La división de siniestros de Northbridge Mutual desea implementar un copiloto de IA generativa para resumir las notas de los peritos. Antes de aprobarlo, el equipo de gobernanza debe determinar quién es el responsable del caso de uso, qué datos puede manejar, qué riesgos requieren tratamiento y qué evidencias respaldan la decisión. Diseñaremos la estructura operativa de un programa que transforme las solicitudes de adopción de IA en decisiones trazables, controles e informes para la junta directiva. [fuentes][/fuentes]
Un inventario de IA registra cada sistema y caso de uso de IA, junto con su responsable, propósito, datos, proveedor y nivel de riesgo. Un registro de riesgos de IA documenta cada riesgo identificado, su responsable, calificación, tratamiento y fecha de revisión. En conjunto, estos artefactos aportan visibilidad al programa y ofrecen a los revisores un punto de partida fiable. El modelo operativo de Northbridge Mutual conecta las fases de recepción, clasificación, control, supervisión y elaboración de informes:
Un programa justificable demuestra quién tenía la autoridad para aprobar, cuestionar o detener una decisión, y conserva la evidencia que respalda dicha decisión. Los derechos de decisión asignan estas facultades a los responsables del negocio, a las áreas de riesgo y cumplimiento, seguridad, legal, adquisiciones y a la alta dirección. Esto evita que una aprobación se convierta en un simple intercambio informal de correos electrónicos sin un responsable claro. [fuentes][/fuentes]
El programa también requiere mecanismos de cumplimiento. El responsable de gobernanza de IA verifica la integridad del inventario y las revisiones pendientes según la periodicidad establecida por la organización. Los responsables de los controles aportan las evidencias. Cualquier infracción desencadena una investigación, acciones correctivas y, cuando está justificado, la suspensión del caso de uso afectado. En el caso de las excepciones, se registra la justificación empresarial, la autoridad que acepta el riesgo, la fecha de vencimiento y las condiciones para continuar con el uso. [fuentes][/fuentes]
La evidencia es fundamental Una política solo se convierte en gobernanza cuando los responsables asignados la verifican, registran los resultados y actúan ante las infracciones. [fuentes][/fuentes]
El control de cambios mantiene actualizado el registro cuando varían el propósito del sistema, las fuentes de datos, el proveedor, el modelo o la población afectada. Esto se alinea con el Marco de Gestión de Riesgos de IA del NIST (NIST AI RMF), cuya función de “Gobernanza” (Govern) abarca la rendición de cuentas y las políticas organizativas, mientras que las funciones de “Mapear” (Map), “Medir” (Measure) y “Gestionar” (Manage) vinculan dichas decisiones con los riesgos identificados y sus tratamientos. [fuentes][/fuentes]
El programa funciona como un ciclo operativo recurrente, no como un filtro de aprobación puntual. La primera línea —el equipo de negocio que opera el caso de uso— es responsable del uso seguro y de la documentación de evidencias. La segunda línea establece políticas, cuestiona las decisiones sobre riesgos y supervisa el cumplimiento. La tercera línea proporciona garantías independientes mediante la auditoría interna. Se escala a la alta dirección cuando el riesgo residual, el incumplimiento reiterado o un cambio significativo superan los límites de la autoridad delegada. [fuentes][/fuentes]
Northbridge Mutual puede emplear un ciclo mensual para mantener sus registros y detectar brechas antes de que se conviertan en hallazgos de auditoría. Podemos rastrear cómo cada actividad respalda la siguiente decisión: