La nueva guía de IA de Singapur: qué deben hacer ahora los consejos de administración

Esto implica distinguir los indicadores de desempeño de las métricas de actividad. El número de pilotos iniciados, las licencias adquiridas o los empleados formados pueden demostrar que hubo esfuerzo, pero no prueban que un programa de IA esté generando valor. El consejo debería exigir informes sobre resultados materializados, costes, limitaciones y riesgos, además de cifras de adopción.

Este enfoque también ayuda a evitar dos errores frecuentes: aprobar experimentos aislados sin una vía clara para ampliarlos, o bloquear aplicaciones útiles porque nadie ha definido cómo se medirá el éxito. El énfasis de la guía en la estrategia, la selección de casos de uso y el retorno de la inversión busca conectar el gasto en IA con las prioridades generales de la organización.

Incorporar la experimentación de los empleados a la gobernanza

Es posible que los empleados ya estén utilizando herramientas de IA de manera informal o creando sus propios flujos de trabajo. La respuesta recomendada no es ignorar esa actividad, sino convertir la experimentación útil en una capacidad gestionada por la organización.

Los consejos deberían esperar que la dirección sepa qué herramientas y casos de uso están activos, quién es responsable de ellos, qué datos manejan y qué controles se aplican. La guía considera necesario documentar las herramientas creadas con IA, establecer una gobernanza sobre su uso y garantizar el cumplimiento de los requisitos de seguridad.

En la práctica, esto requiere normas internas sobre herramientas autorizadas, información sensible, responsabilidades, supervisión y escalado de incidentes. También supone reconocer y desarrollar las capacidades de IA que ya existen en la plantilla, en lugar de entender la adopción como un proceso impuesto únicamente desde la dirección.

Una estrategia sin un plan de capacidades, un modelo claro de responsabilidades y disciplina operativa difícilmente pasará de la experimentación a la ejecución de forma fiable.

Conseguir que todo el consejo tenga la alfabetización necesaria

La guía presenta la alfabetización en IA como una competencia del consejo. No todos los consejeros necesitan convertirse en ingenieros de aprendizaje automático, pero el órgano en su conjunto debe comprender cómo la IA puede transformar los sectores, los modelos operativos, la competencia, la toma de decisiones y los riesgos.

Varios consejeros deberían estar en condiciones de cuestionar las hipótesis, las promesas de valor y las evaluaciones de riesgo de la dirección. Además, el consejo debería contar al menos con una persona —ya sea un consejero, asesor o miembro de un comité— con suficiente profundidad técnica para examinar las decisiones sobre sistemas, datos, pruebas y controles.

Esto va más allá de asignar la IA a un comité tecnológico y recibir actualizaciones periódicas. La convierte en parte de la supervisión estratégica y fiduciaria del consejo, sin eliminar la necesidad de recurrir a especialistas cuando las cuestiones técnicas superen sus conocimientos.

Fijar los derechos de decisión antes de poner los sistemas en marcha

La gobernanza de la IA se vuelve operativa cuando la organización define quién puede aprobar, operar, supervisar y detener un sistema. Los consejos deberían exigir límites de decisión basados en el riesgo que diferencien entre:

• decisiones que la dirección puede tomar dentro de los límites aprobados;
• decisiones que deben elevarse al consejo o a uno de sus comités; y
• decisiones que la IA no debe tomar de forma autónoma.

Cuanto más graves sean las consecuencias de un error, más estrictos deben ser los controles. En usos laborales de alto impacto —como contratación, promoción, despido o evaluación del desempeño— el consejo debería establecer líneas rojas claras en torno a la revisión humana significativa y a la existencia de responsables identificables. La salida de una IA no debe convertirse en una determinación automatizada y sin controles sobre el sustento de una persona.

Este principio coincide con la expectativa más amplia de que la IA debe apoyar, y no sustituir silenciosamente, el juicio humano. También ofrece una prueba práctica para la dirección: antes de activar un sistema deben estar claros su propietario, el umbral de aprobación, el punto de supervisión humana y el procedimiento para detenerlo.

Exigir pruebas de equidad, calidad de datos y posibilidad de impugnación

Un proceso de aprobación responsable no puede limitarse a comprobar si un modelo funciona bien en promedio. El consejo debería preguntar cómo se evalúa la calidad de los datos, cómo se documentan las limitaciones, cómo se revisan los posibles sesgos y cómo se supervisa el rendimiento después de la puesta en marcha.

