El 15 de septiembre, EY publicó la primera edición de su encuesta sobre riesgo y gobernanza de la IA. Recoge la opinión de 202 responsables sénior de decisiones sobre IA, desde consejeros hasta vicepresidentes, de empresas estadounidenses cotizadas con al menos mil millones de dólares de ingresos anuales; el trabajo de campo se hizo entre el 28 de mayo y el 15 de junio, con un margen de error de siete puntos porcentuales. Conviene leerla con dos salvedades: EY vende servicios de auditoría y consultoría, así que tiene interés en que se defienda una gobernanza más firme, y se trata de grandes empresas cotizadas, no de la pyme típica.
Las dos cifras del titular son lo más útil. El noventa y ocho por ciento afirma que su organización tiene políticas formales de gobernanza de la IA, y el cuarenta y siete por ciento dice que se ha saltado su propio proceso de gobernanza en despliegues urgentes. Ambas cosas pueden ser ciertas a la vez, y la segunda es la que importa.
Las cifras sobre agentes van en la misma dirección. Entre quienes usan agentes de IA en su organización, el cuarenta y nueve por ciento dice que sus marcos de gobernanza no se han actualizado para ellos, y el veintiséis por ciento afirma que su organización no puede detectar agentes de IA no autorizados que operen en su interior. CIO Dive, que informó de la encuesta al día siguiente, lo presentó como una brecha creciente entre la política y la práctica.
Por qué gana el atajo
Es una lectura nuestra y no un hallazgo de la encuesta. Cuando la única vía para lanzar algo es una revisión lenta, el caso urgente no la espera: la esquiva. Un proceso que se salta cada vez que hay una fecha límite no protege precisamente los casos con fecha límite, que son los que menos tiempo tienen para detectar un error.
Qué concluye la propia EY
En la cobertura de la encuesta, el director de tecnología de la división de auditoría y aseguramiento de EY en América sostiene que velocidad y gobernanza no se oponen, y que una buena gobernanza es lo que permite a una organización avanzar deprisa sin perder el control. Coincidimos, con una condición: solo es cierto si la vía con control es lo bastante rápida para ser la más fácil.
Cuatro formas de construir un carril rápido
- Clasifique los usos por riesgo y dé a los de riesgo bajo una vía de un día. Por ejemplo, un agente que solo lee material interno, no toca datos personales, no actúa fuera de la empresa y cuyos resultados lee una persona puede aprobarlo una persona designada con una lista de comprobación breve. Todo lo demás pasa por la revisión completa.
- Ponga un plazo a la revisión. Acuerde cuántos días laborables tiene el revisor para contestar y qué ocurre si se agota el plazo, de modo que esperar nunca sea la razón para esquivar el proceso.
- Registre todas las excepciones. Si un lanzamiento urgente se salta un paso, anote cuál, quién lo permitió y para cuándo se subsanará. La encuesta no dice cuántos de ese cuarenta y siete por ciento quedaron registrados; lo importante es que en su empresa queden todos.
- Lleve un registro de los agentes en marcha. Una línea por agente: qué hace, a qué puede acceder y quién responde de él. Sin la lista de los agentes autorizados no hay modo de detectar uno no autorizado, que es la situación que describe el veintiséis por ciento.
Por nuestra parte, cada agente que ponemos en marcha tiene un supervisor con nombre y una lista escrita de lo que puede leer y hacer, y preferimos que esa lista sea corta y esté al día antes que larga y ignorada.