¿Por qué es importante la Gobernanza?
La Inteligencia Artificial ha dejado de ser una promesa tecnológica para convertirse en el motor de eficiencia de las empresas. Sin embargo, implementar IA sin gobernanza es como conducir un automóvil de carreras sin frenos: el desastre es solo cuestión de tiempo. Sin una estructura bien definida, la seguridad de los datos, los términos de cumplimiento y la reputación están en riesgo.
Según un estudio de SAP en colaboración con Oxford Economics, 8 de cada 10 líderes se preocupan por el uso de herramientas externas de IA, lo que provoca el Shadow AI, y el 66% de las empresas brasileñas admiten que el uso de Shadow AI ocurre con cierta frecuencia. (fuente)
En otra investigación, Abiacom - Asociación Brasileña de Inteligencia Artificial y E-commerce, informa que el 59,1% de las empresas aún no han establecido directrices formales para el uso de la IA. (fuente)
¿Cómo mitigar estos problemas?
Con la madurez de la LGPD (Ley General de Protección de Datos) y la evolución de las regulaciones de IA, las organizaciones necesitan una estructura clara para gestionar esta tecnología. La mejor práctica del mercado sugiere la creación de un ecosistema de gobernanza.
Hcode ha estudiado marcos de grandes empresas y ha diseñado un paso a paso para la creación de una Gobernanza de IA robusta.
Marco Hcode
Paso 1: El Comité Ejecutivo (Nivel C-Level)
La Visión Estratégica
El Comité Ejecutivo es la máxima dirección de la gobernanza de IA. No entra en las líneas de código, pero dicta el alcance y rumbo del negocio, define el presupuesto y asume la responsabilidad final ante el mercado y los organismos reguladores (como la ANPD).
- ¿Quién participa?: CEO, CTO, CIO, CFO, Legal Director (CLO) y el DPO (Data Protection Officer).
- ¿Qué hace?:
- Definición del Apetito al Riesgo: Determina qué áreas de la empresa pueden adoptar IA y cuáles límites éticos y regulatorios no pueden ser sobrepasados.
- Patrocinio y Asignación de Recursos: Aprueba el presupuesto para las iniciativas de IA y asegura que la gobernanza esté alineada con los objetivos del negocio.
- Responsabilidad Legal (Accountability): Responde estratégicamente por eventuales incidentes de privacidad o sesgos discriminatorios generados por las herramientas de IA.
El Comité Ejecutivo asegura que el uso corporativo de la IA respete el principio de responsabilidad y rendición de cuentas, exigido por la LGPD, avalando las inversiones en mitigar riesgos antes de poner sistemas en producción.
Paso 2: El Centro de Excelencia en IA (CoE de IA)
La Línea de Defensa
Si el C-Level define el destino, el Centro de Excelencia (CoE) dibuja el mapa y las reglas de tráfico. Esta es la capa táctica de la gobernanza. El CoE no desarrolla los modelos, pero crea la estructura (frameworks) para que el desarrollo ocurra de manera segura, ética y legal.
- ¿Quién participa?: Especialistas en Privacidad/LGPD, Ingenieros de Datos Senior, Profesionales de Compliance, Especialistas en Seguridad de la Información y Gestores de Riesgos.
- ¿Qué hace?:
- Creación de Políticas y Directrices: Redacta la guía de uso aceptable de IA Generativa (ej: lo que se puede o no insertar en el ChatGPT corporativo).
- Evaluación de Impacto (RIPD/AIA): Estructura el Informe de Impacto a la Protección de Datos (RIPD) y la Evaluación de Impacto de IA (AIA), analizando riesgos de sesgo, discriminación y filtraciones de datos.
- Homologación de Proveedores: Evalúa las políticas de privacidad de LLMs de terceros (OpenAI, Google, AWS) antes de permitir la integración con los sistemas de la empresa.
- Gestión de los Datos: Centraliza y monitorea los datos empresariales.
