La Inteligencia Artificial avanza más rápido que la capacidad de muchas organizaciones para gobernarla.

Mientras las áreas de negocio incorporan asistentes generativos, modelos predictivos, automatizaciones y agentes inteligentes, los Comités de Riesgos continúan recibiendo reportes diseñados para tecnologías tradicionales. Analizar comportamiento del pasado.

Se informa el número de proyectos, el avance de implementación, los beneficios esperados y, en algunos casos, el porcentaje de precisión del modelo. Sin embargo, rara vez se profundiza en la responsabilidad, la trazabilidad, la calidad de los datos, la supervisión humana o los mecanismos para detener una solución cuando comienza a comportarse fuera de lo esperado.

El problema no es únicamente tecnológico. Es un problema de gobierno y de calidad de las preguntas.

Supervisar IA no es supervisar software tradicional

Un sistema tradicional ejecuta reglas previamente programadas. Un modelo de Inteligencia Artificial puede generar resultados basados en patrones, probabilidades y datos que cambian con el tiempo.

Esto introduce riesgos diferentes:

• Resultados inconsistentes.
• Sesgos.
• Falta de explicabilidad.
• Uso indebido de información.
• Degradación del modelo.
• Dependencia de terceros.
• Decisiones fuera del propósito autorizado.
• Respuestas incorrectas o no confiables.
• Uso no controlado por colaboradores.
• Automatización de decisiones sensibles.

Por ello, no basta con preguntar si el sistema está disponible, si pasó pruebas técnicas o si cumple con el cronograma.

La supervisión debe enfocarse en el comportamiento del modelo, sus impactos y los controles que mantienen su uso dentro de límites aceptables.

La primera pregunta: ¿para qué estamos usando IA?

Muchas organizaciones no cuentan con un inventario completo de sus casos de uso.

Algunas soluciones son implementadas formalmente. Otras aparecen a través de herramientas contratadas por áreas específicas, funciones incorporadas en plataformas existentes o aplicaciones utilizadas directamente por los colaboradores.

El Comité debería conocer:

• Qué modelos se encuentran activos.
• Qué procesos soportan.
• Qué decisiones influyen o automatizan.
• Qué datos utilizan.
• Qué nivel de autonomía tienen.
• Qué terceros participan.
• Qué impacto podrían generar si fallan.

Sin un inventario confiable, no existe una supervisión real.

La organización no puede gobernar lo que no conoce.

¿Quién es responsable por cada modelo?

Una de las preguntas más importantes es también una de las menos formuladas.

Cada solución de IA debería contar con un propietario claramente identificado. Este responsable debe conocer el propósito del modelo, aprobar su uso, supervisar sus resultados y responder cuando se detectan desviaciones.

El Comité debería evitar aceptar respuestas ambiguas como “es responsabilidad de Tecnología” o “el modelo pertenece al proveedor”.

Tecnología puede administrar la plataforma. El proveedor puede haber desarrollado la solución. Sin embargo, el proceso de negocio que utiliza el modelo debe tener un propietario interno.

Las preguntas clave son:

• ¿Quién aprobó el caso de uso?
• ¿Quién acepta el riesgo residual?
• ¿Quién revisa el desempeño?
• ¿Quién autoriza cambios?
• ¿Quién responde ante un incidente?
• ¿Quién puede suspender el modelo?

Si estas responsabilidades no están definidas, existe un vacío de gobierno.

¿Qué decisiones puede tomar la IA por sí sola?

No todos los casos de uso tienen el mismo nivel de riesgo.

Un asistente que resume documentos no presenta la misma exposición que un modelo que rechaza operaciones, prioriza clientes, evalúa créditos, detecta fraude o recomienda acciones sobre personas.

El Comité debe conocer el nivel de autonomía de cada solución:

• ¿La IA solo genera recomendaciones?
• ¿Una persona valida el resultado?
• ¿La decisión se ejecuta automáticamente?
• ¿Existen límites de monto, volumen o criticidad?
• ¿Qué decisiones están prohibidas?
• ¿Cuándo se requiere intervención humana?

A mayor autonomía, mayor debe ser el nivel de control.

¿La supervisión humana es real o solamente formal?

Muchas organizaciones afirman que sus modelos cuentan con supervisión humana. Sin embargo, en la práctica, el colaborador puede limitarse a aceptar automáticamente las recomendaciones del sistema.

La supervisión efectiva exige que la persona:

• Comprenda el contexto.
• Tenga acceso a información suficiente.
• Pueda cuestionar la recomendación.
• Disponga de autoridad para modificarla.
• Tenga tiempo razonable para revisarla.
• Conozca los criterios de escalamiento.

