Cuando la IA se Impone en el Cumplimiento: Guía del ECCP
El correo electrónico llega sin previo aviso. La empresa ha seleccionado una plataforma de IA. El departamento de TI ya la está integrando y se está llevando a cabo un piloto. La Junta Directiva está a bordo y entusiasta. Se ha pedido al Director de Cumplimiento que “proporcione gobernanza” en una semana.
¿Por dónde empezar?
La respuesta es sencilla. Puedes comenzar con la Evaluación de Programas de Cumplimiento Corporativo (ECCP) del Departamento de Justicia de EE. UU. de 2024.
El ECCP establece explícitamente que los fiscales evaluarán cómo las empresas identifican, gestionan y controlan los riesgos derivados de tecnologías nuevas y emergentes, incluida la inteligencia artificial, tanto en las operaciones comerciales como dentro de los propios programas de cumplimiento.
Reformular la IA como un Problema de Evaluación de Riesgos
El primer paso es dejar de tratar la IA como un despliegue técnico y comenzar a tratarla como una obligación de evaluación de riesgos. El ECCP deja claro que las evaluaciones de riesgos deben evolucionar a medida que cambian los riesgos internos y externos, y menciona específicamente a la IA como una tecnología que requiere un análisis afirmativo.
Los fiscales preguntarán si la empresa evaluó cómo la IA podría impactar el cumplimiento de las leyes penales, si los riesgos de la IA se integraron en la gestión de riesgos empresariales y si existen controles para asegurar que la IA se use solo para sus propósitos previstos.
Inventario Antes de Redactar Políticas
El ECCP no recompensa políticas aspiracionales sin respaldo de hechos. Los fiscales quieren entender por qué una empresa estructuró su programa de cumplimiento de la manera en que lo hizo. Antes de redactar marcos de gobernanza de IA, el cumplimiento debe exigir un inventario completo del uso de IA:
- Qué herramientas están desplegadas o en piloto;
- Qué funciones comerciales las utilizan;
- Qué datos ingieren; y
- Si los resultados son asesoría o influyentes en decisiones.
Este inventario debe incluir explícitamente el uso de herramientas de IA generativa por parte de los empleados. El ECCP enfatiza la gestión del mal uso interno y las consecuencias no intencionadas de la tecnología. El uso no gestionado de «IA en la sombra» es ahora un fallo de cumplimiento, no una inconveniencia de TI.
Enfocar en la Integridad de las Decisiones, No en el Diseño del Modelo
Una de las ideas más pasadas por alto del ECCP es que el DOJ evalúa resultados y responsabilidad, no elegancia técnica. Cuando se utiliza IA, los fiscales preguntarán:
- ¿Qué decisiones influyó la IA;
- ¿Qué base de juicio humano existía; y/o
- ¿Cómo se asignó y se hizo cumplir la responsabilidad?
Por lo tanto, los oficiales de cumplimiento deben centrar la gobernanza en las decisiones, no en los algoritmos. Si nadie puede explicar cómo se evaluó, anuló o escaló un resultado de IA, la empresa no puede demostrar que su programa de cumplimiento funciona en la práctica.
Demandar Explicabilidad para Juntas y Reguladores
El DOJ no espera que las juntas entiendan arquitecturas de aprendizaje automático. Sin embargo, sí espera que las juntas ejerzan una supervisión informada. El ECCP pregunta repetidamente si el cumplimiento puede explicar riesgos, controles y fallos a la alta dirección y la junta. Si un oficial de cumplimiento no puede explicar, en lenguaje sencillo, cómo la IA afecta las decisiones de cumplimiento, el programa no es defensible.
Cada caso de uso material de IA debe tener una narrativa lista para la junta:
- Por qué se utiliza IA;
- Qué riesgos crea;
- Dónde interviene el juicio humano; y
- Cómo se detectan y corrigen los errores.
Esto no es opcional. Los fiscales evaluarán qué información revisó la Junta y cómo ejerció su supervisión.
Integrar la Gobernanza de IA en Controles Existentes
El ECCP advierte sobre «programas en papel». Esto significa que la gobernanza de IA no puede estar en un silo de políticas separado. Los controles relacionados con la IA deben integrarse con las estructuras de cumplimiento existentes, como protocolos de investigación, mecanismos de informes, capacitación, auditoría interna y gobernanza de datos.
Si la IA identifica conductas indebidas, ¿cómo se escala eso? Si la IA apoya investigaciones, ¿cómo se preservan y documentan los resultados? Si la IA apoya la capacitación, ¿cómo se mide su efectividad? El DOJ buscará consistencia en el enfoque, documentación y monitoreo, no novedad.
Insistir en Recursos y Autoridad
El ECCP dedica una atención significativa a si las funciones de cumplimiento están adecuadamente dotadas de recursos, empoderadas y son autónomas. Esto típicamente se aplica a los oficiales de cumplimiento. Sería una extensión lógica que si la responsabilidad de la gobernanza de IA se asigna al cumplimiento, entonces este debe tener acceso a datos, explicaciones técnicas y autoridad de escalada.
Asignar responsabilidad sin recursos es, en términos del DOJ, evidencia de un programa que no se aplica de buena fe. Un mandato forzado sin financiamiento o autoridad es en sí mismo un riesgo de cumplimiento.
Documentar la Evolución
Finalmente, los oficiales de cumplimiento deben documentar no solo los controles, sino la evolución. El ECCP enfatiza repetidamente la mejora continua, pruebas y revisiones. La gobernanza de IA no será perfecta. El DOJ no espera perfección. Espera evidencia de que la empresa identificó riesgos, probó controles, aprendió de fallos y ajustó. Las actas de reuniones, revisiones de pilotos, evaluaciones de riesgos y pasos de remediación son importantes.
Conclusión
Cuando la IA se impone en el cumplimiento, la resistencia puede ser comprensible, pero al final del día, ineficaz. El DOJ ya ha pasado más allá de la pregunta de si la IA debe ser gobernada. La única pregunta restante es si la gobernanza es creíble. Para el oficial de cumplimiento actual, la gobernanza de IA ya no es opcional, técnica o teórica. Es una prueba viva de si el programa de cumplimiento está bien diseñado, empoderado y funcionando en la práctica.
Finalmente, si, como profesional de cumplimiento, solo escuchas sobre el uso de IA en tu organización cuando se te asigna esta tarea, realmente necesitas un lugar en la mesa.
