GOBERNAR — Políticas, rendición de cuentas y cultura
Descripción
La función GOBERNAR establece y mantiene las estructuras organizacionales, las políticas, los procesos y la cultura necesarios para la gestión responsable del riesgo de IA. Es transversal: a diferencia de MAPEAR, MEDIR y GESTIONAR, que se aplican a sistemas de IA individuales, GOBERNAR se aplica a toda la organización y sienta las bases para todas las demás funciones. Sin una gobernanza eficaz, las demás funciones no pueden operar de manera consistente ni a escala.
Subcategorías
| ID | Nombre | Descripción |
|---|---|---|
| GV-1 | Políticas, procesos y prácticas | Las políticas, los procesos, los procedimientos y las prácticas de IA están implementados en toda la organización para m... |
| GV-2 | Estructuras de rendición de cuentas | Se establecen roles, responsabilidades y líneas de comunicación relacionadas con la gestión del riesgo de IA, con una re... |
| GV-3 | Diversidad, equidad, inclusión y accesibilidad | Los equipos organizacionales que construyen, despliegan y utilizan sistemas de IA reflejan la diversidad, y son proactiv... |
| GV-4 | Cultura y compromiso organizacional | La cultura organizacional y el liderazgo fomentan una administración responsable de la IA confiable alineada con los val... |
| GV-5 | Participación de las partes interesadas | Se cuenta con prácticas organizacionales que permiten el despliegue y el uso continuo de la IA con la participación de l... |
| GV-6 | Gestión del riesgo de la cadena de suministro | Los riesgos y beneficios de la IA provenientes de recursos de terceros se monitorean regularmente, y los controles de ri... |
Orientación de implementación
Establecimiento de la infraestructura de gobernanza de IA
GOBERNAR requiere construir la gobernanza de arriba hacia abajo. Comenzar con el patrocinio ejecutivo: sin el compromiso de la alta dirección, la gobernanza de IA se convierte en un ejercicio de casillas de verificación. Designar a un responsable de la gobernanza de IA (a menudo el CISO, el CTO, o un Chief AI Officer dedicado) con autoridad para hacer cumplir las políticas en todas las unidades de negocio.
Construcción del marco de políticas
Desarrollar una estructura de políticas por niveles:
- Política de gobernanza de IA — Aprobada por la junta directiva, define el apetito de riesgo, los principios éticos y la rendición de cuentas
- Política de uso aceptable de IA — Define los usos permitidos/prohibidos de la IA, el manejo de datos y los flujos de aprobación
- Procedimientos de gestión de riesgo de IA — Procedimientos operativos para la evaluación, el tratamiento y el monitoreo del riesgo
- Estándares de desarrollo de IA — Estándares técnicos para la revisión de código, las pruebas, la validación del modelo y el despliegue
Estructura organizacional
Establecer un Comité de Gobernanza de IA multifuncional con representantes de ingeniería, legal, cumplimiento, riesgo, recursos humanos y las unidades de negocio. Este comité revisa los despliegues de IA de alto riesgo, resuelve las excepciones de política, y hace seguimiento a la postura de riesgo de IA de la organización.
Rendición de cuentas y RACI
Crear una matriz RACI que asigne cada actividad del ciclo de vida de la IA a roles específicos:
- Propietario del sistema de IA — Líder de negocio responsable de los resultados del sistema y de la aceptación del riesgo
- Desarrollador de IA — Responsable de construir sistemas que cumplan con los estándares de gobernanza
- Gerente de riesgo de IA — Consultado en las evaluaciones de riesgo, informado de todos los despliegues
- Administrador de datos (Data Steward) — Responsable de la calidad, la privacidad y el linaje de los datos
- Revisor de ética — Consultado en las aplicaciones de IA de alto riesgo o sensibles
Cultura e incentivos
La gobernanza fracasa sin un refuerzo cultural. Incluir las prácticas de IA responsable en las evaluaciones de desempeño, crear canales seguros para reportar inquietudes (protecciones para denunciantes), y reconocer públicamente a los equipos que identifican y mitigan los riesgos de IA antes del despliegue.
Requisitos de evidencia
- Política de Gobernanza de IA aprobada por la junta directiva, con firmas ejecutivas y fechas de revisión anual
- Política de Uso Aceptable de IA publicada a todos los empleados con seguimiento de confirmación de lectura
- Estatuto del Comité de Gobernanza de IA, lista de miembros y actas de reuniones
- Matriz RACI para las actividades del ciclo de vida de la IA que cubra todos los sistemas de IA activos
- Declaración de apetito de riesgo de IA con umbrales cuantitativos (por ejemplo, métricas máximas aceptables de sesgo, tolerancia de exposición de datos)
- Registros de finalización de capacitación que muestren una cobertura superior al 90% para las audiencias objetivo
- Cuestionario de evaluación de riesgo de proveedores de IA de terceros y evaluaciones completadas
- Inventario de cadena de suministro de todos los componentes, API y modelos de IA de terceros con seguimiento de versiones
- Informe anual de revisión de la eficacia de la gobernanza con brechas identificadas y planes de remediación