Inteligencia artificial en el consejo

La incorporación de inteligencia artificial a los procesos empresariales está produciendo un cambio menos visible que la propia tecnología: decisiones que antes podían atribuirse claramente a una persona comienzan a construirse mediante sistemas capaces de clasificar información, generar recomendaciones, identificar patrones, redactar documentos, seleccionar candidatos, evaluar riesgos, establecer prioridades o proponer respuestas.

En muchas aplicaciones estas herramientas pueden mejorar productividad y ampliar capacidades analíticas; sin embargo, también pueden introducir errores, sesgos, dependencia de proveedores, exposición de información confidencial y una forma particularmente compleja de opacidad: decisiones cuya conclusión puede conocerse sin que resulte igualmente sencillo explicar cómo se llegó a ella.

Para el consejo de administración, el problema no consiste en decidir si la inteligencia artificial es conveniente en términos abstractos. La pregunta debe formularse de manera mucho más concreta: dónde está siendo utilizada, qué decisiones afecta, qué información procesa, qué consecuencias tendría un error y qué controles existen para impedir que una recomendación automatizada se convierta irreflexivamente en una decisión empresarial. La respuesta no exige convertir a los consejeros en científicos de datos. Exige reconocer que cuanto mayor sea la relevancia de una decisión asistida por tecnología, mayor debe ser la claridad sobre quién conserva la responsabilidad de revisarla, aprobarla y responder por sus consecuencias.

La herramienta no se convierte en órgano de administración

La Ley General de Sociedades Mercantiles (LGSM) atribuye la administración de la sociedad a las personas y órganos correspondientes conforme al régimen societario aplicable. La utilización de herramientas automatizadas no crea un nuevo órgano corporativo ni modifica por sí misma la distribución de facultades prevista en la ley, los estatutos, poderes o resoluciones societarias.

Esta precisión resulta esencial. Un sistema puede preparar análisis, detectar anomalías o recomendar determinada acción, pero la responsabilidad institucional continúa correspondiendo a quienes poseen facultades para decidir y supervisar. El argumento de que “el sistema lo recomendó” no debería convertirse en explicación suficiente cuando una decisión material produce consecuencias adversas.

Lo anterior tampoco significa que cada resultado automatizado requiera autorización del consejo. Sería absurdo que el órgano revisara decisiones operativas ordinarias únicamente porque interviene inteligencia artificial. El nivel de supervisión debe guardar relación con materialidad, riesgo y autonomía del sistema.

Una aplicación utilizada para resumir información interna plantea problemas distintos de un modelo que interviene en decisiones crediticias, selección de personal, precios, prevención de fraude o análisis de inversiones.

El consejo necesita primero un inventario razonable de usos

Muchas organizaciones podrían descubrir que utilizan más inteligencia artificial de la que formalmente han autorizado. Herramientas incorporadas en plataformas existentes, aplicaciones contratadas directamente por áreas o servicios públicos utilizados por empleados pueden introducir capacidades automatizadas sin que exista una decisión corporativa centralizada.

La inteligencia artificial puede automatizar una recomendación, pero no desplaza por sí misma la responsabilidad de quien decide utilizarla: delegar el cálculo no equivale a delegar el deber de supervisar.

El primer paso de gobierno consiste en conocer los usos relevantes. No se requiere catalogar cada función menor, sino identificar aquellas que procesan información sensible, influyen en decisiones materiales o pueden generar consecuencias jurídicas, financieras o reputacionales.

Un inventario debería permitir responder quién utiliza la herramienta, para qué propósito, qué información recibe, quién es el proveedor y qué persona es responsable del proceso empresarial en el que interviene.

Esta visión evita discutir inteligencia artificial como concepto abstracto. Permite analizar aplicaciones específicas con riesgos concretos.

No todos los usos requieren el mismo nivel de control

Una política excesivamente rígida puede impedir beneficios legítimos; una política demasiado abierta puede permitir usos que nadie ha evaluado. Por ello, resulta útil clasificar aplicaciones según riesgo.

Un sistema que ayuda a redactar un texto interno de bajo impacto puede requerir controles relativamente sencillos. Una herramienta que participa en decisiones sobre clientes, trabajadores, crédito, inversiones o información estratégica merece una revisión más profunda.

Entre los factores relevantes pueden encontrarse la posibilidad de daño, sensibilidad de los datos, grado de automatización, dificultad para corregir el resultado y existencia de revisión humana.

Gobernar inteligencia artificial no significa aprobar cada herramienta desde el consejo, sino asegurarse de que la organización sabe distinguir un uso trivial de uno capaz de producir consecuencias materiales.

Los datos constituyen simultáneamente activo y vulnerabilidad

Los sistemas dependen de información. Esa característica introduce preguntas sobre calidad, confidencialidad, legitimidad del tratamiento y protección de datos personales.

Cuando se procesen datos personales deberán considerarse las obligaciones derivadas de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y demás disposiciones aplicables. La utilización de una tecnología novedosa no elimina las responsabilidades relacionadas con tratamiento, seguridad y finalidades correspondientes.

