Introducción
Las herramientas de inteligencia artificial están ingresando a los sistemas empresariales sin pasar por procesos de contrato, diligencia debida ni activación de mecanismos de gestión de terceros, lo que deja a las funciones de cumplimiento sin conocimiento de su presencia.
Análisis del problema
En entornos de fabricación, la adopción de funcionalidades de IA mediante actualizaciones de software ocurre sin generar una nueva solicitud comercial. Esto permite que características de IA se activen automáticamente, cambiando el perfil de riesgo de una herramienta aprobada previamente sin desencadenar ningún flujo de trabajo de gestión de riesgos.
Los datos procesados por estas herramientas incluyen información propietaria, parámetros de procesos, términos de proveedores y especificaciones técnicas sensibles, lo que aumenta la exposición a riesgos regulatorios y de seguridad.
Brechas en la gestión de riesgos
Los procesos tradicionales de gestión de terceros se activan ante eventos comerciales como la firma de contratos o la emisión de órdenes de compra. Las actualizaciones de IA no generan dichos eventos, por lo que la vigilancia permanece inactiva.
Además, la cadena de subprocesadores se vuelve opaca: el proveedor directo puede utilizar un modelo de IA de un cuarto nivel, que a su vez depende de infraestructura de un quinto nivel, dificultando la trazabilidad y la evaluación de riesgos.
Implicaciones y riesgos
La falta de visibilidad sobre los componentes de IA puede impedir el cumplimiento de obligaciones regulatorias que exigen documentar el propósito del sistema, monitorizar sus resultados y mantener evidencia de controles.
Sin información clara sobre quién opera el modelo, si los datos de los clientes se utilizan para entrenar el modelo o dónde se realizan las inferencias, la organización no puede demostrar la diligencia requerida y se expone a sanciones.
Recomendaciones
Se proponen tres cambios clave:
1. Desacoplar la incorporación de IA de los eventos comerciales. Implementar un flujo de trabajo que active una reevaluación de riesgos cada vez que una nota de versión mencione IA o modelos de lenguaje grande.
2. Añadir un anexo específico de IA a los cuestionarios de diligencia. Incluir preguntas sobre la identidad del modelo, uso de datos para entrenamiento, lista de subprocesadores y certificaciones de seguridad.
3. Revisar la composición de los comités de gestión de riesgos. Incorporar responsables de seguridad de la información, privacidad de datos y operaciones industriales para asegurar una evaluación integral del riesgo de IA.
Conclusión
El riesgo asociado a la integración oculta de IA en entornos de fabricación es significativo y requiere ajustes operativos en los procesos de gestión de terceros. Adoptar flujos de trabajo proactivos, actualizar los instrumentos de diligencia y ampliar la gobernanza son pasos esenciales para cerrar la brecha y cumplir con los requisitos regulatorios.
