7 Min. Lectura<\/p>\n
Quien adopta un modelo de IA en producci\u00f3n asume la responsabilidad de su comportamiento, sus riesgos y su mantenimiento. Que sea un modelo alem\u00e1n nuevo desarrollado por un consorcio financiado, no cambia eso. El CIO no puede delegar esa responsabilidad en el origen o en una licencia abierta. La soberan\u00eda se evidencia en c\u00f3mo una organizaci\u00f3n gestiona, controla y documenta el uso.<\/strong><\/p>\n LO ESENCIAL EN BREVE<\/p>\n RELACIONADO:<\/span>Nube Soberana: Cu\u00e1ndo el recargo realmente compensa<\/a> \/<\/span> Muse Spark obliga a los CIOs a replantearse<\/a><\/p>\n Muchas organizaciones inician la evaluaci\u00f3n de un nuevo modelo a partir del rendimiento. As\u00ed empiezan por el extremo equivocado. Primero deben contar con sus propias estructuras de gobernanza. Un modelo consorciado, como el que recientemente present\u00f3 el proyecto Soofi, surge de la uni\u00f3n de varias instituciones de investigaci\u00f3n y empresas. La decisi\u00f3n de adoptarlo no recae solo en el \u00e1rea de TI; afecta a cumplimiento, al departamento legal y, al final, al consejo de administraci\u00f3n.<\/p>\n El Reglamento de la Uni\u00f3n Europea sobre IA (EU AI Act) exige transparencia, clasificaci\u00f3n de riesgos y supervisi\u00f3n humana. Estas obligaciones se aplican sin importar si el modelo proviene de un proyecto financiado p\u00fablicamente. Las pol\u00edticas internas deben determinar en qu\u00e9 casos de uso un modelo con madurez comercial limitada est\u00e1 autorizado a entrar en funcionamiento. Si falta esa definici\u00f3n, el conflicto aparecer\u00e1 m\u00e1s adelante cuando un \u00e1rea funcional quiera usar el modelo en producci\u00f3n y la base legal no quede aclarada.<\/p>\n Adem\u00e1s, est\u00e1 la responsabilidad. Un proveedor comercial establece l\u00edmites de responsabilidad pactados contractualmente. En un consorcio la asignaci\u00f3n resulta menos clara, ya que la responsabilidad se reparte entre varias instituciones. El director de tecnolog\u00eda (CIO) deber\u00eda definir desde temprano qu\u00e9 riesgos asume la propia organizaci\u00f3n y cu\u00e1les pueden cubrirse mediante acuerdos.<\/p>\n Una licencia abierta desplaza la dependencia. No la elimina.<\/p><\/blockquote>\n Integrar una infraestructura IT existente es m\u00e1s que una cuesti\u00f3n de compatibilidad t\u00e9cnica. Se trata de definir qui\u00e9n se encarga de la disponibilidad, de los parches de seguridad y de adaptar el sistema a nuevas exigencias. Un consorcio de investigaci\u00f3n no est\u00e1 pensado para un soporte operativo a largo plazo. Los fondos del Ministerio de Econom\u00eda y los de la UE dejan de fluir en una fecha determinada. Despu\u00e9s, alguien debe asumir la responsabilidad.<\/p>\n En la pr\u00e1ctica, muchos equipos parten de la suposici\u00f3n de que la licencia abierta les permite continuar el modelo por su cuenta. Sin capacidades propias para ajustes finos, auditor\u00edas de seguridad y monitoring, r\u00e1pidamente se crea una nueva dependencia. Esta vez no se dirige contra un proveedor \u00fanico, sino contra la continuidad de las instituciones involucradas o la disposici\u00f3n de una comunidad para mantener el modelo.<\/p>\n El punto ciego<\/p>\n La disponibilidad no es control.<\/strong> Hacer que un modelo funcione en un centro de datos propio no significa que lo domines. Sin monitoreo de los flujos de datos, sin control de versiones y sin un camino de escalamiento definido, la soberan\u00eda queda solo en papel.