La gobernanza de la IA, el gran reto para las empresas ante la nueva regulación europea

La inteligencia artificial se ha incorporado al día a día de las empresas a gran velocidad, pero su implantación también plantea nuevos retos legales, operativos y reputacionales. En esta entrevista, Inés Cano, directora del área de Inteligencia Artificial de act legal Spain, explica por qué la gobernanza de la IA se ha convertido en una prioridad, qué exige el nuevo marco regulatorio europeo y qué medidas deberían adoptar ya las organizaciones para implantar estas herramientas con seguridad y minimizar los riesgos asociados a su uso.

¿Por qué la gobernanza de la IA se ha convertido en una prioridad?

Las empresas adoptan IA para aumentar eficiencia; la presión por adaptarse velozmente al cambio tecnológico está haciendo que el despliegue de estas herramientas se ejecute muchas veces sin tiempo para analizar qué puede salir mal. Eso genera un problema nuevo: los riesgos de IA no gestionados.

Sin una estructura de control, una IA puede alucinar datos, tomar decisiones autónomas no previstas o filtrar información confidencial. Los ejemplos ya abundan: herramientas que generan respuestas no fiables, agentes que fabrican existencias que no existen, que realizan compras no autorizadas, que filtran información estratégica.

Esta situación no se resuelve contratando “una herramienta de IA mejor”, porque la herramienta perfecta no existe; podemos esperar lo mejor, pero, mientras tanto, los efectos siempre los padece la empresa.

La gobernanza de IA no es burocracia: existe para cuantificar el valor real que aporta cada herramienta y el riesgo que conlleva, antes de implantarla. Durante la implementación, la gobernanza de IA permite extraer el máximo valor de estas herramientas dentro de un umbral de riesgo adaptado al apetito de cada empresa, basado en la realidad, otorgando mecanismos para saber reaccionar ante imprevistos.

¿Qué riesgos legales y reputacionales existen?

Se concretan en varias categorías:

- En el plano legal: incumplimiento del Reglamento Europeo de IA (RIA) por incumplimiento de obligaciones para determinados sistemas, infracciones de la normativa de protección de datos o de normativa sectorial específica (por ejemplo, del sector financiero), e incluso responsabilidad civil o penal por efectos no deseados del uso de estas herramientas.

- En el plano operativo: elegir una herramienta que no resuelve un problema real erosiona los márgenes de beneficio, genera dependencia de proveedores y puede hacer perder capacidades competitivas clave.

- En el plano reputacional: una decisión opaca, discriminatoria o simplemente errónea tomada por un sistema de IA puede traducirse en una crisis de confianza. La diferencia con un error humano es que la escala puede ser mayor y la explicación, mucho más difícil.

La combinación de estos tres vectores es lo que hace que el riesgo de IA requiera una gestión específica, distinta a la gestión de riesgos tecnológicos convencionales.

¿Cómo afectará la regulación europea?

La regulación europea es más amplia que el RIA. Su impacto práctico depende del tipo de sistema que utilice cada empresa, por lo que es importante un enfoque de gobernanza adaptable, integrador y práctico, que se haga cargo de los riesgos legales más allá del RIA.

El Reglamento distingue entre prácticas directamente prohibidas, como la inferencia de emociones en entornos laborales, y sistemas de alto riesgo, que se refieren a los sistemas de IA integrados en determinados productos o ámbitos, como aplicaciones en empleo, acceso a servicios esenciales, infraestructuras críticas o administración de justicia. Estos últimos están sujetos a obligaciones exigentes: sistema de gestión de riesgos, documentación técnica, supervisión humana y conservación de registros, entre otras.

Un aspecto que conviene tener claro: el concepto de "riesgo" en el RIA no coincide con el de la gobernanza interna de IA ni con el del RGPD. Son tres marcos distintos que se solapan. Gestionarlos de forma coordinada, y no por separado, es uno de los retos prácticos más relevantes para las empresas en este momento.

¿Qué sectores están más expuestos?

El RIA identifica explícitamente los ámbitos de mayor exposición: biometría, infraestructuras críticas, educación y formación, empleo, acceso a servicios esenciales, aplicación de la ley, migración y administración de justicia.

En la práctica, los sectores que más rápido están encontrando fricciones regulatorias son servicios financieros, por el uso de IA en scoring crediticio y detección de fraude, sanidad, recursos humanos y seguros.

Pero hay un riesgo transversal que afecta a cualquier sector: el uso de herramientas de ofimática de IA, el uso de agentes de IA con capacidad de acción autónoma. Un agente que puede enviar correos, acceder a sistemas o ejecutar transacciones sin validación humana intermedia introduce un nivel de exposición operativa y legal que muchas empresas aún no han evaluado. No gobernar la implementación de herramientas de IA es un riesgo en sí mismo.

¿Qué medidas deberían implantarse ya?

La gobernanza de IA es un proyecto gradual, por niveles de complejidad.

Como mínimo, las empresas deberían ser capaces de responder con seguridad qué sistemas de IA se usan en su empresa, para qué, con qué datos, qué condiciones tienen con sus proveedores, y quiénes son los responsables internos de gestionar estos aspectos. 

A partir de ahí, se añaden capas de complejidad, dirigidos a establecer protocolos de respuesta ante incidentes, sistemas de mapeo y gestión de riesgos específicos de las herramientas de IA.

Lo que no tiene recorrido es esperar a que ocurra un incidente. Cuanto más se extiende el uso de IA sin este marco, más difícil y costoso es retroactivamente identificar qué está fallando y por qué.