La paradoja de la confianza en la IA: la gestión del riesgo más allá de IT

La dura verdad sobre la gobernanza de la IA

La mayoría de los consejos de administración corporativos todavía tratan a la IA como un brillante motor de crecimiento de ingresos o como un dolor de cabeza técnico para el departamento de IT. Gastan millones en desplegar herramientas de IA para resolver cuellos de botella heredados y agilizar las operaciones, mientras los comités de riesgo se obsesionan en silencio con la privacidad de los datos y el cumplimiento técnico.

Esos enfoques impulsivos pasan por alto el verdadero peligro. La introducción de la IA en las operaciones comerciales va a resolver muchísimos problemas y a crear eficiencias masivas, pero las mismas herramientas que resuelven problemas empresariales tradicionales crean categorías de riesgo completamente nuevas que las organizaciones nunca antes han tenido que gestionar.

Los incidentes de IA se convierten en crisis empresariales cuando un fallo técnico, operativo o de seguridad crea una duda más amplia sobre la confianza: ¿Pueden los clientes confiar en lo que les dice la empresa? ¿Pueden los empleados verificar las instrucciones de los líderes? ¿Pueden los inversores creer en la información que circula sobre el negocio?

Los mayores desastres operativos no empiezan en un rack de servidores; empiezan cuando un sistema automatizado falla públicamente. Cuando los bots de atención al cliente inventan ofertas falsas, los algoritmos arrojan lógicas sesgadas o los deepfakes atacan a los ejecutivos, el daño es instantáneo. Y las consecuencias llegan rápidamente a la alta dirección y al consejo de administración, no a IT.

La compensación es clara: cuanto más automatice para escalar su negocio, más fácil será arruinar su reputación de la noche a la mañana.

Fallos reales, lecciones reales de preparación ante crisis

Incidentes recientes de gran repercusión ponen de manifiesto importantes lagunas estructurales donde los manuales de riesgo tradicionales fracasan:

• Deepfakes y ventanas de respuesta cero: El colapso de la verificación: Ya no se dispone de horas para reaccionar ante una crisis. A principios de 2024, la empresa de ingeniería Arup perdió 25 millones de dólares porque un empleado se unió a una videollamada donde absolutamente todos sus compañeros eran deepfakes generados a partir de imágenes públicas (CNN). Casi al mismo tiempo, unos estafadores clonaron la voz del CEO de Ferrari, Benedetto Vigna, para engañar a los altos cargos y hacer que aprobaran una adquisición falsa (Fortune). La estafa fracasó solo porque un empleado astuto hizo una pregunta personal que la IA no supo responder.

• Lección de preparación ante crisis: La verificación tradicional ha muerto. Estar preparado para una crisis requiere un canal secundario simple y no digital (como una segunda línea telefónica segura o una palabra clave) para que los líderes puedan verificar solicitudes urgentes antes de actuar.

• Chatbots rebeldes y riesgo legal: Cuando los bots de atención al cliente fallan, los tribunales responsabilizan a la empresa. Un tribunal canadiense ordenó a Air Canada pagar daños y perjuicios después de que el chatbot de su sitio web alucinara una política de descuentos por duelo inexacta (BBC). Air Canada argumentó que el chatbot era responsable de sus propias acciones, pero el tribunal no estuvo de acuerdo, dictaminando que si tu bot lo dice, tú eres el responsable.

• Lección de preparación ante crisis: Las comunicaciones automatizadas deben integrarse en el árbol central de respuesta a crisis. Si un chatbot se descontrola, el equipo de comunicación necesita tener interruptores de emergencia preaprobados y declaraciones provisionales inmediatas listas para usar.

• Alucinaciones de la IA que restan valor de mercado: La gente recurre cada vez más a los modelos de IA en lugar de a los motores de búsqueda tradicionales. Si una IA ingiere datos erróneos sobre tu empresa, entregará los errores directamente a inversores y clientes. Cuando Alphabet compartió un anuncio que mostraba a su chatbot de IA afirmando un dato astronómico incorrecto, los inversores entraron en pánico, cayendo 100.000 millones de dólares del valor de mercado de Google en un solo día (Reuters).

