Una guía para acelerar la adopción de la IA: seguridad sin riesgos innecesarios.

En los últimos 18 meses, nuestros equipos han pasado de simplemente debatir si usar IA a cuestionarse con qué rapidez podemos implementarla. La pregunta más difícil es cómo capacitar a los equipos para que actúen con la suficiente rapidez como para maximizar los beneficios de la IA sin que el perfil de riesgo de la empresa crezca más rápido de lo que puede gestionarlo y controlarlo.

Jason Taylor

Director Técnico (CTO) y Director de Seguridad de la Información (CISO) en Entrata.

Este dilema es familiar para los líderes en tecnología y ciberseguridad, ya que la inteligencia artificial presenta dos demandas aparentemente contradictorias. Por un lado, el departamento de TI busca experimentación, accesibilidad, velocidad y el potencial para lograr aumentos reales de productividad. Por otro lado, el departamento de seguridad necesita control, responsabilidad, límites de datos y la certeza de que el nuevo flujo de trabajo no generará riesgos evitables.

Ambos enfoques son válidos, por eso las empresas tienen dificultades cuando tratan la IA como un proyecto puramente innovador o como un problema exclusivamente de seguridad. Se trata de un cambio de paradigma, y ​​las organizaciones que lo gestionan eficazmente son aquellas que desarrollan la infraestructura y las herramientas necesarias para que los equipos puedan avanzar con confianza, en lugar de obligarlos a elegir entre velocidad y control.

Empieza por el trabajo, no por las herramientas.

Muchas empresas comienzan tratando la adopción de la IA como el lanzamiento de un programa de software estándar. Acuerdan un proveedor, distribuyen licencias, publican algunas directrices y dan por sentado que su uso se volverá transformador de forma natural. Este enfoque puede generar actividad, pero rara vez conduce a un cambio operativo duradero.

La verdadera adopción comienza cuando los líderes comprenden cómo llevar a cabo el trabajo. Los equipos de finanzas, producto, marketing, soporte e ingeniería no utilizarán las herramientas de IA de la misma manera, ya que cada grupo tiene diferentes requisitos de conocimiento, diversas fuentes de datos, distintos umbrales de riesgo y experiencia única. Cada uno de estos equipos deberá desarrollar habilidades y herramientas específicas para la IA.

Los líderes deberían comenzar preguntándose qué se pretende lograr con cada puesto de trabajo, qué conocimientos se necesitan para tomar mejores decisiones, qué habilidades se requieren para utilizar la inteligencia artificial de forma responsable y qué herramientas o fuentes de datos son necesarias para obtener un resultado fiable.

Cuando la inteligencia artificial se vincula a estas capacidades, se convierte en parte integral del funcionamiento de una organización ; cuando se impone a procesos no relacionados, tiende a producir un aumento en los resultados sin que ello conlleve necesariamente mejores resultados.

Tratar el acceso a los datos como un problema de diseño de riesgos

El acceso a los datos es una de las áreas más importantes donde la IA está transformando el modelo operativo. Para que la IA sea realmente beneficiosa, los equipos suelen necesitar acceso a información que no han utilizado directamente con anterioridad.

El equipo de marketing puede necesitar documentación del producto e información sobre los clientes, mientras que el equipo de finanzas puede necesitar datos operativos estructurados, y el equipo de soporte puede requerir conocimientos internos y contexto histórico, así como la capacidad de comprender patrones en diferentes sistemas.

La tendencia a facilitar el acceso a los datos es comprensible; la inteligencia artificial gana valor con un contexto más amplio. Por otro lado, la tendencia a restringir el acceso también es comprensible, ya que un acceso más amplio puede generar inquietudes sobre la privacidad, el cumplimiento normativo y la seguridad. La solución no reside en priorizar una opción sobre la otra, sino en construir un modelo más sistemático para determinar qué datos pueden utilizarse, quién puede hacerlo y con qué fin.

En un proyecto de implementación empresarial, por ejemplo, la solución práctica no consistió en dar acceso a todos los equipos a toda la información, ni en limitar la IA a una función puramente técnica. En cambio, se trató de separar los datos operativos menos críticos de la información más sensible y, posteriormente, otorgar a los equipos el acceso suficiente para trabajar de manera diferente, minimizando así los posibles daños en caso de que un flujo de trabajo se comportara de forma inesperada.

