Los tramos de autopistas no se mantienen seguros solo porque los conductores siguen el Código de la Carretera. Dependen de límites de velocidad, señalización y barreras de contención que mantienen el tráfico en movimiento para ayudar a evitar que errores se conviertan en accidentes graves.

La gobernanza de la IA funciona de la misma manera. Las políticas definen las reglas, pero los controles operativos mantienen a las organizaciones en el rumbo cuando la tecnología, los usuarios y los riesgos cambian.

A medida que las organizaciones aceleran la adopción de IA, muchas se han centrado en desarrollar políticas, marcos de gobernanza y directrices de uso aceptable. Esos pasos son esenciales, pero las políticas por sí solas no pueden evitar que los sistemas de IA accedan a datos incorrectos, interactúen con las aplicaciones equivocadas o generen riesgos operativos no intencionados.

La Ley de IA de la UE ha convertido la gobernanza de la IA en un tema de nivel directivo, exigiendo a las organizaciones que usan o desarrollan IA identificar, gestionar y documentar riesgos, particularmente para sistemas de alto riesgo.

Esto ha introducido nuevas expectativas en torno a la supervisión, la documentación, la gobernanza de datos y la transparencia. Sin embargo, la regulación por sí sola no resolverá el mayor desafío práctico: la adopción de IA avanza más rápido que la gobernanza.

Los empleados utilizan herramientas públicas de IA, los desarrolladores se apoyan en asistentes de codificación y los equipos de negocio implementan capacidades de IA en plataformas existentes. En muchos casos, estas tecnologías se introducen antes de que los equipos de seguridad, cumplimiento y riesgo comprendan completamente qué pueden acceder, a qué sistemas influyen o cómo cambian el perfil de riesgo general de la organización.

Ese es el vacío entre la aspiración regulatoria y la realidad operativa. Las organizaciones pueden haber aprobado casos de uso de IA y marcos de gobernanza, pero a menudo solo gobiernan parte de la IA ya operativa en la empresa.

Superar ese desajuste empieza por tratar la IA como un desafío operativo, más que como un simple ejercicio de cumplimiento. En la práctica, ir más allá de la política implica entender cómo se usa la IA, aplicar controles conforme al riesgo empresarial y adaptar la gobernanza a medida que evolucionan las capacidades de IA.

La IA sombra está cambiando el reto de gobernanza

La gobernanza tradicional asume que las organizaciones conocen las tecnologías que operan en la empresa. la IA lo ha cambiado. La IA sombra ya no se limita a empleados experimentando con herramientas públicas.

Incluye también capacidades de IA integradas a través de actualizaciones regulares de software, flujos de trabajo impulsados por IA creados por usuarios de negocio y agentes autónomos que operan en sistemas empresariales sin haber sido considerados proyectos formales de IA. Estas capacidades suelen adoptarse más rápido de lo que los procesos de gobernanza pueden identificarlas, evaluarlas y gestionarlas.

Hoy la IA no solo apoya a los empleados: actúa en su nombre. Los agentes de IA pueden recuperar información, activar flujos de trabajo, interactuar con sistemas empresariales y tomar decisiones operativas con permisos heredados de las personas o sistemas que representan.

Por ello, la superficie de ataque de la empresa ha cambiado de forma fundamental. Los equipos de seguridad ya no protegen solo a las personas, dispositivos y aplicaciones; también deben proteger sistemas autónomos capaces de moverse entre entornos, acceder a información sensible, interactuar con flujos de trabajo críticos y tomar decisiones de forma independiente.

Cada nuevo agente de IA representa una vía adicional para un uso indebido accidental o una actividad maliciosa si no se gobierna adecuadamente.

La regulación define las reglas. El contexto construye las barreras.

La Ley de IA de la UE pone un énfasis significativo en la responsabilidad, la supervisión y la gestión de riesgos a lo largo del ciclo de vida de la IA. Pero cumplir esas expectativas requiere mucho más que documentación.

La regulación define los resultados que las organizaciones deben lograr; el desafío es traducir esos requisitos en gobernanza operativa en entornos donde la IA evoluciona constantemente.

Esto empieza por entender la IA en su contexto. El riesgo no puede evaluarse observando un sistema de IA aislado. Un asistente de IA que resume documentos internos puede parecer de bajo riesgo hasta que accede a información sensible de negocio.