El CoE es el guardián de los principios de transparencia, seguridad y no-discriminación. Es quien garantiza que las bases de datos utilizadas para entrenar o alimentar sistemas de IA estén debidamente higienizadas y respaldadas por una base legal válida.
Paso 3: El Comité de Excelencia de IA (CEIA)
La Línea de Frente
El CEIA es el brazo ejecutor, el equipo técnico “manos a la obra”. Reciben las directrices y límites establecidos por el CoE y los transforman en soluciones tecnológicas reales. Es donde la IA cobra vida dentro de los límites de la gobernanza.
- ¿Quién participa?: Científicos de Datos, Ingenieros de Machine Learning, Ingenieros de Prompt, Desarrolladores de Software y Especialistas en Automatización (RPA).
- ¿Qué hace?:
- Desarrollo Técnico: Crea e implementa agentes autónomos, integra APIs de grandes modelos de lenguaje (LLMs) y construye flujos de automatización.
- Fine-Tuning y RAG (Retrieval-Augmented Generation): Personaliza los modelos de IA con los datos internos de la empresa, asegurando que las respuestas sean precisas y contextualizadas.
- Métricas y Monitoreo: Monitorea el rendimiento técnico de los modelos para evitar el fenómeno del drift (pérdida de calibración del modelo con el tiempo) y mitigar alucinaciones.
CEIA aplica el concepto de Privacy by Design y AI by Design. Aseguran, a nivel de código, que los datos personales sean anonimizados o seudonimizados antes de ser procesados por modelos de lenguaje, impidiendo el filtrado de información sensible a través de prompts.
| Capa | Rol Principal | Enfoque Base | Entrega Principal |
|---|---|---|---|
| Comité Ejecutivo | Estratégico | Negocio y Riesgo | Visión, Presupuesto y Límites |
| CoE de IA | Táctico | Gobernanza y Compliance | Políticas, Frameworks y Auditoría |
| CEIA | Operacional | Tecnología y Ejecución | Código, Agentes, LLMs y Soluciones |
Referencias
A continuación se presentan las referencias en las que basamos nuestra estructura de Gobernanza de IA:
McKinsey & Company (fuente)
McKinsey & Company es una empresa global de renombre en consultoría estratégica y operativa. En su guía, la elección de un equipo puede hacerse de dos formas: expandir un equipo de Datos o TI, o construir un equipo desde cero.
La guía también identifica la gestión de los datos como crucial, ya que sin esta gestión los proyectos de IA no pueden recuperar y procesar la información necesaria. Según McKinsey & Company, esta gestión debe ser realizada por el Centro de Excelencia (CoE)IBM (fuente)
El gigante IBM sugiere que la Gobernanza de IA fue creada para proporcionar respuestas sobre:
Si los modelos de IA están tomando decisiones justas
Si los resultados de la IA pueden ser explicados y confiables
Cómo se supervisan los sistemas de IA
Cómo garantizar la supervisión en producción
Todas estas respuestas conforman la IA Responsable para IBM, y a partir de esta idea se desarrolla la Gobernanza de IA.
Los próximos pasos son granulares, desde establecer el propósito y alcance, hasta la creación del Consejo de Ética de IA y hasta Analista de Riesgo en IA.
Microsoft (fuente)
Microsoft tiene una guía llamada Modelo de Madurez de Agentes de IA. Aunque el enfoque no es en Gobernanza, esta guía es básicamente la función del Centro de Excelencia (CoE). Mide la madurez a la que su empresa está hoy y qué recursos son necesarios para evolucionar en IA. Es una guía muy densa y detallada.
Google (fuente)
Google tiene un mapa llamado SAIF (Secure AI Framework), este mapa guía tanto al área CoE como a la CEIA. El CoE puede usar el mapa para determinar QUÉ necesita ser protegido. Por su parte, la CEIA utiliza el mapa para determinar CÓMO proteger.
El mapa se divide en cuatro áreas de desarrollo: Datos, Infraestructura, Modelo y Aplicación. Cada una de estas áreas tiene sus particularidades y dirección.