Toda organización que trabaja con IA procesa datos que antes solo se conservaban internamente o no se conservaban en absoluto. Prompts, cargas de archivos, resultados intermedios, registros de modelos que usted mismo no aloja. La pregunta no es si ahí hay riesgos, sino si su organización sabe dónde están esos riesgos y quién puede hacer algo al respecto. Esa es una pregunta distinta de si tiene una política de privacidad. La política sobre el papel y la madurez en la práctica suelen distanciarse bastante en el caso de la IA, porque la tecnología cambia más rápido que los procedimientos que deberían acompañarla.
La privacidad y la seguridad son, en la medición de madurez, una de las siete dimensiones, junto con, entre otras, la organización, la infraestructura de TI y la gestión de datos. Estas tres últimas son fundamentales: determinan si existe una base sobre la que el resto puede construirse. La privacidad y la seguridad dependen en parte de ellas. Una organización con una gestión de datos débil a menudo ni siquiera sabe qué datos llegan a una aplicación de IA, y mucho menos si eso ocurre conforme a las normas. Por eso tiene poco sentido ajustar el cifrado o la gestión de accesos antes de que quede claro qué datos hay, dónde están y quién es responsable de ellos. El orden no es una cuestión de preferencia; es el orden en el que funciona.
En el nivel baseline no existe una política explícita para la IA y los datos. Lo que ocurre, ocurre de manera ad hoc, generalmente fuera del control de quien es responsable de ello.
En el nivel foundation existe una política básica, a menudo tomada de la política de privacidad existente sin adaptarla a lo que hace diferentes a las aplicaciones de IA. Hay conciencia, pero no control.
En el nivel activation existen reglas concretas sobre qué datos pueden entrar en qué aplicación de IA, y se supervisa su cumplimiento. La gestión de accesos y la clasificación de datos están implementadas, no solo descritas.
En el nivel insight se hace visible cómo se comportan las aplicaciones de IA en la práctica: qué datos procesan realmente, dónde surgen desviaciones entre la política y el uso. Hay una supervisión que aporta algo, no solo un panel que nadie consulta.
En el nivel intelligence, la seguridad está integrada en la forma en que se evalúan y admiten las nuevas aplicaciones de IA, antes de que entren en uso. La evaluación de riesgos ya no es un paso aparte, sino parte de cómo se toman las decisiones.
La mayoría de las organizaciones cuyos pilotos de IA se estancan resultan, al indagar, situarse entre foundation y activation: existe una política, pero nadie puede afirmar con certeza si se cumple.
Hay algunas señales que, aparte de cualquier puntuación, dicen algo sobre dónde se encuentra. Si nadie en su organización puede indicar con exactitud qué aplicaciones de IA están en uso en este momento, probablemente se encuentra en baseline o foundation. Si eso sí se conoce, pero la respuesta a «qué datos pueden entrar ahí» varía según el equipo, se encuentra en foundation o activation. Si sabe qué datos pueden ir dónde, pero no sabe si en la práctica ocurre así, se encuentra en activation y el insight le espera. Y si la seguridad se tiene en cuenta por defecto en cada nueva aplicación, sin que se necesite un proceso aparte para ello, se está moviendo hacia intelligence.
Esta autoevaluación es una indicación, no un sustituto de la ronda de posicionamiento. La utilidad de esa ronda reside precisamente en lo que una evaluación individual no muestra: la dispersión. Cuando un CISO sitúa esta dimensión en activation y un jefe de departamento en baseline, esa diferencia es en sí misma la información. Significa que la política y la práctica no coinciden, o que el conocimiento sobre lo que está permitido y lo que no ha llegado de forma desigual a toda la organización.
El paso de foundation a activation rara vez exige un presupuesto mayor para software de seguridad. A menudo exige acuerdos claros sobre quién puede decidir que una aplicación de IA entre en uso, y con base en qué datos. Esto se relaciona con cómo está organizada la organización: sin un propietario claro para este tipo de decisiones, la política sigue siendo un documento sin aplicación. También se relaciona con la gestión de datos, porque sin visión de conjunto sobre sus datos nunca podrá afirmar con certeza qué llega a ver una aplicación de IA. Y se relaciona con la ética, porque la pregunta de qué es admisible y qué no lo es en el uso de IA rara vez resulta ser una pregunta puramente técnica.
Lo que cuesta subir un nivel depende de dónde se encuentre ahora la organización y de qué estructura básica ya existe. Una organización con buena gestión de datos y una estructura organizativa clara necesita relativamente poco trabajo adicional para esta dimensión; una organización que puntúa bajo en ambas dimensiones fundamentales tendrá que abordarlas primero antes de que la privacidad y la seguridad mejoren de forma estructural. También esta es una razón por la que las siete dimensiones no pueden leerse de forma aislada: las personas y las capacidades también juegan un papel aquí, algo que puede consultar en la página sobre qué grado de madurez tiene el conocimiento de los empleados sobre los riesgos de la IA, y en la pregunta de qué grado de madurez tiene organizada la gestión del desempeño en torno al uso de la IA, porque sin seguimiento, incluso la mejor política de seguridad sigue siendo teoría.
La medición de madurez, incluida la ronda de posicionamiento para esta y las otras seis dimensiones, está en construcción. Quien desee utilizar la medición en cuanto esté disponible puede apuntarse a la lista de espera.
Esta página trata de si su organización puede sostener la IA: si existe la base para manejar los datos de forma segura y responsable en cuanto la IA entra en contacto con ellos. No trata de qué tareas podría asumir la IA de sus empleados. Esa pregunta la responde el escáner de trabajo de FTE TO AI, que calcula, por tarea, qué parte de ella puede transferirse a la IA. Ese cálculo solo tiene valor si la pregunta que plantea esta página ya puede responderse con tranquilidad.
Vraag maar wat er moet staan voordat AI in uw organisatie kan landen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.