Cuando un sistema de IA afecta materialmente a las personas, quienes resulten afectados deberían disponer de una vía significativa para entender la decisión, cuestionar el resultado y solicitar una reconsideración humana. Las explicaciones no tienen que revelar detalles técnicos sujetos a propiedad intelectual, pero sí deben ser suficientes para permitir una revisión y una apelación responsables.

Todo ello forma parte de un entorno de control más amplio. Los materiales de gobierno corporativo de Singapur señalan la necesidad de una toma de decisiones con IA transparente y responsable, además de atención a las normas regulatorias y éticas. La función del consejo es garantizar que esas expectativas se traduzcan en procesos documentados, responsables concretos y pruebas verificables, en lugar de quedarse en principios generales.

Tratar la IA como un asunto de ciberresiliencia y continuidad operativa

La IA plantea un problema de seguridad en dos direcciones. Las organizaciones deben prepararse para campañas de phishing, ingeniería social, fraude, ataques automatizados y descubrimiento más rápido de vulnerabilidades facilitados por la IA. Al mismo tiempo, deben proteger sus propios sistemas de IA frente a filtraciones de datos, inyección de instrucciones, manipulación de modelos y vulnerabilidades introducidas por proveedores o terceros.

Por eso, los consejos deberían asegurarse de que los riesgos de la IA aparecen en los informes de ciberresiliencia, los trabajos de aseguramiento y los planes de respuesta a incidentes, y no quedan aislados en un departamento tecnológico. Las preguntas relevantes incluyen quién puede desactivar un sistema, cómo se notifican los incidentes, cómo se investigan los datos y las decisiones afectados y cómo se recupera la organización si un servicio de IA deja de estar disponible o resulta comprometido.

Este énfasis amplía las expectativas existentes sobre ciberresiliencia y gestión de riesgos. La guía de ciberresiliencia del SID también considera que la resiliencia debe integrarse en la estrategia corporativa, en lugar de tratarse como una tarea puramente técnica.

Aplicar estándares más exigentes a los sistemas críticos

Las consecuencias de un fallo de IA varían mucho según el caso de uso. Una herramienta interna de productividad y bajo riesgo no requiere el mismo nivel de supervisión que un sistema que respalda servicios esenciales, infraestructuras críticas u operaciones con consecuencias importantes.

En esos entornos, los consejos deberían exigir requisitos más estrictos de resiliencia, seguridad, pruebas, supervisión, escalado y recuperación. La razón es sencilla: un fallo o una intrusión podría afectar no solo a las finanzas o la reputación inmediata de la organización, sino también interrumpir servicios importantes o generar consecuencias operativas más amplias.

El enfoque basado en el riesgo evita tratar todas las aplicaciones de IA como si fueran iguales. En su lugar, pide ajustar la autoridad y los controles al posible impacto de un fallo.

Un cuadro de mando práctico para los casos de uso relevantes

Las recomendaciones de la guía pueden convertirse en un registro o cuadro de mando para el consejo. En cada caso de uso relevante, la dirección debería poder identificar:

1. El responsable del sistema y de sus resultados.
2. El resultado empresarial previsto, incluido el modo de medir el éxito.
3. Los derechos de decisión y los umbrales de escalado.
4. Las fuentes de datos y las normas de tratamiento aplicables.
5. El nivel de riesgo y la justificación de esa clasificación.
6. Los controles, incluidas las comprobaciones de seguridad, equidad y calidad de datos.
7. El punto de supervisión humana y la persona responsable de la decisión final.
8. Los resultados de las pruebas y la supervisión, incluidas las limitaciones conocidas.
9. Los incidentes, reclamaciones o apelaciones y la forma en que se resolvieron.
10. La próxima fecha de revisión o el acontecimiento que obligaría a reevaluar el sistema.

Esta estructura conecta la creación de valor y la gestión de riesgos en un mismo registro. También proporciona a los consejeros evidencias que pueden examinar, en lugar de obligarlos a confiar en afirmaciones generales de que la organización utiliza la IA de forma responsable.

La conclusión para los consejeros

La guía del SID no presenta la adopción de la IA y su gobernanza como opciones enfrentadas. Pide a los consejos impulsar aplicaciones útiles con la misma disciplina que aplicarían a cualquier otra inversión estratégica relevante: definir el valor, asignar responsabilidades, comprender los riesgos, probar los controles y revisar los resultados.

La medida inmediata para los consejeros es incluir la IA de forma habitual en la agenda del consejo, revisar los casos de uso relevantes de la organización e identificar carencias en conocimientos, responsabilidades, derechos de decisión, supervisión humana, pruebas y resiliencia.

La estrategia de IA más sólida no es la que acumula más actividad. Es la que el consejo puede explicar, medir y gobernar.