una de las cuatro capas sobre las que se sostiene el gobierno de la IA.

Las cuatro capas

Cada capa responde a una pregunta distinta. Despliega cada una para ver en qué consiste, un ejemplo de aplicación y qué ocurre cuando no funciona.

Establecer la dirección, los límites y los roles. Determinar qué usos se admiten y cuáles no, y supervisar que la decisión se respeta. Es una función de dirección, no de ejecución.

Ejemplo: Decidir que ningún sistema de IA evaluará a una persona sin revisión humana previa, y designar quién resuelve las dudas que se planteen sobre esa regla.
Cuando falta: Cada departamento decide por su cuenta, con buena disposición pero con criterios distintos, y ninguna decisión queda registrada.

Corresponde a la organización y no es delegable.

El sistema que convierte una decisión en un procedimiento repetible: políticas, procedimientos, registros y asignación de responsables. Es lo que ISO/IEC 42001 denomina sistema de gestión.

Ejemplo: El inventario de herramientas, el procedimiento de alta de una herramienta nueva, la ficha de riesgo de cada proveedor y el registro de decisiones adoptadas.
Cuando falta: Las decisiones se adoptan y se olvidan. Cada caso vuelve a discutirse desde el principio porque no consta qué se resolvió la vez anterior.

La aplicación efectiva. Quien utiliza la herramienta, ejecuta el control y deja constancia. Sin esta capa, el sistema existe documentalmente pero no en la práctica.

Ejemplo: Un responsable de marketing solicita autorización para probar una herramienta nueva y recibe respuesta razonada en un plazo conocido.
Cuando falta: Existe una política aprobada que quienes utilizan la IA no conocen, no comprenden o no les resulta practicable seguir. Es la situación más frecuente y también la de corrección más rápida.

Verificación independiente de las tres capas anteriores. Es lo que permite pasar de afirmar el cumplimiento a poder acreditarlo ante un tercero.

Ejemplo: Comprobar si el procedimiento de alta se aplicó efectivamente en las once herramientas incorporadas durante el último trimestre.
Cuando falta: La organización puede afirmar que cumple, pero no demostrarlo. Además, sin esta capa las deficiencias de las tres anteriores no se detectan ni se corrigen.

Cómo se traduce en una organización concreta

Una empresa industrial de ciento veinte personas. El departamento de marketing genera imágenes de producto con IA. Recursos humanos utiliza el módulo de cribado incorporado en su software de selección. Administración resume contratos en un asistente conversacional. El área de sistemas no tiene constancia de ninguna de las tres cosas.

Con la capa de gobierno

Existe una decisión escrita sobre qué usos se admiten y está designado quién resuelve las dudas que surjan.

Con la capa de gestión

Las tres herramientas figuran en el inventario, con su ficha de proveedor y su nivel de riesgo. El cribado de candidaturas está identificado como caso de exigencia reforzada.

Con la capa de operación

Quienes las utilizan han recibido formación específica y administración protege la información sensible de los contratos antes de procesarlos.

Con la capa de aseguramiento

Con periodicidad trimestral se comprueba que lo anterior sigue cumpliéndose y queda constancia de la comprobación.

Cuando llega el cuestionario del cliente, la respuesta ya está documentada.

Por dónde suele empezarse

No es necesario abordar las cuatro capas simultáneamente, y en la práctica no se hace así. El punto de partida habitual consiste en determinar con precisión qué herramientas se están utilizando.

Nota terminológica

En castellano, los términos gobierno y gobernanza traducen la misma palabra inglesa: governance. Ni el Reglamento de IA ni las normas ISO los distinguen de forma sistemática, y las traducciones oficiales emplean uno u otro según el texto.

En AuditorIA los diferenciamos por precisión expositiva. Denominamos gobernanza al conjunto —las cuatro capas— y gobierno a la primera de ellas, aquella en la que se decide y se responde. Se trata de una convención de trabajo, no de una definición normativa.

Cuando citamos una norma empleamos su terminología, no la nuestra.