Gestión del riesgo de herramientas de IA: una cuestión humana

Gestión del riesgo de herramientas de IA: una cuestión humana

La proliferación de herramientas de inteligencia artificial (IA) está dando a directivos y empleados la oportunidad de revisar su eficiencia. Si usted dirige una empresa, es posible que haya pensado en incorporar herramientas de IA, y disponga del asesoramiento técnico necesario para juzgar la idoneidad de la herramienta en cuestiones como los sesgos, el margen de error, la precisión, ciberseguridad y la eficiencia energética.

También es posible que ya tenga implementado en su organización un conjunto de políticas, procesos y controles para dar cuenta del cumplimiento de una serie de obligaciones y estándares aplicables a su actividad. Precisamente por implementar estas políticas usted sabrá que, directa o indirectamente, los riesgos nacen siempre de las conductas de las personas.

Por ello, pronto llegará a la conclusión de que, para juzgar el riesgo de uso de una herramienta de IA, un análisis de tipo técnico no basta. Una gestión de riesgos corporativos actualizada debe incluir la gestión del riesgo derivado de estas herramientas, y debe hacerlo desde un punto de vista humano, no únicamente técnico. Un buen análisis de riesgos debe contemplar la posibilidad de que los empleados, motu proprio y sin avisar a nadie, estén haciendo uso de este tipo de herramientas para mejorar su productividad, y qué consecuencias puede suponer para la empresa en caso de imprevisto.

¿De qué tipo de riesgos jurídicos estamos hablando? Imaginar estos riesgos no es sencillo, porque de un mismo acto pueden incumplirse varias normas. Por ejemplo: introducir datos personales sin autorización; utilizar ilícitamente bases de datos ajenas; usar IA para identificar emociones de empleados (prohibido desde febrero de 2025 por el Reglamento 2024/1689 de la UE); o descuidar obligaciones de alto riesgo, como las relacionadas con componentes de seguridad en equipos radioeléctricos.

Un análisis de riesgo completo debe cuantificar el impacto de estos riesgos, incluyendo no solo las sanciones, sino también los daños reputacionales. Este análisis debe proporcionar al responsable de la organización los elementos necesarios para tomar decisiones informadas, en función de su apetito de riesgo y recursos disponibles.

Existen varios métodos para ello (COSO, ISO 31000:2018, ISO/UNE 31010:2011, etc.), aunque ninguno resulta por sí solo suficiente. Una evaluación eficaz debe valorar la probabilidad de ocurrencia y la gravedad del impacto. El producto de ambos valores nos da el riesgo inherente, al que se aplican los controles existentes para calcular el riesgo residual. Si este excede el umbral de riesgo aceptable, deberán implementarse nuevos controles.

En conclusión, para abordar adecuadamente el riesgo corporativo de incorporar IA a los procesos productivos, no basta con un enfoque técnico. Es imprescindible un enfoque humanista que contemple los comportamientos de las personas en la organización y sus posibles implicaciones jurídicas y económicas. Solo con una gestión de riesgos centrada en el ser humano podrán tomarse decisiones informadas, ajustadas al apetito de riesgo empresarial.

por César José Fernández Pérez e Inés Cano Gozalo

act legal Spain