La Ley de IA no se ha detenido y deberíamos servir para prepararnos más y mejor

Por Chris Dimitriadis, Global Chief Strategy Officer en ISACA

 

Europa ha decidido darse más tiempo para aplicar algunas de las obligaciones contempladas en la Ley de Inteligencia Artificial. Es una decisión que podemos valorar positivamente si eso implica que contribuirá a aportar aún más claridad y que permitirá a las organizaciones cumplir con aún mayor criterio.

Sobre todo, porque la adopción de la inteligencia artificial en las empresas ya está integrada en procesos de negocio, análisis de datos, creación de contenidos e incluso en la toma de decisiones. Y, en muchos casos, esta integración avanza más rápido de lo que las compañías son capaces de controlar.

Por este motivo, el riesgo del aplazamiento no reside en que Europa haya concedido más tiempo a las organizaciones, sino en que estas lo interpreten como un permiso para esperar indefinidamente. Porque la Ley de IA nació para introducir una lógica necesaria: no todos los sistemas presentan el mismo nivel de riesgo ni deben gestionarse de la misma manera. Utilizar inteligencia artificial para resumir documentos no es lo mismo que emplearla en infraestructuras críticas o en sectores como la sanidad o la educación.

 

No es una cuestión de tiempos, sino de gobernanza, riesgo y confianza digital

Por tanto, el debate no debería centrarse únicamente en los plazos, sino también en el grado de madurez. Una organización puede cumplir con una fecha límite regulatoria y, aun así, estar mal preparada si desconoce qué sistemas de inteligencia artificial utiliza, con qué proveedores trabaja o quién debe asumir la responsabilidad cuando algo sale mal.

Así que la cuestión de fondo es que la inteligencia artificial ya no es un asunto exclusivamente tecnológico, sino una cuestión de gobernanza, riesgo y confianza digital.

Por eso, las organizaciones españolas y europeas necesitan cada vez más marcos prácticos que les permitan trasladar los principios de gobernanza a su actividad cotidiana. De esta manera, modelos como el CMMI AI Maturity (AIM), recientemente presentado por ISACA, ayudan a las organizaciones a evaluar sus capacidades en inteligencia artificial, reforzar la gobernanza y desarrollar la madurez organizativa necesaria para ampliar su uso con confianza en un entorno regulatorio cada vez más exigente.

 

Adopción masiva de la IA sin control en las empresas

En este sentido, existe una brecha evidente entre adopción y control. El último AI Pulse Poll de ISACA muestra que el 92% de los profesionales europeos cree que los trabajadores ya utilizan inteligencia artificial en sus organizaciones, mientras que el 86% afirma que emplean inteligencia artificial generativa. Sin embargo, tan solo el 42% de las organizaciones cuenta con una política de inteligencia artificial formal e integral. En otras palabras, la gobernanza avanza, pero todavía lo hace por detrás de la adopción.

El problema es que, cuando los empleados utilizan inteligencia artificial sin normas claras, surge la denominada shadow AI o inteligencia artificial en la sombra; es decir, que cuando los sistemas se integran sin un inventario, se pierde la trazabilidad, y cuando los modelos se despliegan sin mecanismos de supervisión previamente probados, detenerlos en caso de incidente deja de ser una decisión sencilla.

Esto resulta especialmente preocupante si tenemos en cuenta que el 59% de los profesionales europeos desconoce cuánto tardaría su organización en detener un sistema de inteligencia artificial como respuesta a un incidente de seguridad, mientras que solo el 10% afirma disponer de un procedimiento documentado y probado periódicamente para apagarlo, detenerlo o tomar el control si algo sale mal.

 

Pasos a seguir para estar preparado antes de la Ley de IA

El primer paso consiste en conocer qué tipo de inteligencia artificial existe dentro de la organización. Muchas compañías todavía no disponen de un inventario completo sobre casos de uso, herramientas, proveedores, modelos y datos asociados.

El segundo paso es clasificar el riesgo aplicando el pensamiento crítico y la lógica. Un mismo sistema puede tener implicaciones muy distintas dependiendo del sector, del contexto en el que se utilice o de los datos que procese.

El tercer paso consiste en diseñar controles que funcionen en la práctica: funciones y responsabilidades definidas, supervisión humana, documentación, gestión de incidentes, evaluación de terceros y mecanismos que permitan detener o corregir un sistema cuando se comporte de forma inesperada.

Por todo ello, las organizaciones que utilicen este margen para prepararse estarán en una posición ventajosa cuando comiencen a aplicarse las nuevas obligaciones para determinados sistemas de alto riesgo, algo previsto para el 2 de diciembre de 2027, y para los sistemas integrados en productos, en agosto de 2028.