• Lección de preparación ante crisis: El red-teaming previo a la crisis es esencial. Las organizaciones deben realizar pruebas de escenarios en los modelos orientados al público para detectar alucinaciones narrativas antes de su lanzamiento, en lugar de apresurarse a gestionar las repercusiones en el mercado a posteriori.

Construyendo resiliencia en IA antes de una crisis

En lugar de esperar a que ocurra un desastre, las organizaciones con visión de futuro están integrando controles claros de seguridad narrativa y operativa directamente en sus estrategias de gestión de riesgos. La defensa moderna de la reputación requiere centrarse en tres pilares fundamentales:

• Protocolo ejecutivo y gobernanza de verificación: Mientras que a las empresas de ciberseguridad les gusta centrarse en las defensas de la red, los responsables de comunicación y de riesgos deben establecer protocolos de verificación no digitales y en canales alternativos. Los árboles de escalado claros y reglas de verificación de identidad aseguran que los ejecutivos nunca aprueben grandes movimientos financieros o estratégicos basados en un correo electrónico, nota de voz o videollamada sin verificar.
• Red-Teaming narrativo y pruebas de estrés: Adaptando las metodologías de pruebas de estrés utilizadas por empresas tecnológicas como Microsoft, las organizaciones llevan a cabo cada vez más simulaciones adversarias de sus narrativas (o red-teaming de narrativas). Simular escenarios con deepfakes, suplantaciones de ejecutivos y distorsiones algorítmicas permite a los equipos de riesgo corregir las vulnerabilidades de la marca antes de desplegar nuevas herramientas automatizadas o campañas públicas. (Microsoft Responsible AI Report).
• Aprobación humana obligatoria: En consonancia con los estándares de gobernanza como el Marco de Gestión de Riesgos de IA del NIST (AI RMF), las principales organizaciones reguladas aplican estrictas barreras operativas. Si bien la IA puede encargarse de la redacción y agregación de datos, los flujos de trabajo con intervención humana obligatoria (human-in-the-loop) garantizan que expertos humanos en la materia revisen y validen los resultados automatizados antes de que lleguen a los canales públicos o de inversores.

Actualización de tu estrategia de riesgos

Los manuales de crisis anticuados no le salvarán de los riesgos de la IA en tiempo real. Así es como debe adaptarse la dirección:

Cinco preguntas para el consejo de administración

Para evaluar la exposición de tu organización, los comités de riesgos deben abordar estas cinco métricas de referencia:

1. ¿Dónde se está utilizando IA en este momento? ¿Tenéis una lista de todas las herramientas orientadas al cliente o al público impulsadas por modelos automatizados?
2. ¿Dónde se requiere revisión humana? ¿Es obligatoria la aprobación humana antes de que los resultados de la IA se publiquen, o los equipos están tomando atajos?
3. ¿Qué tan rápido podéis detectar un deepfake? Si audios o videos falsos atacan a tu equipo directivo durante el horario de mercado, ¿podéis confirmarlo al instante?
4. ¿Quién asume la decisión y la respuesta? Cuando una herramienta alucina o comete un error, ¿la responsabilidad recae en el departamento Legal, en Comunicación, en IT o en el CEO?
5. ¿Qué desencadena la divulgación obligatoria? ¿Cuenta con reglas predefinidas que establezcan exactamente cuándo una anomalía de la IA exige una comunicación proactiva con empleados, clientes, organismos reguladores o inversores?

La idea clave

La tecnología de IA avanza a un ritmo infinitamente superior al de cualquier regulación. Por eso, la gobernanza de la IA no puede quedarse confinada en el departamento de IT. Debe proteger los pilares de confianza sobre los que realmente se sustenta tu empresa: la autenticidad de sus ejecutivos, la fiabilidad ante los clientes y la credibilidad corporativa.

Tratar la IA como un mero activo técnico deja a tu marca totalmente expuesta a posibles contingencias. Al integrar la planificación de crisis, la verificación rápida y una responsabilidad bien definida directamente en su modelo de riesgos, los consejos de administración pueden defender el valor de la empresa antes de que estalle una crisis. En esta nueva era de la IA, la preparación ante crisis no es una mera red de seguridad pasiva: es una infraestructura operativa esencial.
 
 
Katie Barnes
Senior Director of Public Relations