¿Qué enfoques se utilizan para promover una mayor coherencia e interoperabilidad en la gestión de riesgos de la IA?
A medida que la gobernanza de la IA madura, están surgiendo numerosos marcos y estándares de gestión de riesgos. Para evitar la fragmentación y garantizar la implementación efectiva de una IA confiable, se está impulsando una mayor coherencia e interoperabilidad. Esto implica la cooperación entre actores estatales y no estatales, tanto a nivel nacional como internacional, centrándose en la gestión de riesgos de la IA, el diseño (por ejemplo, «confiabilidad por diseño») y las evaluaciones de impacto.
Enfoques clave para la interoperabilidad:
- Mapeo de marcos: Comparar y mapear diferentes marcos de gestión de riesgos de la IA es un paso fundamental. El objetivo es identificar áreas de equivalencia funcional y divergencia entre estos marcos.
- Pasos comunes de gestión de riesgos: La mayoría de los marcos se alinean con cuatro pasos de alto nivel: ‘DEFINIR’ (alcance, contexto y criterios), ‘EVALUAR’ (riesgos a nivel individual, agregado y social), ‘TRATAR’ (riesgos para mitigar los impactos adversos) y ‘GOBERNAR’ (procesos de gestión de riesgos). Estos pasos proporcionan una estructura común para la interoperabilidad.
- Abordar las diferencias de gobernanza: Los marcos a menudo varían en cómo manejan la función ‘GOBERNAR’. Algunos incluyen explícitamente actividades de gobernanza, mientras que otros las distribuyen a lo largo del proceso de gestión de riesgos o las omiten por completo. Armonizar los enfoques de gobernanza es crucial.
- Alineación conceptual y terminológica: Analizar los conceptos clave y la terminología en diferentes iniciativas es esencial. Identificar áreas de consenso y componentes incompatibles puede ayudar a aclarar los debates en torno a conceptos como la transparencia, la explicabilidad y la interpretabilidad.
- Marcos de diligencia debida: Aprovechar los marcos de diligencia debida existentes, como la Guía de la OCDE de Debida Diligencia para una Conducta Empresarial Responsable (OECD DDG), para desarrollar buenas prácticas para una IA responsable es una vía prometedora.
- Alineación de esquemas de certificación: Investigar y analizar la alineación de los esquemas de certificación de IA con la Conducta Empresarial Responsable (RBC) de la OCDE y los estándares de IA puede mejorar la calidad, la comparabilidad y la interoperabilidad de estos esquemas.
- Herramientas interactivas: Desarrollar herramientas en línea que permitan a las organizaciones y a las partes interesadas comparar marcos y navegar por los métodos, herramientas y buenas prácticas existentes para la gestión de riesgos de la IA puede facilitar la interoperabilidad.
Si bien los enfoques generales están alineados, existen diferencias de alto nivel, principalmente en torno a la función ‘GOBERNAR’. Los alcances de los marcos individuales también causan inconsistencias. Por ejemplo, la OECD DDG considera los riesgos asociados con las relaciones comerciales de manera más amplia, mientras que ISO 31000, NIST AI RMF, HUDERIA, EU AIA, AIDA y IEEE 7000-21 se centran en enfoques más centrados en el producto o impulsados por el valor para gestionar los riesgos de la IA. Abordar estas diferencias será clave para promover una gestión de riesgos de la IA coherente e interoperable.
¿Cuáles son las principales diferencias observadas en los diversos marcos de gestión de riesgos de la IA?
Los marcos de gestión de riesgos de la IA están convergiendo en un conjunto central de principios, pero persisten diferencias significativas en su enfoque. Estas discrepancias giran principalmente en torno a la función «GOBERNAR», que abarca elementos como el seguimiento, la comunicación, la documentación, la consulta y la incorporación de prácticas de gestión de riesgos.
Si bien la mayoría de los marcos buscan «DEFINIR», «EVALUAR» y «TRATAR» los riesgos de la IA, los métodos para gobernar estos procesos divergen sustancialmente.
Enfoques de Gobernanza: Niveles Variables de Énfasis
Algunos marcos incorporan explícitamente estas actividades de gobernanza bajo una función distinta de «GOBERNAR», mientras que otros las distribuyen a lo largo de todo el ciclo de vida de la gestión de riesgos o las omiten por completo.
