Seguridad de la información, normas, regulación, privacidad y gestión de riesgos.
Por Roy Kish – Infoguard, del grupo Idor
Hoy nos encontramos con cada vez más organizaciones que ya utilizan IA, aunque todavía no hayan definido una política estructurada al respecto.
Los empleados usan herramientas de IA generativa para redactar documentos, resumir reuniones, analizar datos y escribir código. Los departamentos de marketing conectan la IA a la información de clientes, los equipos de servicio implementan chatbots y las unidades de negocio empiezan a operar agentes de IA con acceso a sistemas y datos corporativos.
Desde nuestro punto de vista en Infoguard, la pregunta ya no es si la IA entrará en la organización. En la mayoría de los casos ya está dentro.
La pregunta importante es otra: quién la gestiona, quién la supervisa y quién responde cuando algo sale mal.
La regulación ya no es un asunto del futuro
En el mundo de la inteligencia artificial la regulación avanza rápido.
El Reglamento Europeo de IA ilustra el paso de principios generales a un marco que establece requisitos más claros sobre el uso de sistemas de IA. Cuanto más afecta un sistema a las personas, a sus derechos o a decisiones significativas, más control, documentación, transparencia y supervisión se exige a la organización.
Pero en Infoguard, como empresa de seguridad de la información, recomendamos a las organizaciones no fijarse únicamente en la regulación de IA.
En la práctica, el uso de IA ya se cruza con obligaciones existentes en materia de privacidad, seguridad de la información, gestión de riesgos, contratos con proveedores y responsabilidad de la dirección.
Incluso una organización que no opera directamente bajo regulación europea debe preguntarse qué ocurre cuando una herramienta de IA procesa datos personales, accede a información sensible o influye en decisiones de negocio.
Para nosotros, esto ya no es solo una cuestión tecnológica. Es una cuestión de gestión.
La privacidad debe entrar ya en la fase de especificación
Uno de los puntos que subrayamos una y otra vez es que no conviene esperar al final del proyecto para hablar de privacidad.
Si un sistema de IA recibe acceso al CRM, a la correspondencia, a documentos de empleados, a datos de clientes o a información de negocio sensible, hay que detenerse y hacer algunas preguntas básicas:
- ¿Necesitamos realmente todos estos datos?
- ¿Nos está permitido usarlos para este fin?
- ¿Se transfieren a un proveedor externo?
- ¿Dónde se almacenan?
- ¿Se usan para entrenar el modelo?
- ¿Quién puede acceder a ellos?
- ¿Qué ocurre con los datos cuando dejamos de usar el sistema?
Estos son exactamente los puntos en los que principios como Privacy by Design, minimización de datos y gestión del ciclo de vida de la información pasan de ser algo teórico a convertirse en un proceso de trabajo.
En Infoguard preferimos ver las cuestiones de privacidad entrando ya en la fase de evaluación del caso de uso, y no solo después de que el sistema esté en producción.
Las normas convierten el governance en algo gestionable
La regulación puede decirnos qué se exige. Pero la organización sigue necesitando un método que le ayude a gestionarlo en la práctica.
Aquí entra la norma ISO/IEC 42001, el estándar internacional para un sistema de gestión de inteligencia artificial.
La consideramos un marco importante porque obliga a la organización a mirar la IA como un sistema de gestión completo: política, responsables, riesgos, controles, objetivos, seguimiento y mejora continua.
Junto a ella, ISO/IEC 27001 aporta la base para la gestión de la seguridad de la información, e ISO/IEC 27701 añade la capa de gestión de la privacidad.
En la práctica los tres mundos se conectan:
- ISO 27001 – cómo gestionamos la seguridad de la información.
- ISO 27701 – cómo gestionamos la privacidad y los datos personales.
- ISO 42001 – cómo gestionamos los sistemas de IA y sus riesgos asociados.
Para nosotros es una conexión natural. Una organización que ya ha construido buenos procesos de governance en torno a la seguridad de la información y la privacidad no necesita empezar de cero, pero sí necesita extenderlos al mundo de la inteligencia artificial, los agentes y la IA.
