Hace apenas unos años era difícil imaginar herramientas de inteligencia artificial participando de forma habitual en procesos de gobernanza, gestión del riesgo o cumplimiento normativo. Hoy comienzan a formar parte del día a día de muchas organizaciones, apoyando tareas que van desde el análisis documental hasta la evaluación de riesgos, la revisión de evidencias o la supervisión de proveedores.
La conversación suele centrarse en los beneficios. La capacidad para procesar grandes volúmenes de información, reducir tareas repetitivas y agilizar determinados análisis está impulsando su adopción en numerosos sectores. Sin embargo, mientras se debate sobre todo lo que estas herramientas pueden aportar, existe una cuestión que merece una reflexión más pausada: qué nuevas dependencias estamos creando a medida que incorporamos la inteligencia artificial a procesos cada vez más relevantes para la organización.
Durante años, la gestión del riesgo ha prestado especial atención a aquellas dependencias capaces de afectar al funcionamiento global de una entidad. Infraestructuras tecnológicas, proveedores estratégicos, servicios cloud o plataformas críticas forman parte habitual de los análisis de riesgo porque una interrupción o un fallo en cualquiera de ellos puede tener consecuencias significativas para la actividad.
En este contexto, la inteligencia artificial empieza a ocupar un lugar cada vez más relevante. No porque sustituya a las personas, sino porque participa de forma creciente en procesos que influyen en cómo se interpreta la información, cómo se priorizan determinadas acciones y cómo se toman algunas decisiones.
Cuando las herramientas empiezan a influir en las decisiones
Tradicionalmente, los profesionales de riesgo, cumplimiento, auditoría o seguridad han utilizado herramientas para recopilar información, documentar evidencias y facilitar sus análisis. El juicio profesional seguía siendo el elemento central sobre el que descansaban las decisiones.
Hoy la situación empieza a evolucionar. Muchas herramientas ya no se limitan a presentar información. Son capaces de identificar patrones, clasificar riesgos, resumir documentación compleja, señalar posibles desviaciones o proponer recomendaciones.
Estas capacidades aportan valor y pueden mejorar significativamente la eficiencia de numerosos procesos. Sin embargo, también introducen una nueva realidad. Cuanto mayor sea el peso de estas herramientas en el análisis y la toma de decisiones, más importante será comprender cómo funcionan, qué limitaciones presentan y qué mecanismos existen para supervisar sus resultados.
No se trata de desconfiar de la tecnología. Se trata de aplicar los mismos principios de prudencia y gestión del riesgo que las organizaciones llevan años utilizando para evaluar cualquier otra capacidad crítica.
Dependencias que también deben ser gestionadas
La experiencia demuestra que las dependencias tecnológicas rara vez se convierten en un problema por sí mismas. El riesgo aparece cuando dejan de ser visibles.
Las organizaciones analizan de forma habitual los riesgos asociados a proveedores, infraestructuras o servicios esenciales porque entienden que una interrupción puede afectar simultáneamente a múltiples procesos de negocio.
Con la inteligencia artificial puede ocurrir algo similar.
Si distintos procesos relacionados con la gestión del riesgo, el cumplimiento normativo, la auditoría o la supervisión comienzan a apoyarse en las mismas capacidades, una incidencia, una degradación del servicio o una pérdida de disponibilidad podría tener efectos que vayan mucho más allá de una única herramienta o departamento.
Por este motivo, resulta razonable incorporar estas capacidades a los procesos habituales de evaluación del riesgo y analizarlas con la misma atención que otras dependencias relevantes para la organización.
La concentración de riesgo como una cuestión emergente
La historia reciente de la ciberseguridad ofrece numerosos ejemplos de cómo una dependencia ampliamente extendida puede convertirse en un problema de alcance global. Incidentes como Log4Shell en 2021 o determinadas vulnerabilidades críticas que afectaron a plataformas ampliamente utilizadas en entornos corporativos demostraron que una única debilidad puede tener consecuencias para miles de organizaciones de forma simultánea.
