Auditoría de TI

Por: CP Iván Rodríguez. Colaborador de Auditool.

La aparición y auge de tecnologías emergentes tales como la inteligencia artificial han creado una necesidad para las organizaciones que debe satisfacerse casi de manera imperiosa y es poder integrarlas en la oferta de productos y servicios de una manera competitiva y en un marco legal, evitando al máximo los errores que puedan introducir riesgos o afectar sus finanzas o su reputación. En ese sentido, la gestión de riesgos legales al implementar IA es fundamental, para superar las preocupaciones legales y éticas, así como para mitigar los riesgos que puedan afectar la operación de la organización. 

Algunas líneas de acción que evidencian proactividad y facilitan la implementación de la IA y otras tecnologías al interior de la organización y que deben ser consideradas por los auditores en sus evaluaciones, son las siguientes^[1]:

Alinear la IA con los objetivos y prácticas empresariales 

Las organizaciones que implementen nuevas tecnologías deben alinear los objetivos comerciales con la gestión de riesgos; en esta labor deberían participar un grupo de ejecutivos y expertos en temas legales y tecnológicos. Es importante precisar cómo la empresa utilizará la IA en el logro de sus objetivos comerciales, bien sea un uso interno, ofrecer herramientas de IA como productos y servicios, o mejorar los ya existentes. En caso de no alinear una hoja de ruta de IA con los objetivos comerciales y las prácticas de gestión de riesgos se pueden efectuar inversiones innecesarias de recursos en proyectos de IA que tienen poco valor y se pueden perder oportunidades para obtener una ventaja sobre la competencia, además de tener una exposición innecesaria a los riesgos.

Comprender y priorizar el riesgo involucrado 

En cualquier proceso de implementación es conveniente (y necesario) llevar a cabo una evaluación de riesgos con el propósito de identificar posibles riesgos operativos, legales y éticos e incluso financieros. En el caso de implementar IA debería conocerse la procedencia de los datos utilizados para entrenar y mejorar la herramienta de IA, comprender su funcionamiento, en particular el manejo de datos (si la herramienta de IA puede o debe compartir datos externamente y qué controles existen para garantizar que la herramienta cumple con las políticas de seguridad de datos que le son aplicables).

Una vez identificados los riesgos, se debe priorizar su mitigación, lo cual puede ayudar a guiar el desarrollo del modelo de IA. Algunas consideraciones que se deben tener en cuenta son:

• Privacidad y seguridad: Se deben tener en cuenta para los datos utilizados en el modelo de IA y así salvaguardar la información confidencial y evitar tanto el uso indebido como el acceso no autorizado.

• Implicaciones éticas: Es conveniente establecer procedimientos para auditar las herramientas de IA, de manera que se puedan detectar y mitigar los sesgos y prevenir prácticas prohibidas, especialmente en industrias reguladas. 

• Definiciones de responsabilidad: Las organizaciones deben establecer claramente las responsabilidades con respecto a los datos y las decisiones de IA. De existir políticas y procedimientos claros para gestionar quejas y consultas relacionadas con los sistemas de IA, contribuye a abordar los posibles problemas.

• Propiedad intelectual: Debe haber suficiente claridad en cuanto a la titularidad clara de los datos, acuerdos y licencias cuando sea necesario, lo cual es esencial para evitar pérdidas y conflictos sobre activos de propiedad intelectual, así como limitar la exposición a reclamaciones por infracción de la propiedad intelectual.

• Precisión y seguridad: Determinar si una salida de IA es precisa y segura es necesario para una implementación tecnológica confiable.

En el proceso de integrar la IA (y otras tecnologías emergentes) en el modelo de negocios, una organización debe buscar el equilibrio entre los beneficios que espera obtener frente al manejo de los requisitos legales y reglamentarios para evitar posibles dificultades. En cuanto sea posible, debe documentarse apropiadamente, de manera que sea posible respaldar las decisiones adoptadas.

Establecer confianza en el modelo de IA 

Las organizaciones deben capacitar integralmente a los empleados sobre las implicaciones legales y éticas de las herramientas de IA y procurar que comprendan sus obligaciones en virtud de las leyes y normas aplicables. Así mismo, deben fomentar una cultura de cumplimiento y comportamiento ético dentro de la organización, lo cual contribuye a mitigar los riesgos asociados con el uso indebido o descuidado de la IA. Las organizaciones que priorizan el cumplimiento están mejor preparadas para navegar por panoramas legales complejos y evitar costosas sanciones y riesgos de reputación. Por otra parte, entender por qué entradas de datos específicas producen salidas de datos o recomendaciones específicas, contribuye a abordar las preocupaciones de los usuarios y fomentar la seguridad en la tecnología de IA.

Las IA pueden cometer errores, y es necesario definir quién será responsable si una IA toma una decisión incorrecta que afecta a un cliente, causa pérdidas financieras o incluso daños físicos.Por ello, las organizaciones deben evaluar si necesitarán un seguro para cubrir riesgos y responsabilidades inevitables, tales como una falla del sistema de IA. Esto puede minimizar su impacto, garantizar una implementación responsable de la IA y aumentar la confianza de las partes interesadas.

Otras medidas que las organizaciones pueden adoptar son:

• Evaluaciones de impacto de IA: Realizar estudios de impacto antes de implementar IA para identificar y mitigar riesgos.

• Equipos interdisciplinarios: Contar con equipos que incluyan expertos legales, de seguridad, de datos y éticos para revisar y supervisar el uso de IA.

• Políticas y procedimientos internos claros: Establecer políticas sobre cómo se usan, monitorean y auditan los sistemas de IA.

• Auditorías periódicas de IA: Implementar auditorías regulares para evaluar la transparencia, equidad y cumplimiento normativo del sistema de IA.

Como se ha observado, si bien la tecnología de IA puede aumentar la eficiencia al interior de las organizaciones, la supervisión humana es necesaria para guiar el comportamiento de la IA, minimizar los errores y abordar las preocupaciones éticas. Las personas pueden verificar que los sistemas de IA se alinean debidamente con los valores organizacionales y las consideraciones éticas de las compañías. Los auditores, en virtud a su conocimiento y experticia pueden contribuir de manera significativa al evaluar la implementación de la IA en los procesos de las organizaciones y efectuar las correspondientes y sustentadas recomendaciones.

^[1] Ideas tomadas de: Managing Legal Risks in AI Implementation

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia.