El desafío de la gobernanza de la IA en Chile

El entorno regulatorio chileno se encuentra en un proceso dinámico para las organizaciones que están ad portas de asumir nuevas obligaciones, especialmente en materia de datos personales (aunque se discute postergar un año la entrada en vigor de la ley). 

Asimismo, a nivel nacional se encuentra en tramitación un proyecto de ley sobre sistemas de IA, con anuncios del Ejecutivo de una pronta indicación sustitutiva que reemplace el texto en tramitación. Sin perjuicio de ello, la falta de una regulación en la materia no ha impedido que las organizaciones avancen en incorporar diversos sistemas de IA en sus procesos internos, por lo que contar con una “gobernanza de la IA” en las organizaciones se vuelve un asunto estratégico.

Además, diversos estudios han indicado que la IA ha ido avanzando desde una herramienta que permitía apoyar las decisiones humanas, por ejemplo, en la redacción de documentos, análisis de información o automatización de tareas específicas, hacia un entorno en que los agentes de IA pueden ejecutar procesos, interactuar con otros sistemas, utilizar herramientas, coordinar tareas y adoptar decisiones en contextos acotados. Por esto, el riesgo ya no se limitaría a las alucinaciones en sus recomendaciones, sino que se extendería a las interacciones que tienen con otros sistemas y, por ende, a las eventuales consecuencias de esas interacciones. 

En este sentido, una de las primeras tareas que debería realizar una organización es adoptar buenas prácticas como la norma ISO/IEC 42001 sobre sistemas de gestión de IA. Como cualquier sistema de gestión, esta norma utiliza la metodología “Plan-Do-Check-Act” y el paso inicial sería el análisis de los sistemas de IA existentes. Con ello se puede limitar el alcance de lo que se espera “gobernar”, puesto que permite identificar con claridad a los interesados y, por ende, a las partes que participarán, fijando roles y responsabilidades claras. En este proceso, el apoyo de la alta dirección es clave para que este análisis no se confunda con un levantamiento o inventario de sistemas informáticos que tiene la compañía, ni quede relegado como un asunto del área de TI, sino que se aborde como una materia transversal de la organización. 

A partir de este proceso, la generación de una política de IA en la organización que establezca lineamientos estratégicos y que posteriormente sea ejecutable a través de protocolos o procedimientos permitirá que no solo esté alineada con los procesos internos, sino también con la estrategia del negocio. Igualmente, una clara identificación de los riesgos en los usos de IA permitirá el diseño de controles (medidas técnicas y organizativas) que puedan ser eficaces para mitigarlos. Sin duda, una de las acciones clave será capacitar al equipo, no solo en el desarrollo u operación de esta tecnología, sino —y especialmente— en sus usos cotidianos dentro de la organización. Con ello, se podrán reducir fenómenos como “Shadow AI” o usos de tecnologías de IA que no están siendo mapeadas por la organización y que claramente pueden “amplificar” el riesgo en esta materia. 

También es importante contar con una revisión de un tercero (ya sea interno o independiente). Esto permite identificar la eficacia de medidas ya diseñadas que, en su ejecución, requieren ajustes. Si no hay conformidad entre lo diseñado y lo que se ejecuta, esta revisión ayudará a reevaluar prioridades y expectativas en el uso de IA, especialmente con un enfoque de mejora continua del sistema de gestión de IA. 

Para concluir, ante la incertidumbre de una regulación nacional en la materia, la autorregulación se vuelve un aliado poderoso para efectos de generar políticas internas, pero, sobre todo, acciones específicas para que las medidas conversen con otros modelos de gobernanza que puedan existir dentro de la organización, evitando la existencia de múltiples subcomités temáticos que aborden esta materia de forma fragmentada. 

Por otra parte, es relevante una gestión de riesgos eficaz, especialmente con la incorporación de agentes de IA en ciertos procesos internos. Además, es necesario integrar las iniciativas en materia de protección de datos personales y ciberseguridad que la organización pueda estar llevando a cabo, a fin de reducir el trabajo en silos. Por último, es fundamental que las áreas gerenciales entiendan la responsabilidad y las limitaciones asociadas con el uso de sistemas de IA, especialmente aquellos que no han sido autorizados por la organización.