Estos casos pusieron de manifiesto una realidad bien conocida en la gestión del riesgo. Cuando muchas entidades dependen de una misma tecnología, un mismo proveedor o un mismo servicio, el impacto potencial de un incidente deja de ser individual para convertirse en colectivo.
La pregunta es si algo parecido podría ocurrir en un contexto donde cada vez más organizaciones utilizan capacidades de inteligencia artificial para apoyar procesos relevantes de negocio, riesgo o cumplimiento normativo.
No se trata de cuestionar la fiabilidad de herramientas concretas ni de anticipar escenarios extremos. Se trata de aplicar los mismos criterios que ya se utilizan para evaluar otras dependencias críticas. Comprender el grado de dependencia existente, identificar posibles puntos únicos de fallo y valorar el impacto de una interrupción forman parte de cualquier estrategia madura de gestión del riesgo.
Desde esta perspectiva, la cuestión no es únicamente qué capacidades aporta la inteligencia artificial, sino también qué nivel de dependencia estamos dispuestos a asumir respecto a ella.
La confianza necesita supervisión
Los modelos actuales destacan por su capacidad para generar respuestas útiles, resumir información compleja y acelerar tareas que tradicionalmente requerían un importante esfuerzo manual.
Sin embargo, ninguna tecnología está libre de errores, limitaciones o resultados inesperados.
La confianza en estas herramientas no debería sustituir nunca a la revisión ni al criterio profesional. Especialmente cuando sus resultados pueden influir en decisiones relevantes para la organización, sigue siendo necesario mantener mecanismos de validación, supervisión y control.
Conceptos como la trazabilidad, la transparencia, la revisión periódica o la capacidad de auditoría continúan siendo tan importantes como siempre. La adopción de nuevas tecnologías no elimina la necesidad de control. En muchos casos, la refuerza.
Un reto alineado con los nuevos marcos de gobernanza
La necesidad de gestionar adecuadamente los riesgos asociados a la inteligencia artificial está siendo reconocida de forma progresiva por distintos marcos normativos y de referencia.
Iniciativas como ISO/IEC 42001, ISO 31000, ISO/IEC 27001, el NIST AI Risk Management Framework o el Reglamento DORA comparten una idea común. La inteligencia artificial debe integrarse dentro de los procesos habituales de gobernanza y gestión del riesgo, igual que cualquier otra capacidad con potencial para afectar a la organización.
Más allá de sus capacidades técnicas, las entidades necesitan comprender cómo estas herramientas pueden influir en su resiliencia operativa, qué dependencias generan y qué medidas resultan necesarias para garantizar un uso seguro, transparente y alineado con los objetivos de negocio.
Una oportunidad para reforzar la resiliencia
La inteligencia artificial seguirá ganando presencia en los procesos empresariales durante los próximos años. Su capacidad para mejorar la productividad y apoyar el análisis de información compleja representa una oportunidad significativa para organizaciones de todos los tamaños.
Al mismo tiempo, su adopción ofrece una oportunidad para revisar cómo entendemos y gestionamos las dependencias tecnológicas en un entorno cada vez más interconectado.
El debate ya no gira en torno a si estas herramientas van a utilizarse o no. En muchos casos ya forman parte de los procesos habituales de las organizaciones. La cuestión es cómo integrarlas sin perder visibilidad sobre las nuevas dependencias que generan y sin dejar de aplicar los principios básicos de una buena gestión del riesgo.
La inteligencia artificial puede aportar capacidades de enorme valor para la gobernanza, el cumplimiento y la gestión del riesgo. Sin embargo, como cualquier otra tecnología estratégica, también exige supervisión, evaluación continua y una comprensión clara de sus limitaciones.
Comprender estas nuevas dependencias será tan importante como aprovechar las oportunidades que ofrecen. En buena medida, la resiliencia de los próximos años dependerá de la capacidad de las organizaciones para mantener ese equilibrio.
Porque gestionar los riesgos asociados a la inteligencia artificial puede acabar siendo tan importante como aprovechar las capacidades que esta ofrece.