También existe información que, aun sin ser dato personal, posee enorme valor: secretos industriales, estrategias, precios, contratos, código, proyectos de adquisición o comunicaciones protegidas. Introducir ese contenido en una herramienta externa sin conocer sus condiciones puede producir una exposición difícil de revertir.

Por ello, una política debería determinar qué categorías de información no pueden proporcionarse a herramientas no autorizadas y qué soluciones han sido evaluadas para usos corporativos.

La calidad de los datos condiciona la calidad de la decisión

Un modelo sofisticado puede producir resultados deficientes si la información de entrada es incompleta, incorrecta o poco representativa. Este problema adquiere especial relevancia cuando la organización interpreta la apariencia técnica del resultado como garantía de objetividad.

Los sesgos tampoco provienen exclusivamente del algoritmo. Pueden encontrarse en los datos históricos utilizados para entrenarlo o en la manera en que la empresa define la variable que pretende optimizar.

Si un sistema se utiliza para identificar candidatos, clientes o transacciones, el consejo no necesita conocer cada detalle matemático, pero la administración debería poder explicar cómo se valida su desempeño y qué mecanismos permiten detectar resultados anómalos.

La precisión debe medirse frente al uso concreto. Una tasa de error aceptable en una herramienta de productividad puede resultar inaceptable en un proceso con consecuencias significativas.

La revisión humana debe ser real, no ceremonial

Muchas políticas responden al riesgo estableciendo que “siempre habrá supervisión humana”. La frase ofrece poca protección si la persona encargada simplemente acepta el resultado del sistema.

La revisión efectiva requiere tiempo, autoridad y conocimiento suficiente para cuestionar. También necesita criterios sobre cuándo debe escalarse una decisión o ignorarse la recomendación automatizada.

Existe un fenómeno conocido como sesgo de automatización: la tendencia a otorgar credibilidad excesiva a una respuesta porque proviene de un sistema. Cuanto más sofisticada parece la herramienta, mayor puede ser esa deferencia.

Por ello, el control humano debe diseñarse alrededor de la capacidad real de intervenir. Una persona que formalmente puede rechazar una recomendación, pero carece de información para evaluarla, no constituye un verdadero mecanismo de supervisión.

La inteligencia artificial generativa introduce un problema particular de confiabilidad

Los sistemas generativos pueden producir textos convincentes incluso cuando contienen información incorrecta. En funciones jurídicas, financieras o regulatorias, esta característica exige controles adicionales.

Una respuesta bien redactada no debe confundirse con una respuesta verificada. La organización debe definir en qué materias se requiere validación de fuentes y quién es responsable de realizarla.

Este principio es especialmente importante cuando la herramienta se utiliza para preparar documentos que posteriormente serán enviados a clientes, autoridades, inversionistas o integrantes del consejo.

La productividad obtenida mediante automatización pierde valor cuando el tiempo ahorrado se transforma después en costo de corregir una afirmación falsa incorporada a un documento importante.

Los proveedores tecnológicos también deben ser gobernados

Buena parte de las capacidades de inteligencia artificial será adquirida a terceros. Esto introduce dependencia contractual, tecnológica y operativa.

Antes de adoptar herramientas relevantes conviene analizar condiciones sobre información, confidencialidad, seguridad, continuidad, modificaciones del servicio y mecanismos de terminación. También debe considerarse qué ocurriría si el proveedor cambia sustancialmente el producto o deja de prestarlo.

El riesgo de concentración merece atención. Si una función crítica depende de una plataforma externa sin alternativa razonable, la empresa puede encontrarse expuesta a decisiones que no controla.

Los contratos ayudan a distribuir responsabilidades, pero no eliminan la dependencia empresarial. El consejo debería conocer aquellas relaciones tecnológicas cuya interrupción pueda afectar materialmente la estrategia u operación.

Propiedad intelectual y confidencialidad requieren atención previa

La facilidad para generar textos, imágenes, software y otros contenidos puede llevar a utilizar resultados sin analizar suficientemente su procedencia o las condiciones del servicio.

Las áreas jurídicas deben participar en la definición de políticas para usos que puedan afectar derechos de terceros, secretos industriales o activos intelectuales propios. La respuesta dependerá de la herramienta, de sus condiciones y del tipo de contenido generado.

El mayor riesgo no consiste en que un algoritmo se equivoque alguna vez, sino en que la organización deje de cuestionarlo porque sus resultados parecen suficientemente sofisticados para merecer confianza automática.

El consejo no necesita resolver estas cuestiones caso por caso, pero sí debería asegurarse de que la organización ha identificado el riesgo cuando la inteligencia artificial forma parte material del modelo de negocio o de sus productos.

La innovación pierde valor cuando crea activos cuya utilización posterior se encuentra jurídicamente cuestionada.

El consejo debe evitar tanto la prohibición como la fascinación

Algunas organizaciones reaccionan intentando prohibir cualquier utilización hasta comprender completamente la tecnología. Otras adoptan herramientas porque temen quedarse atrás. Ambas respuestas pueden ser deficientes.

