Gobierno de IA: prepararse antes de que llegue el auditor

La adopción de inteligencia artificial en las organizaciones va varios pasos por delante de su gobierno. Marcos como el EU AI Act y la guía SR-11-7 sobre gestión de modelos ya establecen obligaciones concretas de documentación y control, y alcanzan a cualquier empresa que opere o venda en esos mercados.

1. Inventario de sistemas de IA

No se puede gobernar lo que no se conoce. Qué modelos existen, quién los opera, qué datos consumen y qué decisiones afectan. En la práctica, la mayoría de las organizaciones descubre en este paso herramientas contratadas por áreas de negocio que TI desconocía.

2. Clasificación de riesgo por caso de uso

El riesgo no es del modelo, es del uso. El mismo modelo puede ser inocuo en un asistente interno de documentación y de alto riesgo en un proceso de selección de personal o de otorgamiento de crédito. La clasificación debe hacerse caso por caso, y revisarse cuando el uso cambia.

3. Trazabilidad y explicabilidad

Los registros de decisiones automatizadas son la evidencia que pedirá el auditor. A esto se suma el control de sesgos algorítmicos y la vigilancia de la deriva del modelo: un sistema que funcionaba correctamente hace seis meses puede haber dejado de hacerlo sin que nadie lo note.

Sobre esa base se apoyan los marcos de gobernanza que ya conoce —ITIL, COBIT, ISO 27001— y los planes de continuidad y recuperación ante desastres. La gobernanza de IA no sustituye lo que ya tiene: se integra.