Hai apenas uns anos era difícil imaxinar ferramentas de intelixencia artificial participando de forma habitual en procesos de gobernanza, xestión do risco ou cumprimento normativo. Hoxe comezan a formar parte do día a día de moitas organizacións, apoiando tarefas que van desde a análise documental ata a avaliación de riscos, a revisión de evidencias ou a supervisión de provedores.
A conversa adoita centrarse nos beneficios. A capacidade para procesar grandes volumes de información, reducir tarefas repetitivas e axilizar determinados análises está impulsando a súa adopción en numerosos sectores. Porén, mentres se debate sobre todo o que estas ferramentas poden achegar, existe unha cuestión que merece unha reflexión máis pausada: que novas dependencias estamos a crear a medida que incorporamos a intelixencia artificial a procesos cada vez máis relevantes para a organización.
Durante anos, a xestión do risco prestou especial atención a aquelas dependencias capaces de afectar ao funcionamento global dunha entidade. Infraestruturas tecnolóxicas, provedores estratéxicos, servizos cloud ou plataformas críticas forman parte habitual das análises de risco porque unha interrupción ou un fallo en calquera deles pode ter consecuencias significativas para a actividade.
Neste contexto, a intelixencia artificial comeza a ocupar un lugar cada vez máis relevante. Non porque substitúa ás persoas, senón porque participa de forma crecente en procesos que inflúen en como se interpreta a información, como se priorizan determinadas accións e como se toman algunhas decisións.
Cando as ferramentas comezan a influír nas decisións
Tradicionalmente, os profesionais de risco, cumprimento, auditoría ou seguridade utilizaron ferramentas para recompilar información, documentar evidencias e facilitar as súas análises. O criterio profesional continuaba sendo o elemento central sobre o que descansaban as decisións.
Hoxe a situación comeza a evolucionar. Moitas ferramentas xa non se limitan a presentar información. Son capaces de identificar patróns, clasificar riscos, resumir documentación complexa, sinalar posibles desviacións ou propoñer recomendacións.
Estas capacidades achegan valor e poden mellorar significativamente a eficiencia de numerosos procesos. Porén, tamén introducen unha nova realidade. Canto maior sexa o peso destas ferramentas na análise e na toma de decisións, máis importante será comprender como funcionan, que limitacións presentan e que mecanismos existen para supervisar os seus resultados.
Non se trata de desconfiar da tecnoloxía. Trátase de aplicar os mesmos principios de prudencia e xestión do risco que as organizacións levan anos utilizando para avaliar calquera outra capacidade crítica.
Dependencias que tamén deben ser xestionadas
A experiencia demostra que as dependencias tecnolóxicas rara vez se converten nun problema por si mesmas. O risco aparece cando deixan de ser visibles.
As organizacións analizan de forma habitual os riscos asociados a provedores, infraestruturas ou servizos esenciais porque entenden que unha interrupción pode afectar simultaneamente a múltiples procesos de negocio.
Coa intelixencia artificial pode ocorrer algo semellante.
Se distintos procesos relacionados coa xestión do risco, o cumprimento normativo, a auditoría ou a supervisión comezan a apoiarse nas mesmas capacidades, unha incidencia, unha degradación do servizo ou unha perda de dispoñibilidade podería ter efectos que vaian moito máis alá dunha única ferramenta ou departamento.
Por este motivo, resulta razoable incorporar estas capacidades aos procesos habituais de avaliación do risco e analizalas coa mesma atención que outras dependencias relevantes para a organización.
A concentración de risco como unha cuestión emerxente
A historia recente da ciberseguridade ofrece numerosos exemplos de como unha dependencia amplamente estendida pode converterse nun problema de alcance global. Incidentes como Log4Shell en 2021 ou determinadas vulnerabilidades críticas que afectaron plataformas amplamente utilizadas en contornas corporativas demostraron que unha única debilidade pode ter consecuencias para miles de organizacións de forma simultánea.