Una política de IA es mucho más que una lista de herramientas
Vemos bastantes organizaciones que empiezan bien pero se detienen demasiado pronto.
Publican una lista de herramientas permitidas y prohibidas y creen que ya tienen una política de IA.
Es un comienzo, pero un governance real tiene que ir más lejos.
Recomendamos definir también: qué información se puede introducir en herramientas de IA, qué usos requieren aprobación, cómo se evalúa a un nuevo proveedor, quién está autorizado a conectar IA a un sistema corporativo, cuándo se involucra al CISO, al DPO o a la asesoría jurídica, y qué decisiones exigen supervisión humana.
Además, conviene elaborar un inventario de IA estructurado.
Es decir, saber qué sistemas y usos de IA existen, quién es su propietario, a qué datos acceden y cuál es su nivel de riesgo.
No se puede gestionar algo cuya existencia se desconoce.
Entonces, ¿de quién es la responsabilidad?
Esta es una de las preguntas que más escuchamos.
La respuesta es que no se puede depositar toda la responsabilidad en un solo departamento.
- IT gestiona los sistemas.
- El CISO gestiona los riesgos de seguridad de la información.
- El DPO examina los aspectos de privacidad.
- La asesoría jurídica se ocupa de la regulación y los contratos.
- La unidad de negocio suele ser quien solicita el despliegue y responde por el impacto en el negocio (BIA).
Por eso recomendamos una responsabilidad compartida, pero claramente definida.
Cada sistema o caso de uso significativo necesita un propietario. En paralelo, la organización debe decidir quién asume la responsabilidad global de la política de IA y de la gestión de riesgos.
Nos gusta comprobarlo con cuatro preguntas sencillas:
- ¿Quién aprobó el uso?
- ¿Quién lo supervisa y lo documenta?
- ¿Quién gestiona el riesgo?
- ¿Quién responde si algo sale mal?
Si no hay una respuesta clara a las cuatro, probablemente el governance aún no sea lo bastante maduro.
¿Y qué pasa con los empleados?
Ni siquiera la mejor política servirá si los empleados no la conocen.
Hoy vemos un riesgo creciente de Shadow AI: empleados que usan herramientas de IA de las que la organización no tiene ninguna constancia.
Por eso la alfabetización en IA y la formación de empleados deben formar parte del proceso.
Los empleados necesitan saber qué información no se puede introducir, cuándo un resultado requiere revisión humana y cuándo una herramienta nueva debe pasar por aprobación.
Además, un proveedor que gestiona los servicios de IA de forma externa y conforme a norma permite mapear o reducir el fenómeno y sus riesgos, y llevar las prácticas de trabajo a marcos controlados y gestionados.
Cómo lo vemos en Infoguard
En Infoguard acompañamos a las organizaciones en el punto de encuentro entre seguridad de la información, privacidad, regulación, normas y gestión de riesgos.
Para nosotros, el paso a la IA no reinventa las reglas del juego. Exige a la organización tomar los principios que ya conoce y extenderlos a un mundo nuevo, más rápido y más dinámico.
Dentro de nuestros servicios de seguridad de la información para empresas, ayudamos a las organizaciones a conectar política de IA, evaluaciones de riesgo, privacidad, normas, responsabilidad organizativa y formación de empleados, para que la adopción de IA se ejecute como un proceso gestionado y no como una iniciativa aislada.
¿Por dónde empezar?
Recomendamos empezar de forma sencilla:
- Mapear los sistemas y usos de inteligencia artificial existentes.
- Clasificarlos por datos, permisos y nivel de riesgo.
- Definir una política de IA y reglas de privacidad.
- Fijar un propietario y un proceso de aprobación para los usos significativos.
- Analizar las brechas frente a la regulación y las normas relevantes.
La pregunta ya no es si la organización usará IA.
La pregunta es si la inteligencia artificial avanza más rápido que el sistema de gestión que la rodea.
Para nosotros, el AI Governance no es una barrera a la innovación. Es lo que permite a una organización innovar sin renunciar al control, la privacidad y la responsabilidad.
Este artículo se ha escrito en colaboración con los expertos en seguridad de la información de Infoguard.