El pasado 26 de septiembre, Antony Blinken, secretario de Estado de los Estados Unidos, presentó en la Asamblea General de las Naciones Unidas el informe How the U.S. is Helping the World Use AI for Good. En su visión, Estados Unidos está promoviendo el uso de la inteligencia artificial (IA) de manera ética y beneficiosa a escala global.
La estrategia incluye el apoyo al desarrollo de políticas y normativas internacionales que fomenten la innovación responsable, así como la colaboración con aliados y socios para compartir mejores prácticas. Además, destacan iniciativas para mejorar la transparencia, la equidad y la seguridad en el uso de la IA, y se subraya el compromiso de utilizar esta tecnología para abordar desafíos globales como la salud, el medio ambiente y el desarrollo económico.
Así, encontramos acciones concretas relacionadas con:
- La participación en foros internacionales. Estados Unidos colabora en organismos como la OCDE y la Unesco para desarrollar principios y directrices sobre IA.
- Programas de asistencia. Se proporciona apoyo técnico a países en desarrollo para implementar regulaciones de IA.
- Iniciativas de diplomacia digital. Colabora con aliados para promover la interoperabilidad de sistemas y políticas de IA, facilitando un enfoque global coordinado.
- Proyectos de investigación conjunta. Financia y toma parte en investigaciones que buscan desarrollar aplicaciones de IA seguras y beneficiosas.
Nos referimos en este artículo a Estados Unidos para enfatizar el hecho de que no solo Europa, a través de la Ley de Inteligencia Artificial, está trabajando en crear un marco responsable para los Estados y para las empresas participes de la IA.
El reglamento impone a los sistemas de IA de alto riesgo unas exigencias que los proveedores deben cumplir
El Reglamento de IA de la UE afecta a proveedores —aquellos que comercialicen o utilicen sistemas IA, dondequiera que estén presentes— y usuarios (persona física o jurídica bajo cuya autoridad se utilice el sistema), tanto internos como de terceros países cuyos sistemas produzcan resultados que se utilicen en la UE.
La IA en la empresa
Si buscamos un párrafo introductorio sobre la IA, podríamos encontrar argumentos tales como los siguientes: la transformación impulsada por la inteligencia artificial está revolucionando las organizaciones al permitirles adaptarse rápidamente a cambios tecnológicos y económicos. Las empresas están aprovechando la automatización y la optimización de procesos para mejorar la eficiencia operativa, reducir costos y ofrecer servicios personalizados.
Este planteamiento, arrolladoramente positivo, reforzado con las estadísticas que constantemente se publican, podría hacer creer que la IA se usa en las empresas de modo habitual para fines específicos internos y no solo en productos o servicios generalistas. Nuestra experiencia, sin embargo, nos dice que eso no sucede con tanta frecuencia, especialmente cuando se trata de aplicaciones en las que la información de la compañía es esencial (para entrenar o alimentar el modelo).
Es cierto que determinados sectores (la banca, por ejemplo) se han volcado en la IA, pero en el bloque medio (e incluso alto) aún estamos lejos de normalizar la relación con esta tecnología.
Exigencias en materia de seguridad
Es más, adoptar la IA comporta riesgos significativos. La pérdida de propiedad intelectual y la creciente exposición a ciberamenazas son algunos de ellos, críticos. Para mitigarlos es esencial implementar prácticas adecuadas de ciberseguridad y establecer una gobernanza sólida que proteja los activos digitales.
De este modo, el reglamento impone a los sistemas de IA de alto riesgo unas exigencias que los proveedores deben cumplir: la gestión de riesgos (salud, seguridad y derechos fundamentales), la gobernanza y gestión de los datos (de entrenamiento y prueba), documentación técnica, registros de actividad, información a los usuarios (nivel de precisión, condiciones de utilización que impliquen riesgos, entre otras); así como la supervisión de personas durante su uso, o un nivel adecuado de precisión, robustez y ciberseguridad. Además:
- Si la organización que quiera desarrollar un proyecto propio de IA, aunque sea solo entrenando o definiendo un modelo, es una entidad pública o una proveedora del sector público (para redes o sistemas), deberá cumplir con el Esquema Nacional de Seguridad.
- Si ya es una entidad esencial o importante (conforme a la Directivas NIS1 y NIS2), o lo va ser en un futuro cercano, deberá cumplir las obligaciones que dicha condición comporta.
- Si va a tratar información de carácter personal, debe tener en cuenta las obligaciones derivadas de la legislación vigente en la materia (RGPD, LOPD y GDD).
Echar a andar
Con todo ello, un primer problema lo encontramos cuando una empresa quiere bajar de lo divino a lo humano y comenzar un proyecto de IA. Cuesta establecer qué acciones básicas se han de emprender desde la perspectiva de ciberseguridad (no trataremos temas relacionados con algoritmos, productos, funcionales o de calidad nativa del dato).
El reglamento impone a los sistemas de IA de alto riesgo unas exigencias que los proveedores deben cumplir
Lo primero sería determinar las normas y regulaciones aplicables, así como —de forma muy clara— quién es el responsable de la información con la que se alimentará a la “bestIA”, cuáles son los objetivos del proyecto, y, si la organización dispusiera de ella, el área de gobierno de la IA.
Con independencia del número de responsables de información que haya, uno de estos —o bien, por ejemplo, el CDO— deberá ejercer la responsabilidad global de la información con la que se alimentará y la que se generará.
En el área de gobierno de proyectos IA —un recurso más que recomendable, sobre todo en las fases tempranas de adopción y crecimiento— deben participar las áreas de negocio, transformación digital, sistemas, ciberseguridad, protección de datos y legal, y cuanto actor relevante se crea necesario.
A través del responsable de la información y del servicio, habrá también que identificar los riesgos significativos: para las personas y/o sus derechos, para la operatividad del servicio, así como los derivados de la propiedad intelectual, del cumplimiento legal o contractual, de la protección de datos y de la ciberseguridad, entre otros.
Junto con las amenazas, habrá que gestionar el riesgo e identificar los controles y las estrategias de mitigación.
Por ejemplo, los riesgos de explicabilidad y trasparencia, los de recolección y uso ilegal de datos (incluyendo contenido engañoso o inapropiado), el acceso no autorizado a la información, los derivados de la salida de información (manipulación y fuga), el riesgo de abuso y explotación de vulnerabilidades, los problemas éticos… y, por supuesto, la trazabilidad y la gestión de incidentes, entre otros puntos dignos de consideración.