<\/p>\n<\/div>\n La soberan\u00eda implica que la organizaci\u00f3n decida por s\u00ed misma c\u00f3mo se implementa el modelo, qu\u00e9 datos procesa y cu\u00e1ndo se adapta o sustituye. Para ello se necesitan roles y procesos que sustenten esas decisiones. A menudo la competencia recae en pocos especialistas de TI. El \u00e1rea funcional conoce los requisitos, el consejo directivo los riesgos estrat\u00e9gicos. Sin una distribuci\u00f3n clara de roles aparecen precisamente esas lagunas.<\/p>\n Los problemas de estructura se manifiestan cuando no se define una instancia que decida sobre el uso en un nuevo caso de aplicaci\u00f3n. Los problemas de personal se presentan cuando un experto individual se ausenta y nadie puede asumir la responsabilidad. Ambos deben abordarse simult\u00e1neamente. El desarrollo de capacidad de control, por tanto, requiere dos cosas: derechos de decisi\u00f3n definidos y un desarrollo focalizado de competencias en los equipos que sostienen el modelo.<\/p>\n El proyecto Soofi indica como objetivo la plena control sobre datos, procedencia e infraestructura. Para el usuario eso significa verificar si esa control llega a la propia organizaci\u00f3n. Adoptar un modelo de un consorcio sin crear mecanismos propios de supervisi\u00f3n de flujos de datos y versiones del modelo solo traslada la dependencia a otro lugar.<\/p>\n Revisi\u00f3n, supervisi\u00f3n y clientes preguntan cada vez m\u00e1s c\u00f3mo una organizaci\u00f3n ejerce realmente el control sobre sus sistemas de IA. La afirmaci\u00f3n de que un modelo es soberano solo porque se desarroll\u00f3 en Europa no basta en una auditor\u00eda. El CIO debe poder demostrar qu\u00e9 datos entraron en el entrenamiento, c\u00f3mo se documentan los cambios y qu\u00e9 mecanismos de control est\u00e1n en vigor durante la operaci\u00f3n.<\/p>\n En particular, cuando los modelos provienen de contextos de investigaci\u00f3n, la documentaci\u00f3n de los datos de entrenamiento y los procedimientos suele carecer del nivel de detalle que exige una auditor\u00eda. Esta brecha tambi\u00e9n fue se\u00f1alada por la comunidad especializada en el informe Soofi. Para el usuario queda la cuesti\u00f3n de si puede verificar de forma independiente la informaci\u00f3n del consorcio y qu\u00e9 conclusiones extraer para su propia evaluaci\u00f3n de riesgos.<\/p>\n Sin pruebas s\u00f3lidas ante auditor\u00edas internas o externas, la soberan\u00eda se queda en una afirmaci\u00f3n. Por eso, la creaci\u00f3n de rastros de auditor\u00eda y la capacidad de ofrecer informaci\u00f3n detallada bajo demanda deben formar parte de la planificaci\u00f3n desde el inicio. En sectores regulados, donde la supervisi\u00f3n exige pruebas concretas, este aspecto determina la autorizaci\u00f3n.<\/p>\n \u00bfQu\u00e9 es la Gobernanza de IA?<\/strong> KI-Governance es el marco vinculante que establece derechos de decisi\u00f3n, criterios de riesgo, obligaciones de documentaci\u00f3n y puntos de control, definiendo qui\u00e9n decide la selecci\u00f3n, el uso y la retirada de un modelo y qui\u00e9n asume la responsabilidad en caso de incidente. Sin este marco, el despliegue resulta incontrolable y no demostrable en una auditor\u00eda. Esto se aplica tanto a un modelo de consorcio como a un proveedor comercial.<\/p>\n<\/div>\n El principal argumento en contra pesa mucho: un modelo p\u00fablicamente financiado, con licencia permisiva desarrollado por un amplio consorcio europeo supone ya un avance frente a alternativas propietarias. Reduce la dependencia de proveedores extranjeros y permite la personalizaci\u00f3n propia. Este argumento se mantiene mientras la alternativa ofrezca realmente menos control. S\u00f3lo se pasa por alto un detalle: la disponibilidad formal de un modelo no implica autom\u00e1ticamente que la organizaci\u00f3n disponga de control operativo. Precisamente ese control debe generar el CIO.