Por ejemplo:
- La Ley de IA de la UE (EU AIA) y la Ley de IA y Datos de Canadá (AIDA) exigen que los proveedores de sistemas de IA de alto riesgo identifiquen, analicen y mitiguen los riesgos. Sin embargo, la consulta y la incorporación de la gestión de riesgos en la cultura organizacional están ausentes.
- El borrador de Evaluación de Riesgos e Impacto en Derechos Humanos, Democracia y Estado de Derecho (HUDERIA) del Consejo de Europa está parcialmente alineado, pero los elementos relacionados con GOBERNAR no están presentes.
- La Guía ISO/IEC 51 tiene como objetivo informar el desarrollo de estándares de seguridad de productos y no incluye la incorporación de políticas de gestión de riesgos ni la consulta a las partes interesadas.
Alcance y Enfoque: Una Cuestión de Perspectiva
Los marcos también difieren en su alcance, público objetivo y panorama de riesgos, lo que lleva a diferentes enfoques de gobernanza.
- OECD DDG: Un alcance más amplio incluye los riesgos asociados con las relaciones comerciales. Recomienda la mitigación de riesgos en la venta y la distribución de bienes.
- ISO 31000: Un alcance más estrecho considera los riesgos e impactos para la organización.
- NIST AI RMF: Se centra en el daño a las personas, las organizaciones y los ecosistemas.
- HUDERIA: Aborda los riesgos para los derechos humanos, la democracia y el estado de derecho.
- EU AIA & AIDA: Adopta un enfoque de seguridad del producto
- IEEE 7000-21: Integra consideraciones basadas en valores y puntos de vista de las partes interesadas en el diseño de productos o servicios.
- Público objetivo: El OECD DDG y las normas ISO están dirigidos a cambios organizacionales a nivel de la directiva. El resto ofrece recomendaciones a nivel de la directiva, pero la implementación es principalmente a nivel técnico.
La EU AIA y la AIDA también incorporan una característica regulatoria única en la que los reguladores definen lo que constituye un sistema de «alto riesgo», priorizando efectivamente los esfuerzos de gestión de riesgos para las empresas.
¿Cuáles son las acciones futuras planificadas para mejorar las prácticas de gestión de riesgos de la IA?
Varias iniciativas estratégicas están en proyecto para reforzar la gestión de riesgos de la IA, con un enfoque en promover la interoperabilidad y la implementación práctica. Aquí hay un resumen de las áreas clave:
Armonización de la Terminología y los Conceptos de la IA
El siguiente paso inmediato implica una inmersión profunda en los puntos en común y las diferencias en el lenguaje y los conceptos utilizados en diversos marcos de evaluación de impacto y gestión de riesgos de la IA. Esto incluirá:
- Identificación de definiciones y conceptos que tengan un consenso amplio.
- Identificación de áreas potencialmente incompatibles o poco claras que podrían impedir la implementación práctica. Por ejemplo, debates sobre los significados de transparencia, explicabilidad e interpretabilidad.
- Desarrollo de una comprensión común de la cadena de valor de la IA, incluidos los diferentes actores involucrados y los diversos riesgos presentes en cada etapa.
Desarrollo de Buenas Prácticas para una Conducta Empresarial Responsable en la IA
Un enfoque prometedor para implementar la gestión de riesgos de la IA es aprovechar los marcos existentes para una conducta empresarial responsable. Esto implicaría alinear la terminología y los marcos específicos de la IA con los principios de las Directrices de la OCDE para Empresas Multinacionales (EMN) y la Guía de Diligencia Debida (GDD). Los resultados podrían incluir talleres y directrices prácticas, que aclaren cómo los principios de la Guía de Diligencia Debida para una Conducta Empresarial Responsable podrían aplicarse específicamente a la IA.
Alineación de los Esquemas de Certificación con las normas RBC y de IA
Para mejorar la calidad, la comparabilidad y la interoperabilidad de las normas e iniciativas de certificación, la OCDE está desarrollando un proceso de evaluación de la alineación para evaluar la alineación de las iniciativas con las recomendaciones de la GDD de la OCDE. Este movimiento sienta las bases para proporcionar recomendaciones concretas para traducir y alinear las prácticas de IA con las prácticas de Conducta Empresarial Responsable (RBC, por sus siglas en inglés), y viceversa:
Desarrollo de una Herramienta Interactiva en Línea
Se crearía una herramienta interactiva en línea para ayudar a las organizaciones y a las partes interesadas a realizar comparaciones entre marcos. Esta herramienta incluirá tanto marcos de comparación derivados de los pasos mencionados anteriormente, como ayudará a los usuarios a navegar por los métodos, las herramientas y las buenas prácticas existentes para identificar, evaluar, tratar y gestionar los riesgos de la IA. Esto estaría vinculado al Catálogo de Herramientas y Métricas para una IA Confiable.
