Ante el imparable desarrollo de los sistemas de inteligencia artificial (“IA”), las organizaciones se ven con la obligación de garantizar un uso coherente y proporcionado de estos sistemas, a la vez que han de ser capaces de reducir o mitigar de forma efectiva los riesgos que el uso de la IA conlleva. En consecuencia, resulta evidente que las organizaciones que utilicen esta tecnología han de implementar una regulación interna específica que se adapte a sus condiciones y necesidades.
A raíz del informe de la Agencia de la Unión Europea para la Ciberseguridad (“ENISA”), del 7 junio de 2023, titulado Marco Multinivel de Buenas Prácticas de Ciberseguridad para la Inteligencia Artificial, la intención de esta entrada en nuestro blog es poner el foco en la propuesta, que avanza el informe, de clasificación de áreas en las que el uso de la IA debería ser objeto de regulación (“áreas regulables”). Igualmente nos referiremos a algunas de las herramientas y normativas internas que el informe recomienda para cada una de estas áreas, con el objetivo de permitir a las organizaciones la constitución del modelo de gobernanza de sus sistemas de IA.
En su informe, ENISA propone como áreas regulables las siguientes: (i) capital humano (human capital); (ii) investigación, desarrollo e innovación (from the lab to the market); (iii) sistemas de comunicación y alerta (networking); (iv) infraestructura (infrastructure); y (v) obligaciones legales (regulation). Partiendo de esta base, procederemos a abordar algunos de los principales instrumentos y regulaciones que podrían tener cabida en el modelo de gobernanza, según su área regulable.
(i) Capital humano
Es fundamental mejorar las competencias de los humanos para hacer frente a los nuevos retos de la IA. Así pues, es necesario implementar mecanismos que permitan involucrar y capacitar a las personas que hacen uso de estas herramientas, según su rango dentro de la organización, para mantener el control sobre los sistemas de IA utilizados.
A modo de ejemplo, estos mecanismos de control pueden consistir en procedimientos de toma de decisiones, tanto del propio órgano de administración, como de directivos que decidan sobre cuestiones operacionales. En este mismo sentido, podría plantearse la aprobación de instrucciones de utilización de las herramientas de IA, que expliquen a los empleados cuál es el correcto uso de estos sistemas. Todo ello sin perjuicio de las acciones de comunicación y formación necesarias, donde también jugará un papel importante la posibilidad de reciclaje profesional para aquellos empleados cuyos puestos puedan quedar obsoletos con la introducción de esta nueva tecnología.
(ii) Investigación, desarrollo e innovación
Dado el rápido progreso de los sistemas de IA, es fundamental establecer instrumentos que sirvan de puente entre las etapas de diseño, construcción y entrenamiento del modelo, hasta llegar al posterior despliegue o lanzamiento al mercado del sistema de IA en cuestión.
Así, por ejemplo, cobran especial relevancia normativas como los procedimientos de entrenamiento de modelos de IA, mediante, por ejemplo, entornos de prueba (un claro ejemplo de ello es el Proyecto de Sandbox Regulatorio, cuya explicación ya abordamos en entradas anteriores, y que encontraréis aquí y aquí). Además, se puede plantear la adopción de controles de calidad de los datos, cuya función principal es establecer los parámetros de selección de información para el entrenamiento de los sistemas de IA. Es también relevante en esta área regulable el establecimiento de indicadores clave de rendimiento (“KPI”, por sus siglas en inglés), que al menos permitan reflejar los principales parámetros de la IA, mejorando a su vez el seguimiento y control de estos sistemas. Esto puede hacerse a través de paneles de seguimiento del modelo en directo, que facilitan la colaboración y la toma de decisiones de las partes interesadas en el sistema de IA.
(iii) Sistemas de comunicación y alerta
Ante un incidente grave o una infracción relacionada con los sistemas de IA, la parte afectada podría tener que informar a las restantes partes que participan en alguna de las etapas de la vida de dicho sistema; por ejemplo, desarrolladores, distribuidores, u otros proveedores de servicios. Podría llegar a ser necesario comunicar a las autoridades de control nacionales -o incluso a las personas afectadas- determinados sucesos relacionados con los sistemas de IA.
Por ello, las organizaciones deberán de adoptar mecanismos para agilizar la comunicación ante estos supuestos. En este sentido cabe destacar la adopción de procedimientos de gestión de los incidentes de seguridad, así como procedimientos de respuesta y notificación de brechas a autoridades o afectados. Estos documentos deberán cumplir con los requisitos de información y plazos establecidos en la normativa general y sectorial aplicable.
(iv) Infraestructura
Los sistemas de IA dependen también de una infraestructura física y virtual adecuada a los usos y aplicaciones que con ellos se persiguen. Esta arquitectura e infraestructura subyacente debe permitir un adecuado rendimiento de dichos sistemas, a la vez que garantizar un adecuado control de los mismos, logrando así los resultados esperados.
