Definir el apetito de riesgo de IA y la responsabilidad
El apetito de riesgo de IA debería ir más allá de las declaraciones genéricas y especificar límites concretos: qué decisiones pueden automatizarse por completo frente a las que requieren revisión humana, los estándares de explicabilidad aceptables por caso de uso y líneas rojas, como no utilizar jamás ciertas categorías de datos con independencia de su valor predictivo. Esta especificidad ofrece a la dirección una guía accionable y al consejo un criterio concreto con el que medir si la práctica real se ajusta al apetito declarado.
La responsabilidad debería ser inequívoca en cada nivel del inventario de IA: un propietario de negocio identificado responsable del valor y el riesgo del caso de uso, una función de riesgo de modelo o validación responsable del contraste independiente y, cada vez más, una función o comité dedicado de gobernanza de IA que coordine entre casos de uso que de otro modo podrían ser gobernados de forma inconsistente por distintas líneas de negocio. Los consejos deberían preguntar quién es el propietario de cada sistema de IA de alto riesgo, identificando a la persona y no solo la función, durante las revisiones de supervisión.
Informes y escalado al consejo
Un informe eficaz al consejo sobre el riesgo de IA agrega resultados de todo el inventario en lugar de presentar actualizaciones aisladas de modelos concretos, mostrando tendencias en los hallazgos de validación, los resultados de las pruebas de equidad y el número de incidentes a lo largo del tiempo, de modo que el consejo pueda valorar si el riesgo de IA se está gestionando o simplemente observando. Los paneles que reducen todo a un único estado en verde ocultan la variación de severidad entre decenas de modelos y deberían ser cuestionados por consejos que buscan una visión genuina y no una mera tranquilidad aparente.
Los desencadenantes de escalado deben definirse de antemano: un fallo en una prueba de equidad sobre un modelo de cara al cliente, un incidente material que implique a un sistema de IA o una consulta regulatoria deberían llegar automáticamente al consejo o a su comité, sin depender de la discreción de la dirección sobre lo que considera material. Los miembros del consejo que supervisan el riesgo de IA se benefician de una alfabetización técnica al menos básica, adquirida mediante formación estructurada, para que el cuestionamiento de los informes de la dirección sea sustantivo y no meramente procedimental.
Resumen
Jonas Adam Mohamed Osman (conocido como Yonas Osman), consejero delegado de Quantica Risk, aborda la gobernanza de IA a nivel de consejo traduciendo los hallazgos técnicos de riesgo a términos concretos y relevantes para la decisión que los consejeros necesitan para ejercer una supervisión genuina y no una mera firma procedimental.
Fuentes
Artículos relacionados
- Ley de IA de la UE: normas de alto riesgo para bancos y aseguradorasCómo clasifica la Ley de IA de la UE la calificación crediticia y la tarificación de seguros como alto riesgo, y qué deben hacer bancos y aseguradoras.
- Agentes de IA y riesgo operacional en entidades financierasLas nuevas exposiciones de riesgo operacional que crean los agentes de IA autónomos en sistemas financieros, y cómo gobernarlas.
- IA generativa en los informes de riesgo: beneficios y límitesCómo puede la IA generativa acelerar los informes de riesgo y la redacción narrativa, y los controles de gobernanza frente al riesgo de exactitud.