Del mismo modo, un agente de IA que automatiza compras puede operar de forma segura en circunstancias normales, pero su perfil de riesgo cambia significativamente si puede aprobar transacciones financieras, heredar identidades privilegiadas o iniciar acciones en sistemas críticos de negocio.

El riesgo se define no solo por la IA en sí, sino por las identidades, aplicaciones, infraestructuras, datos y procesos de negocio a los que se conecta. A medida que se integra más profundamente en estos sistemas interconectados, la gobernanza de IA se superpone cada vez más con la ciberseguridad.

Cada capacidad de IA introducida en la empresa puede crear nuevos caminos de ataque, ampliar el acceso a información sensible y aumentar el número de identidades no humanas que operan en el entorno.

Incidentes recientes, como la eliminación de una base de datos de PocketOS por un agente de codificación de IA en segundos, han mostrado cuán rápido el riesgo de la IA puede convertirse en riesgo operacional cuando se otorga a los sistemas de IA más autoridad de la prevista.

Por ello, las organizaciones deben gobernar las identidades y permisos de IA con la misma rigurosidad que las personas, revisando periódicamente el acceso heredado y eliminando privilegios innecesarios antes de que generen nuevos caminos de ataque.

La gobernanza también debe extenderse más allá de sistemas individuales de IA. Las organizaciones deben entender cómo la IA interactúa con identidades, activos empresariales, procesos de negocio y datos críticos para priorizar controles donde tendrán el mayor impacto.

Juntar a equipos de seguridad, riesgo, cumplimiento y tecnología alrededor de este entendimiento compartido convierte la gobernanza en un habilitador de resiliencia, en lugar de ser solo un ejercicio de cumplimiento.

Construyendo las railes

A medida que la regulación de IA continúa evolucionando, se espera que las organizaciones demuestren que la gobernanza existe no solo en papel, sino en la práctica. Las políticas establecen las reglas, pero la gobernanza operativa construye las railes que mantienen a la IA operando de forma segura a medida que evolucionan las tecnologías, cambian los permisos y emergen nuevas capacidades.

Ir más allá de la política implica insertar la gobernanza en las operaciones diarias. Las organizaciones deben identificar continuamente nuevas capacidades de IA, entender cómo se relacionan con los activos empresariales, revisar los permisos que heredaron, evaluar el impacto comercial y priorizar las exposiciones que presentan el mayor riesgo.

Esto permite aplicar controles donde tendrán el mayor impacto, al tiempo que se respalda una adopción responsable de IA en toda la empresa.

La gobernanza también debe mantenerse al ritmo del cambio. A medida que evolucionan los agentes de IA y los entornos cambian, las organizaciones deben poder ajustar permisos, restringir accesos, aislar a los agentes afectados o impedir acciones que excedan el rol previsto de un sistema de IA antes de que se conviertan en problemas operativos más amplios.

El objetivo no es frenar la adopción de IA, sino crear la confianza para innovar de forma segura cuando la IA se integra en el negocio cotidiano.

La innovación necesita tanto reglas como rails

La IA seguirá transformando la forma en que las organizaciones operan, innovan y compiten. Pero las empresas que aprovechen plenamente el potencial de la IA no serán las que tengan los documentos de políticas más extensos.

Serán aquellas que integren la gobernanza en las operaciones diarias, gobiernen las identidades y permisos de IA con la misma disciplina que cualquier activo crítico y adapten continuamente los controles conforme evoluciona la tecnología.

La Ley de IA de la UE ha elevado las expectativas en cuanto a responsabilidad, pero las organizaciones que vayan más allá de la política y el cumplimiento estarán mejor posicionadas para liberar todo el potencial de la IA.

En la era de la IA autónoma, la gobernanza no se trata solo de establecer reglas; se trata de crear las barreras que permiten a las organizaciones innovar con confianza sin comprometer la seguridad, la confianza o la resiliencia.

Este artículo forma parte de TechRadar Pro Perspectives, nuestra vía para presentar a las mentes más brillantes de la industria tecnológica hoy.

from Latest from TechRadar https://ift.tt/7cW6m9p
via IFTTT IA