¿Quién lidera? Cómo la cláusula 5 de ISO/IEC 42001 pone a la alta dirección al frente de una IA que se autorregula

Una IA que se autorregula no surge por casualidad. Surge porque la alta dirección así lo decide, lo pone por escrito y se asegura de que alguien sea responsable de ello. Esa es la función de la cláusula 5.

En la publicación anterior de esta serie analizamos la cláusula 4, Contexto de la organización, y cómo comprender su entorno, sus partes interesadas y su papel en el ecosistema de la IA sienta las bases de una IA responsable. Sin embargo, conocer su contexto es solo el primer paso. Alguien tiene que actuar en consecuencia y, en ISO/IEC 42001, esa responsabilidad comienza en la alta dirección.

La cláusula 5, Liderazgo, establece lo que la alta dirección debe hacer para que un sistema de gestión de inteligencia artificial (AIMS, por sus siglas en inglés) sea una realidad. Abarca el liderazgo y compromiso, la política de IA y la asignación de roles, responsabilidades y autoridades. En conjunto, estos requisitos responden a una pregunta que todo programa de autorregulación debe enfrentar: ¿quién rinde cuentas cuando la IA se equivoca?

Por qué la autorregulación necesita un liderazgo visible

La supervisión interna solo funciona cuando las personas creen que es importante. Si la gobernanza de la IA se percibe como un proyecto secundario de un equipo de cumplimiento, se pasará por alto en cuanto se interponga una fecha límite o una meta de ingresos. Cuando los directivos la asumen visiblemente como propia, la financian y preguntan por ella, la gobernanza se convierte en parte de la forma en que la organización hace negocios.

ISO/IEC 42001 lo reconoce al asignar los requisitos de liderazgo directamente a la alta dirección, es decir, a las personas que dirigen y controlan la organización al más alto nivel. La responsabilidad de las tareas puede delegarse. La rendición de cuentas sobre el sistema de gestión, no.

5.1 Liderazgo y compromiso

La alta dirección debe demostrar liderazgo y compromiso con respecto al AIMS. En la práctica, esto significa:

• Establecer el rumbo: asegurarse de que la política de IA y los objetivos de IA se establezcan y sean compatibles con la dirección estratégica de la organización.
• Integrar la gobernanza: incorporar los requisitos del AIMS en los procesos de negocio cotidianos, en lugar de gestionarlos en paralelo.
• Proporcionar recursos: asegurarse de que estén disponibles las personas, el presupuesto, las herramientas y el tiempo que necesita el AIMS.
• Comunicar su importancia: explicar por qué es importante una gestión eficaz de la IA y por qué se espera la conformidad con los requisitos del AIMS.
• Impulsar resultados: asegurarse de que el AIMS logre los resultados previstos, así como dirigir y apoyar a las personas que contribuyen a él.
• Promover la mejora: fomentar la mejora continua y apoyar a otros puestos directivos para que demuestren su liderazgo en sus respectivas áreas.

Para la autorregulación, esta es la diferencia entre un programa que solo existe en el papel y uno que realmente tiene fuerza. Cuando los líderes comprometen recursos y esperan resultados, es mucho más probable que los controles internos se utilicen, se respeten y se mejoren.

5.2 Política de IA

La alta dirección debe establecer una política de IA que sea apropiada al propósito de la organización, proporcione un marco de referencia para el establecimiento de los objetivos de IA e incluya el compromiso de cumplir los requisitos aplicables y de mejorar continuamente el AIMS. La política debe estar disponible como información documentada, comunicarse dentro de la organización y estar disponible para las partes interesadas, según corresponda.

Una política de IA sólida es el reglamento propio de la organización. Establece, en términos claros, lo que la organización hará y no hará con la IA. Las buenas políticas suelen abordar los principios que guían el uso de la IA, como la equidad, la transparencia, la rendición de cuentas, la privacidad y la seguridad, y se vinculan con otras políticas relacionadas con la seguridad de la información, la protección de datos y la calidad. La política debe ser lo bastante específica para orientar decisiones reales y lo bastante flexible para evolucionar a medida que cambian la tecnología y la regulación.

5.3 Roles, responsabilidades y autoridades

Por último, la alta dirección debe asegurarse de que las responsabilidades y autoridades de los roles pertinentes se asignen y comuniquen. Como mínimo, alguien debe ser responsable de asegurarse de que el AIMS sea conforme con la norma y de informar a la alta dirección sobre su desempeño.

Es en este requisito donde la autorregulación se vuelve personal. Cada sistema de IA debe tener un responsable claro. Cada decisión sobre riesgos debe tener un aprobador designado. Cada ruta de escalamiento debe llevar a alguna parte. Sin roles definidos, los problemas quedan en tierra de nadie entre los equipos y nadie se siente facultado para detener un sistema que se está comportando de forma inadecuada.

Cómo poner en práctica la cláusula 5: pasos concretos

1. Designe a un patrocinador ejecutivo. Elija a un líder de alto nivel que impulse el AIMS, elimine obstáculos y responda por su desempeño.
2. Redacte la política de IA con aportaciones reales. Involucre a los responsables de las áreas legal, de TI, de datos, de operaciones y de negocio para que la política refleje cómo se utiliza realmente la IA.
3. Vincule la política con los objetivos. Asegúrese de que cada compromiso de la política pueda relacionarse con objetivos de IA medibles, desarrollados conforme a la cláusula 6.
4. Elabore una matriz de responsabilidades. Utilice una matriz RACI o una herramienta similar para mostrar quién es responsable, quién rinde cuentas, a quién se consulta y a quién se informa para cada sistema y proceso de IA.
5. Otorgue a las personas la autoridad para detener un sistema. Deje claro quién puede pausar o retirar un sistema de IA cuando produzca resultados perjudiciales o inesperados.
6. Incluya la gobernanza de la IA en la agenda de la dirección. Programe informes periódicos sobre el desempeño del AIMS para que los líderes vean resultados, no solo actividad.

Errores comunes que se deben evitar

• Delegar la rendición de cuentas. Encargar la gobernanza de la IA por completo a un solo departamento indica que la dirección no está realmente involucrada.
• Una política que nadie lee. Una política de IA genérica, copiada y pegada, que nunca se comunica ni se aplica, no ofrece una orientación real.
• Responsabilidad sin autoridad. Asignar personas para supervisar la IA sin darles la facultad de actuar sobre lo que encuentran debilita todo el programa.
• Ignorar la IA en la sombra (shadow AI). Los líderes que no preguntan cómo se está utilizando la IA en toda la empresa podrían no darse cuenta de en qué puntos se está eludiendo su política.

En resumen

La cláusula 4 le indica a una organización dónde se encuentra. La cláusula 5 decide quién lidera. Una IA que se autorregula depende de líderes que comprometen recursos, establecen reglas claras mediante la política de IA y se aseguran de que cada rol del sistema sepa de qué es responsable. Cuando la rendición de cuentas es visible en la alta dirección, tiende a tomarse en serio en todos los demás niveles. En la próxima publicación analizaremos la cláusula 6, Planificación, donde ese liderazgo se traduce en evaluaciones de riesgos, evaluaciones de impacto y objetivos de IA concretos. Para obtener más información, escríbanos a [email protected].