Guía de riesgos de IA para instituciones financieras
El Tesoro de EE. UU. ha publicado varios documentos diseñados para el sector de servicios financieros que sugieren un enfoque estructurado para gestionar los riesgos de la IA en las operaciones y políticas. El marco de gestión de riesgos de IA para servicios financieros (FS AI RMF) incluye un manual que detalla el marco, desarrollado mediante la colaboración de más de 100 instituciones financieras y organizaciones del sector, con la participación de reguladores y organismos técnicos.
Objetivo del FS AI RMF
El objetivo del FS AI RMF es ayudar a las instituciones financieras a identificar, evaluar, gestionar y gobernar los riesgos asociados a los sistemas de IA, permitiendo que las empresas continúen adoptando tecnologías de IA de manera responsable.
Los sistemas de IA introducen riesgos que los marcos de gobernanza tecnológica existentes no abordan. Estos riesgos incluyen sesgos algorítmicos, limitada transparencia en los procesos de decisión, vulnerabilidades cibernéticas y dependencias complejas entre sistemas y datos. Los modelos de lenguaje grande (LLMs) crean preocupaciones debido a que su comportamiento puede ser difícil de interpretar o predecir. A diferencia del software tradicional, que es determinístico, la salida de una IA varía según el contexto.
Marco de Gestión de Riesgos de IA
Las instituciones financieras ya operan bajo una amplia regulación y existen directrices generales como el marco de gestión de riesgos de IA del NIST. Sin embargo, aplicar marcos generales a las operaciones de las instituciones financieras carece de los detalles que reflejan las prácticas del sector y las expectativas regulatorias. El FS AI RMF se posiciona como una extensión del marco NIST, con controles específicos del sector y directrices de implementación práctica.
El manual explica cómo las empresas pueden evaluar su madurez actual en IA e implementar controles para limitar su riesgo. Su objetivo es promover prácticas de IA consistentes y responsables y apoyar la innovación en el sector.
Componentes del FS AI RMF
El marco contiene cuatro componentes principales. El primero es un cuestionario sobre la etapa de adopción de IA que permite a las organizaciones determinar la madurez de su uso de IA. El segundo es una matriz de riesgos y controles, que contiene un conjunto de declaraciones de riesgo y objetivos de control en alineación con las etapas de adopción. El manual explica cómo aplicar el marco, mientras que una guía de referencia de objetivos de control proporciona ejemplos de controles y evidencia de soporte.
El marco define un total de 230 objetivos de control organizados según cuatro funciones adaptadas del marco NIST: gobernar, mapear, medir y gestionar. Cada función contiene categorías y subcategorías que describen elementos de gestión de riesgos y gobernanza de IA efectivos.
Clasificación de la adopción de IA
El cuestionario de adopción determina la extensión en la que una organización está utilizando IA. Algunas empresas dependen de modelos predictivos tradicionales en aplicaciones limitadas, mientras que otras implementan IA en procesos comerciales centrales; otras utilizan IA en roles de atención al cliente.
Este cuestionario ayuda a las organizaciones a determinar su posición en el espectro de uso de IA, evaluando factores como el impacto comercial de la IA, los arreglos de gobernanza, los modelos de implementación, el uso de proveedores de IA externos, los objetivos organizacionales y la sensibilidad de los datos.
Según esta evaluación, las organizaciones se clasifican en cuatro etapas de adopción de IA: inicial, mínima, en evolución y embebida. Estas etapas ayudan a las instituciones a enfocar sus esfuerzos en controles apropiados para su nivel de madurez.
Controles y gobernanza
Los objetivos de control para cada etapa de adopción de IA abordan temas de gobernanza y operativos, incluidos la gestión de la calidad de datos, el monitoreo de equidad y sesgos, los controles de ciberseguridad, la transparencia de los procesos de decisión de IA y la resiliencia operativa.
El manual proporciona ejemplos de posibles controles y tipos de evidencia que las instituciones pueden usar para demostrar que cumplen. Cada empresa debe determinar los controles que se ajusten mejor a su situación.
El marco recomienda mantener procedimientos de respuesta a incidentes específicos para sistemas de IA y crear un repositorio central para rastrear incidentes de IA, procesos que ayudarán a las organizaciones a detectar fallos y mejorar la gobernanza con el tiempo.
Principios de IA confiable
El marco incorpora principios de IA confiable, definidos como validez y fiabilidad, seguridad, resiliencia, responsabilidad, transparencia, explicabilidad, protección de la privacidad y equidad. Estos proporcionan una base para evaluar los sistemas de IA a lo largo de su ciclo de vida. En términos simples, las instituciones financieras deben garantizar que las salidas de la IA sean fiables, que los sistemas estén protegidos contra amenazas cibernéticas y que las decisiones puedan explicarse cuando afecten a los clientes o tengan relevancia regulatoria.
Conclusiones
Para los líderes del sector financiero, el FS AI RMF ofrece una guía para integrar la IA en los marcos de gestión de riesgos existentes. Establece la necesidad de coordinación entre diferentes funciones empresariales dentro de la organización. Los equipos de tecnología, los oficiales de riesgo, los especialistas en cumplimiento y las unidades comerciales deben participar en el proceso de gobernanza de IA.
Adoptar IA sin fortalecer las estructuras de gobernanza puede exponer a las instituciones a fallos operativos, escrutinio regulatorio o daño reputacional. Por el contrario, las empresas que construyen procesos de gobernanza claros tendrán más confianza en la implementación de sistemas de IA.
El manual enmarca la gestión de riesgos de IA como una entidad en evolución. A medida que las tecnologías de IA se desarrollan y las expectativas regulatorias cambian, las instituciones deberán actualizar sus prácticas de gobernanza y evaluaciones de riesgo en consecuencia.
Para los tomadores de decisiones del sector financiero, el mensaje es que la adopción de IA debe progresar junto con la gobernanza de riesgos. Un marco estructurado como el FS AI RMF proporciona un lenguaje común y un método para gestionar la evolución.
