Vas a implementar un programa mínimo y auditable de gobernanza y gestión de riesgos de IA, capaz de escalar en toda tu organización para el año 2026.
Utilizaremos un único modelo operativo y una organización de ejemplo, NorthBridge Credit Union, para que cada lección posterior se base en la misma estructura en lugar de empezar de cero.
Al finalizar este curso, deberías ser capaz de identificar un pequeño conjunto de elementos dinámicos (o “artefactos vivos”) y señalar quién es el responsable de cada uno, dónde se encuentra la evidencia y con qué frecuencia se revisan.
Un gestor de riesgos de NorthBridge Credit Union pregunta a un equipo de soporte cómo están gestionando la acumulación de tickets pendientes.
Un agente responde que copian y pegan los chats de los clientes en un chatbot web gratuito para redactar respuestas, y que el departamento de Recursos Humanos ha estado utilizando otra herramienta para filtrar currículums más rápidamente.
Nadie sabe decir quién aprobó estas herramientas, qué datos se compartieron, si los resultados se utilizan para tomar decisiones o si existen registros que documenten lo sucedido.
Empieza por la evidenciaAntes de establecer políticas y marcos de trabajo, registra qué está sucediendo, dónde y con qué datos.
El uso de IA no autorizada se define como cualquier utilización de un sistema de IA para tareas empresariales que carece de un responsable registrado, un propósito documentado y controles acordados.
Representa un riesgo porque genera una exposición que no puedes visualizar ni demostrar que estás gestionando.
En NorthBridge, las vías habituales incluyen la salida de datos de sistemas aprobados, conexiones no oficiales que extraen o envían datos, y personal que utiliza los resultados de la IA como si fueran decisiones verificadas.
Visualicemos dónde suelen localizarse esos puntos de exposición en los flujos de trabajo cotidianos.
Una gobernanza auditable implica poder trazar una línea desde un requisito o política hasta un proceso repetible, pasando por los registros que demuestran su ejecución y llegando al responsable encargado de revisarlo periódicamente.
Para NorthBridge, los resultados defendibles se asemejan más a un ciclo continuo y bien integrado que a una acumulación masiva de documentos.
A continuación, veremos cómo se materializan estos elementos en la práctica para NorthBridge.