Introducción
Un regulador financiero ha señalado que la gobernanza y garantía de los agentes de IA están insuficientemente gestionadas en entidades reguladas. El aviso surge mientras la adopción de IA se expande en operaciones internas y de cara al cliente.
Análisis de la situación actual
Uso y madurez de la IA
Se ha constatado que la IA está presente en todas las entidades revisadas, aunque la madurez en gestión de riesgos y resiliencia operativa varía. Los consejos directivos muestran interés en la IA para mejorar la productividad y la experiencia del cliente, pero muchos aún están construyendo procesos de gestión de riesgos.
Principales brechas identificadas
Las áreas críticas donde se observan deficiencias incluyen la monitorización del comportamiento de los modelos, la gestión de cambios, la desactivación de sistemas, la creación de inventarios de herramientas de IA y la asignación de responsables claros.
Controles de seguridad y acceso
La adopción de IA introduce nuevas vías de ataque, como la inyección de prompts y la integración insegura. Las prácticas de gestión de identidad y acceso no siempre se han adaptado a elementos no humanos, lo que aumenta la presión sobre los controles de cambios y liberaciones.
Implicaciones y riesgos
Riesgos operacionales
La falta de escrutinio suficiente puede llevar a comportamientos impredecibles de los modelos y a fallos que afecten operaciones críticas.
Dependencia de proveedores
Algunas entidades dependen de un único proveedor para la mayoría de sus instancias de IA, sin contar con planes de salida o estrategias de sustitución.
Necesidad de controles humanos
Se subraya la importancia de mantener la intervención humana en decisiones de alto riesgo y de aplicar controles específicos a flujos de trabajo autónomos y agenticos.
Conclusión
Para cerrar las brechas detectadas, los entes regulados deben desarrollar una mejor comprensión de la IA, establecer estrategias alineadas con su apetito de riesgo y definir procedimientos claros para la supervisión, el control de cambios y la desactivación de sistemas de IA. La implementación de controles de seguridad y la reducción de la dependencia de proveedores son pasos esenciales para una gobernanza eficaz.