Estes casos puxeron de manifesto unha realidade ben coñecida na xestión do risco. Cando moitas entidades dependen dunha mesma tecnoloxía, dun mesmo provedor ou dun mesmo servizo, o impacto potencial dun incidente deixa de ser individual para converterse en colectivo.
A pregunta é se algo parecido podería ocorrer nun contexto no que cada vez máis organizacións utilizan capacidades de intelixencia artificial para apoiar procesos relevantes de negocio, risco ou cumprimento normativo.
Non se trata de cuestionar a fiabilidade de ferramentas concretas nin de anticipar escenarios extremos. Trátase de aplicar os mesmos criterios que xa se utilizan para avaliar outras dependencias críticas. Comprender o grao de dependencia existente, identificar posibles puntos únicos de fallo e valorar o impacto dunha interrupción forman parte de calquera estratexia madura de xestión do risco.
Desde esta perspectiva, a cuestión non é unicamente que capacidades achega a intelixencia artificial, senón tamén que nivel de dependencia estamos dispostos a asumir respecto dela.
A confianza necesita supervisión
Os modelos actuais destacan pola súa capacidade para xerar respostas útiles, resumir información complexa e acelerar tarefas que tradicionalmente requirían un importante esforzo manual.
Porén, ningunha tecnoloxía está libre de erros, limitacións ou resultados inesperados.
A confianza nestas ferramentas non debería substituír nunca a revisión nin o criterio profesional. Especialmente cando os seus resultados poden influír en decisións relevantes para a organización, segue sendo necesario manter mecanismos de validación, supervisión e control.
Conceptos como a trazabilidade, a transparencia, a revisión periódica ou a capacidade de auditoría continúan sendo tan importantes como sempre. A adopción de novas tecnoloxías non elimina a necesidade de control. En moitos casos, refórzaa.
Un reto aliñado cos novos marcos de gobernanza
A necesidade de xestionar adecuadamente os riscos asociados á intelixencia artificial está a ser recoñecida de forma progresiva por distintos marcos normativos e de referencia.
Iniciativas como ISO/IEC 42001, ISO 31000, ISO/IEC 27001, o NIST AI Risk Management Framework ou o Regulamento DORA comparten unha idea común. A intelixencia artificial debe integrarse dentro dos procesos habituais de gobernanza e xestión do risco, igual que calquera outra capacidade con potencial para afectar á organización.
Máis aló das súas capacidades técnicas, as entidades necesitan comprender como estas ferramentas poden influír na súa resiliencia operativa, que dependencias xeran e que medidas resultan necesarias para garantir un uso seguro, transparente e aliñado cos obxectivos de negocio.
Unha oportunidade para reforzar a resiliencia
A intelixencia artificial seguirá gañando presenza nos procesos empresariais durante os próximos anos. A súa capacidade para mellorar a produtividade e apoiar a análise de información complexa representa unha oportunidade significativa para organizacións de todos os tamaños.
Ao mesmo tempo, a súa adopción ofrece unha oportunidade para revisar como entendemos e xestionamos as dependencias tecnolóxicas nunha contorna cada vez máis interconectada.
O debate xa non xira arredor de se estas ferramentas van utilizarse ou non. En moitos casos xa forman parte dos procesos habituais das organizacións. A cuestión é como integralas sen perder visibilidade sobre as novas dependencias que xeran e sen deixar de aplicar os principios básicos dunha boa xestión do risco.
A intelixencia artificial pode achegar capacidades de enorme valor para a gobernanza, o cumprimento normativo e a xestión do risco. Porén, como calquera outra tecnoloxía estratéxica, tamén esixe supervisión, avaliación continua e unha comprensión clara das súas limitacións.
Comprender estas novas dependencias será tan importante como aproveitar as oportunidades que ofrecen. En boa medida, a resiliencia dos próximos anos dependerá da capacidade das organizacións para manter ese equilibrio.
Porque xestionar os riscos asociados á intelixencia artificial pode acabar sendo tan importante como aproveitar as capacidades que esta ofrece.