La prohibición absoluta puede trasladar el uso hacia canales informales y reducir visibilidad. La adopción indiscriminada puede introducir riesgos que sólo serán descubiertos después.

Una estrategia más razonable consiste en establecer usos permitidos, restringidos y sujetos a autorización, acompañados de capacitación y mecanismos para proponer nuevas aplicaciones. El objetivo debe ser capturar beneficios dentro de límites conocidos.

El Código permite insertar la materia dentro del sistema general de riesgos

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) enfatiza estrategia, control interno, administración integral de riesgos e información suficiente para el consejo. No es necesario construir un universo paralelo de gobierno exclusivamente porque aparezca una nueva tecnología.

La inteligencia artificial puede incorporarse al sistema existente de riesgos, inversiones, tecnología, cumplimiento y estrategia. Dependiendo de su materialidad, el seguimiento puede recaer en el pleno o en algún órgano intermedio que posteriormente informe al consejo.

Crear un comité especializado sólo porque la materia se encuentra de moda puede generar más estructura que supervisión. La pregunta es dónde se encuentra la competencia necesaria y cómo llegará la información al órgano responsable.

Los consejeros necesitan capacitación suficiente para formular preguntas

El consejo no puede supervisar aquello que no comprende ni siquiera conceptualmente. La capacitación debería explicar capacidades, limitaciones y principales categorías de riesgo mediante ejemplos relacionados con el negocio.

Las preguntas útiles suelen ser menos técnicas de lo que parecen: ¿qué decisión estamos automatizando?, ¿qué datos utiliza?, ¿cómo sabemos si funciona?, ¿qué ocurre cuando se equivoca?, ¿puede una persona detenerlo?, ¿dependemos de un proveedor?, ¿qué información estamos entregándole?

Estas preguntas permiten al órgano ejercer supervisión sin invadir las funciones de especialistas.

También ayudan a separar demostraciones impresionantes de casos de negocio realmente valiosos. Una herramienta capaz de producir resultados llamativos no necesariamente mejora productividad, rentabilidad o control.

Debe existir un responsable empresarial, no sólo tecnológico

Cada aplicación relevante debería tener una persona responsable del proceso en el que se utiliza. No basta con señalar al área de tecnología si la herramienta toma parte en una función comercial, financiera o de recursos humanos.

El propietario del proceso debe comprender el objetivo, indicadores de desempeño, riesgos y controles. Tecnología puede administrar infraestructura; jurídico puede analizar determinadas consecuencias; seguridad puede proteger información. Pero alguien debe responder por el resultado empresarial.

Esta asignación evita uno de los problemas más frecuentes de sistemas complejos: todos participan y nadie es verdaderamente responsable.

Los incidentes también deben escalarse

Una política de inteligencia artificial debería contemplar qué ocurre cuando se detectan errores relevantes, exposición de información, resultados discriminatorios, uso no autorizado o comportamiento inesperado.

No todos los incidentes deben llegar al consejo. Deben existir umbrales de materialidad y mecanismos de escalamiento.

La organización también necesita aprender. Un error detectado debería servir para modificar controles, capacitación o configuración. Ocultarlo porque no produjo consecuencias inmediatas impide identificar vulnerabilidades antes de que generen un daño mayor.

La cultura de reporte es tan importante como la tecnología utilizada.

Automatizar no significa abdicar

La inteligencia artificial puede modificar profundamente la manera en que las empresas analizan información y ejecutan procesos. Probablemente muchas aplicaciones que hoy parecen extraordinarias se convertirán rápidamente en herramientas ordinarias. Precisamente por ello, el gobierno debe concentrarse en principios que sobrevivan a la tecnología específica.

Debe existir claridad sobre finalidad, información, responsabilidad, controles y consecuencias. Las decisiones materiales necesitan supervisión proporcional al riesgo. Los sistemas deben poder cuestionarse y la organización debe conservar capacidad para operar cuando fallen.

El consejo no está llamado a detener la innovación. Tampoco a aprobarla por entusiasmo. Su función consiste en asegurarse de que la empresa comprende qué está delegando y qué responsabilidades no puede delegar.

La inteligencia artificial puede ampliar extraordinariamente la capacidad de análisis de una organización, pero también puede amplificar errores con una velocidad y escala que antes no existían. Por ello, cuanto mayor sea la automatización, más importante resulta conservar puntos claros de responsabilidad humana.

La pregunta definitiva para el consejo no debería ser “¿estamos utilizando inteligencia artificial?”, sino otra mucho más útil: “¿sabemos en qué decisiones la estamos utilizando, qué podría salir mal y quién tiene autoridad y conocimiento suficientes para intervenir cuando ocurra?”

Cuando esas respuestas existen, la tecnología puede integrarse al gobierno empresarial. Cuando no existen, la organización no ha delegado únicamente una tarea: puede haber comenzado a delegar criterio sin advertirlo.