Para ello se podrá establecer normativa diversa como, por ejemplo, una política de inferencia óptima, que establezca los principios y fundamentos en los que basar el razonamiento del sistema de IA, o un procedimiento de clustering, que defina cómo se ha de realizar la clasificación de datos por grupos (clusters). Además, con intención de controlar la infraestructura subyacente, también es recomendable la adopción de un procedimiento de caja negra, para explicar las decisiones adoptadas, así como de instrucciones de interoperabilidad, que garanticen la integración de los sistemas de IA con otros sistemas utilizados por la organización. Por último, no pueden pasarse por alto normativas clave más tradicionales, como la política de seguridad de la información, que deberá actualizarse en todo aquello que sea necesario para contemplar los nuevos sistemas de IA adoptados.
(v) Obligaciones legales
Finalmente, el desarrollo e implementación de sistemas de IA no puede obviar el cumplimiento de la normativa general y sectorial que sea en cada caso de aplicación. Esta área regulable destaca por la multitud de obligaciones legales que resultan de aplicación al sistema de IA, según sus características y aplicaciones específicas. Las organizaciones deberán establecer mecanismos y regulaciones internas que faciliten el cumplimiento de dichas obligaciones. Esta área engloba una gran cantidad de aspectos, a modo de ejemplo, sin perjuicio de otras obligaciones y especialidades que también resulten de aplicación, frecuentemente nos encontraremos con que los sistemas de IA deberán respetar y cumplir diversas normativas como las que se indican a continuación.
En cuanto a la protección de datos, se han de prever instrumentos que garanticen la transparencia hacia los interesados, como las distintas políticas y cláusulas de privacidad que resulten aplicables a cada uno de los sistemas de IA. Asimismo, la obligación de disponer de otros instrumentos más específicos, como el procedimiento de protección de datos desde el diseño y por defecto, el procedimiento de conservación y supresión de datos o el procedimiento de gestión de derechos de los interesados, entre otros. Todas estas normativas deberán adaptarse a las particularidades del sistema de IA, por ejemplo, teniendo en especial consideración la explicación de la toma decisiones automatizadas que con ellos pueda llevarse a cabo. Tampoco se puede obviar la necesidad de llevar a cabo una evaluación de impacto relativa a la protección de datos en la mayoría de los casos.
Por otro lado, existen distintas cuestiones de propiedad intelectual y de derechos de imagen que también deben regularse cuando vaya a hacerse uso de sistemas de IA. Por ejemplo, deberán adoptarse o actualizarse los procedimientos de control y moderación de contenidos generados con IA, para evitar la vulneración de derechos de terceras partes, así como la adopción de instrumentos que garanticen el cumplimiento de licencias de sistemas de IA.
En materia de transparencia, igualdad y no discriminación, también cobrará especial relevancia la adopción de controles destinados a la prevención de sesgos o desinformación, para mejorar la predictibilidad de estos sistemas y evitar que las personas -o a la sociedad en general- puedan verse afectadas de forma negativa.
(vi) Otras iniciativas con impacto transversal
En paralelo a la normativa interna específica de aplicación a cada una de las áreas regulables apuntadas en el Informe de la ENISA, no se puede obviar la existencia de otras normativas internas con un impacto transversal en las organizaciones que también deberán elaborarse o revisarse con la aparición de tecnologías y sistemas de IA.
En este sentido, uno de los instrumentos más destacables son los códigos éticos o de conducta, cuya función es recopilar los valores y principios de organizaciones o sectores. También cabe destacar ciertos procedimientos que podrían ser objeto de revisión, como el procedimiento de auditoría o el procedimiento de contratación de terceros de cada organización.
Sin perjuicio de las anteriores regulaciones que conforman el modelo de gobernanza, también se prevé que surjan nuevas regulaciones con carácter transversal, específicamente destinadas a regular el uso de sistemas de IA. Por ejemplo, el desarrollo de una política general de sistemas de IA que defina cómo realizar un uso responsable de estos sistemas, las buenas prácticas asociadas a los mismos o los roles y responsabilidades que asumen cada una de las personas que hagan uso de ellos, entre otras cuestiones. En este mismo sentido, también se contempla la aparición de otros instrumentos internos más específicos, como los procedimientos para el registro de sistemas de alto riesgo en la base de datos de la Unión Europea o los procedimientos de evaluación de la conformidad de los sistemas de IA. Por último, merece también una mención cómo en el seno de las organizaciones se están designando altos cargos y comités directivos enfocados en el uso de la IA.
Ramon Baradat, con la colaboración de Nour Yazbeck.