El Comité debería preguntar no solo si existe intervención humana, sino si esa intervención puede cambiar realmente el resultado.

¿Cómo sabemos que el modelo continúa funcionando bien?

Un modelo puede funcionar correctamente al momento de su implementación y degradarse posteriormente.

Los datos cambian, aparecen nuevos comportamientos, se modifican procesos y el entorno evoluciona. Por ello, el desempeño debe ser supervisado durante todo el ciclo de vida.

El Comité debería recibir indicadores sobre:

• Precisión y variación respecto de la línea base.
• Resultados corregidos por personas.
• Errores relevantes.
• Cambios en los datos de entrada.
• Decisiones atípicas.
• Incidentes.
• Reclamos relacionados.
• Excepciones.
• Uso fuera del alcance autorizado.

La ausencia de incidentes reportados no necesariamente significa ausencia de riesgo. Puede significar que no existen mecanismos adecuados para detectarlos.

¿Qué ocurrirá cuando la IA falle?

Toda solución crítica necesita mecanismos de contención y recuperación.

El Comité debería preguntar:

• ¿Puede suspenderse el modelo?
• ¿Existe un Kill Switch?
• ¿Qué proceso alternativo se utilizará?
• ¿Se puede volver a una operación manual?
• ¿Cuánto tiempo tomaría la recuperación?
• ¿Quién autoriza la suspensión?
• ¿Se han probado estos mecanismos?

La continuidad no puede depender exclusivamente de que el modelo permanezca disponible.

También debe contemplar decisiones incorrectas, comportamientos inesperados, pérdida de confiabilidad o indisponibilidad del proveedor.

¿Qué información está siendo utilizada?

La IA depende de datos, y los datos pueden introducir riesgos relacionados con calidad, privacidad, confidencialidad y cumplimiento.

El Comité debería conocer:

• Qué fuentes de información se utilizan.
• Si existen datos personales o sensibles.
• Si el proveedor puede conservar o reutilizar información.
• Si los datos tienen calidad suficiente.
• Si existe consentimiento o base legítima para su uso.
• Si se cumplen las restricciones regulatorias.
• Si la información puede salir de la organización.

El riesgo de IA comienza muchas veces antes del modelo: comienza en los datos.

¿Qué dependencias externas estamos aceptando?

Muchas soluciones dependen de proveedores cloud, modelos fundacionales, APIs, desarrolladores externos y plataformas de datos.

El Comité debería preguntar:

• ¿Qué proveedor soporta el modelo?
• ¿Qué sucedería si deja de prestar el servicio?
• ¿Existen alternativas?
• ¿Qué subcontratistas intervienen?
• ¿Dónde se procesan los datos?
• ¿Cómo se gestionan los cambios del proveedor?
• ¿Qué derechos de auditoría existen?

Una solución puede parecer interna y, al mismo tiempo, depender de múltiples terceros fuera del control directo de la organización.

Un tablero diferente para el Comité

El Comité de Riesgos necesita indicadores que permitan tomar decisiones, no únicamente observar avances.

Un tablero de IA debería incluir:

• Número de modelos activos.
• Casos de uso por nivel de criticidad.
• Modelos sin propietario.
• Modelos sin evaluación de riesgos.
• Desviaciones de desempeño.
• Incidentes y reclamos.
• Uso no autorizado.
• Dependencia de terceros.
• Excepciones de control.
• Modelos fuera del apetito.
• Acciones correctivas vencidas.
• Resultados de pruebas de contingencia.

El objetivo no es presentar más métricas, sino mostrar dónde se concentra la exposición.

Reflexión final

La supervisión de Inteligencia Artificial no exige que los miembros del Comité se conviertan en científicos de datos. Exige que comprendan los riesgos empresariales, formulen preguntas relevantes y soliciten evidencia suficiente.

Un Comité que pregunta únicamente por costos, cronogramas y beneficios supervisa presupuestos tecnológicos, sigue la gestión tradicional del riesgo.

Un Comité que pregunta por responsabilidad, autonomía, exposición de datos, controles, terceros, continuidad y capacidad de suspensión, supervisa riesgos de implementar soluciones de Inteligencia Artificial.

La diferencia es importante. La calidad del Gobierno de IA dependerá menos de cuánto conozca el Comité sobre algoritmos y más de su capacidad para identificar lo que no está siendo controlado.

El verdadero desafío no es que la Inteligencia Artificial avance demasiado rápido. Es que las preguntas del Gobierno Corporativo continúen avanzando demasiado lento.