Una forma útil de entender esto es mediante el concepto de "impacto de los datos". No todos los conjuntos de datos conllevan el mismo nivel de riesgo, y no todos los casos de uso de IA justifican el mismo nivel de restricción. Cierta información puede hacerse más accesible porque el daño potencial en caso de que algo salga mal es limitado, mientras que otra información, especialmente la información de identificación personal o los datos confidenciales de los clientes, requiere controles mucho más estrictos.

Este enfoque permite a los equipos experimentar en áreas con menor riesgo, manteniendo una gobernanza más sólida donde la empresa realmente la necesita. El objetivo no es debilitar la seguridad, sino hacerla más precisa, lo que permite a la empresa avanzar con mayor rapidez sin perder el control sobre sus entornos, datos y flujos de trabajo más críticos.

Integración de la verificación en el flujo de trabajo

La validación es un punto crucial que determina si las estrategias de IA serán escalables o fracasarán. Los sistemas de IA pueden producir trabajos que parecen pulidos, pero que pueden estar incompletos, ser inexactos, carecer de marca o no cumplir con los estándares. Si bien la revisión humana puede mitigar algunos de estos riesgos en las etapas iniciales, no resulta eficaz una vez que la IA se integra en las operaciones diarias.

Lo he visto con mucha claridad en equipos técnicos, donde la IA solo puede acelerar el desarrollo de software si existe una forma fiable de evaluar la calidad, la seguridad y la precisión del producto. Sin esta validación, los equipos pueden sentirse rápidos a corto plazo, pero en realidad están generando una mayor carga de revisión, más retrabajo y mayores riesgos en etapas posteriores.

Las empresas necesitan modelos de verificación diseñados para ser parte integral del flujo de trabajo. Esto puede incluir comprobaciones automatizadas, controles de calidad de datos, vías de aprobación, registro de eventos, observabilidad y reglas claras de escalamiento para los resultados que no deben considerarse fiables sin una revisión adicional.

Los líderes no deberían considerar estos mecanismos como una rutina adicional y tardía. Más bien, son lo que permite que la IA pase de ser una simple herramienta de productividad individual a una capacidad integral para toda la empresa, ya que los equipos solo pueden ampliar su adopción cuando disponen de un método recurrente para determinar si el trabajo que se produce es preciso, adecuado y seguro.

La adopción de la inteligencia artificial se ha convertido en una responsabilidad de liderazgo.

La adopción de la inteligencia artificial no puede delegarse a un único equipo de innovación o gerente de IA mientras el resto del equipo directivo observa desde la distancia. Cada líder funcional debe comprender cómo la IA transformará la naturaleza del trabajo de su equipo, cómo colaborarán los empleados con agentes y modelos, y dónde es probable que surjan riesgos.

Esto no significa que todos los ejecutivos deban convertirse en especialistas en aprendizaje automático, pero sí implica que los líderes necesitan la competencia suficiente para guiar la toma de decisiones, establecer expectativas y servir de ejemplo del comportamiento que requieren de sus equipos. Es poco probable que los empleados cambien sus prácticas laborales si sus líderes consideran que la IA es algo que todos deben adoptar.

El enfoque cultural también es importante, ya que si los empleados perciben la adopción de la IA como un eufemismo para la eliminación de puestos de trabajo, se aferrarán a su rol actual en lugar de explorar sus posibilidades futuras. Los líderes deben ser transparentes y reconocer que los roles cambiarán, algunos flujos de trabajo desaparecerán y surgirán nuevas responsabilidades, al tiempo que enfatizan que el objetivo inmediato es ayudar a las personas a desempeñarse mejor y de manera más eficiente, generando así un retorno de la inversión.

En muchos casos, el trabajo está pasando de realizar cada tarea manualmente a coordinar sistemas que faciliten la realización del trabajo. Esto requiere la disposición a lidiar con la ambigüedad, algo que cobra cada vez más importancia a medida que crecen las capacidades de la inteligencia artificial.

Las empresas que logran adoptar la inteligencia artificial con éxito no son aquellas que priorizan la innovación sobre la seguridad, ni las que esperan a eliminar todos los riesgos potenciales de antemano. Más bien, son aquellas que establecen bases sólidas para la gobernanza, la verificación y la disciplina en el manejo de datos, lo que brinda a sus equipos la confianza necesaria para avanzar. En un entorno de IA empresarial, el control es la piedra angular para lograr una velocidad sostenible, lo que subraya la importancia de la cautela en cada paso, especialmente al tratar con componentes sensibles de IA empresarial.