Cuando se trata de gobernar el riesgo de la IA, una conclusión clave de un informe reciente de la OCDE es que, aunque varios marcos de gestión de riesgos de la IA generalmente se alinean en los pasos de alto nivel (DEFINIR, EVALUAR, TRATAR y GOBERNAR), surgen diferencias significativas en la forma en que abordan la función «GOBERNAR». Esto afecta la interoperabilidad de estos marcos.
Diferencias clave en la gobernanza
Aquí hay un desglose de las áreas centrales donde divergen los enfoques de gobernanza:
- Gobernanza explícita vs. distribuida: Algunos marcos incluyen explícitamente las actividades de gobernanza bajo una función «GOBERNAR» designada, mientras que otros las distribuyen u omiten a lo largo del proceso de gestión de riesgos.
- Participación de las partes interesadas: Ciertas regulaciones, como la propuesta Ley de IA de la UE (EU AIA) y la Ley de Datos e IA de Canadá (AIDA), pueden carecer de requisitos de consulta con las partes interesadas internas y externas, un aspecto clave de la función «GOBERNAR» según la guía de la OCDE sobre interoperabilidad.
- Incorporación de la gestión de riesgos: De manera similar, la incorporación de la gestión de riesgos en la cultura organizacional, otro elemento de «GOBERNAR», no siempre se aborda explícitamente en la legislación propuesta.
Consideraciones regulatorias
Varios matices regulatorios significativos impactan la función «GOBERNAR»:
- Ley de IA de la UE y AIDA: Aunque requieren la identificación, el análisis y la mitigación de riesgos para los sistemas de IA de alto riesgo, estos proyectos de ley parecen carecer de algunas medidas de gestión de riesgos de «GOBERNAR» del Marco de Interoperabilidad, como la consulta con las partes interesadas. Sin embargo, el artículo 17 de la Ley de IA de la UE requiere un «sistema de gestión de calidad» para garantizar el cumplimiento, lo que podría incorporar la gestión de riesgos y la rendición de cuentas.
- HUDERIA: El borrador de Evaluación de Impacto y Riesgos de Derechos Humanos, Democracia y Estado de Derecho (HUDERIA) del Consejo de Europa está parcialmente alineado, pero parece carecer de elementos del Marco de Interoperabilidad relacionados con GOBERNAR, como la comunicación pública sobre la conformidad con las normas y la participación del liderazgo en la incorporación de la gestión de riesgos en toda la organización.
- NIST AI RMF: Si bien el documento incluye los subelementos de GOBERNAR dentro de sus pasos, estos están integrados en los diferentes marcos.
Implicaciones prácticas
Para los profesionales de la gobernanza y el cumplimiento de la IA, estas discrepancias en la función «GOBERNAR» tienen implicaciones significativas:
- Complejidad y costo: La falta de interoperabilidad entre los marcos puede complicar y aumentar los costos asociados con la implementación de una IA confiable.
- Eficacia y aplicabilidad: Los marcos no interoperables pueden reducir la eficacia y la aplicabilidad de los esfuerzos de gestión de riesgos de la IA.
- La personalización es clave: El contexto de la norma ISO 31000 recomienda personalizarla para cualquier organización y sus contextos específicos.
Llamado a la acción
Para garantizar una gobernanza eficaz de la IA, los profesionales del sector legal-tech, los responsables de cumplimiento y los analistas de políticas deben abogar por:
- Cooperación y coordinación: Fomentar la colaboración entre los desarrolladores de normas y marcos, tanto a nivel nacional como internacional.
- Métricas claras: Priorizar métricas y definiciones claras para garantizar una implementación coherente de la gestión de riesgos en diferentes casos de uso.
- Alineación con las prácticas comerciales más amplias: Vincular la gobernanza de la IA a marcos de conducta empresarial responsable como la Guía de Diligencia Debida de la OCDE.
En el futuro, el enfoque debe estar en armonizar los enfoques de gobernanza de la IA y garantizar la interoperabilidad para una gestión de riesgos de la IA práctica y aplicable.