<\/p>\n En los primeros 30 d\u00edas, un equipo integrado por profesionales de TI, Legal, Cumplimiento y un representante del \u00e1rea especializada elabora un cat\u00e1logo de criterios. Este documento recoge los requisitos que deben cumplirse en la propia organizaci\u00f3n en cuanto a procedencia de los datos, procesos de actualizaci\u00f3n, rutas de escalado y evidencias. El CIO act\u00faa como patrocinador, mientras que la direcci\u00f3n operativa recae en el CISO.<\/p>\n Durante los siguientes 30 d\u00edas, se desarrolla una matriz de dependencias de los usos actuales de IA. Por cada sistema, esta matriz identifica al propietario funcional, el nivel de escalado en caso de incidencia y la presencia o ausencia de pruebas sobre el origen de los datos y su control. La matriz revela en qu\u00e9 \u00e1reas a\u00fan no se ha designado a nadie que asuma la responsabilidad en caso de duda.<\/p>\n En los \u00faltimos 30 d\u00edas, se definen las primeras medidas contractuales y organizativas para un escenario piloto seleccionado. Entre ellas, se incluye aclarar qui\u00e9n debe ser capaz de actuar en un plazo de 48 horas ante un cambio de modelo o una vulnerabilidad de seguridad, as\u00ed como c\u00f3mo demostrar esa capacidad de actuaci\u00f3n.<\/p>\n En un modelo de un consorcio de investigaci\u00f3n, las preguntas de responsabilidad suelen estar menos definidas que con proveedores comerciales. La organizaci\u00f3n debe evaluar en qu\u00e9 medida asume la responsabilidad por da\u00f1os derivados del comportamiento del modelo. Los contratos con los socios del consorcio solo ayudan en cierta medida, ya que la responsabilidad se reparte entre varias instituciones.<\/p>\n<\/details>\n Comienza definiendo roles y procesos de decisi\u00f3n y puede extenderse durante varios meses hasta un a\u00f1o, dependiendo de la situaci\u00f3n inicial. La integraci\u00f3n t\u00e9cnica es m\u00e1s r\u00e1pida. La capacidad de evaluar, supervisar y, si fuera necesario, sustituir un modelo por uno propio requiere un desarrollo espec\u00edfico de competencias y experiencia pr\u00e1ctica.<\/p>\n<\/details>\n Una beta cerrada significa que el modelo a\u00fan no se ha puesto a disposici\u00f3n del p\u00fablico en general y que su arquitectura, comportamiento y soporte a\u00fan pueden modificarse. Quienes lo eval\u00faan deben aclarar qu\u00e9 garant\u00edas de desarrollo y soporte se aplican m\u00e1s all\u00e1 de la beta. Sin esas garant\u00edas, el uso productivo conlleva una alta incertidumbre.<\/p>\n<\/details>\n M\u00e1s del medio MBF Media Netzwerk<\/p>\n\n
La gobernanza se encuentra al borde de la elecci\u00f3n del modelo<\/h2>\n
Clarificar la responsabilidad operativa e integraci\u00f3n<\/h2>\n
Desarrollar la capacidad de control interno<\/h2>\n
Responsabilidad de Evidencia y Auditaribilidad en la Pr\u00e1ctica<\/h2>\n
La posici\u00f3n contraria<\/h2>\n
El impulso de acci\u00f3n de 90 d\u00edas<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfQu\u00e9 riesgos de responsabilidad surgen al usar un modelo de consorcio?<\/strong><\/summary>\n
\u00bfCu\u00e1nto tiempo se tarda en desarrollar una capacidad interna de control suficiente?<\/strong><\/summary>\n
\u00bfQu\u00e9 implica la fase beta cerrada para su uso en producci\u00f3n?<\/strong><\/summary>\n