¿Quién debe gobernar la IA? Juanjo Martínez Pagán, asesor de CISOs y Startups de Ciberseguridad

Ya está cerca la transposición española de la NIS-2, para la que el gobierno tiene de plazo máximo hasta el 17 de octubre de este año. Dado que fue publicada en diciembre de 2022, y es una ampliación de la NIS de septiembre del 2018, las empresas afectadas ya hace tiempo que se han preparado para la misma.

También, las empresas que cotizan en Estados Unidos deben seguir las recomendaciones de la SEC, publicadas en febrero del 2018 en la guía «Commission Statement and Guidance on Public Company Cybersecurity Disclosures».

Dada la responsabilidad para el Gobierno Corporativo en ambos casos, los Consejos de Administración ejercen de manera efectiva su labor de supervisión de los riesgos derivados de la ciberseguridad. Típicamente lo hacen a través de una Comisión de Riesgos Digitales, o de una comisión más amplia de Riesgo, o de Riesgo y Auditoría, a la que suelen reportar los CISOs y en cuyas reuniones suelen participar.

Más recientemente, el pasado 13 de marzo, ha sido publicada la Ley Europea de la Inteligencia Artificial, que otorga dos años de gracia a las empresas para su adaptación a la misma, y establece una serie de limitaciones y regulaciones para su uso, a la vista de los riesgos que pueden suponer, cuyo control requiere la adopción por parte de las empresas de una estrategia de gobernanza de la IA desde el órgano de Gobierno, lo mismo que para la ciberseguridad.

Una estrategia que debe considerar tanto los riesgos para el negocio derivados de la IA, su identificación, mitigación, monitorización y supervisión, como el cumplimiento estricto con la legislación en materia de protección de datos personales. Se deben adoptar medidas partiendo de los procesos de gestión de riesgo existentes, incluyendo análisis de riesgo, protección de datos, due-diligence de suministradores y auditorías.

Lo que tiene mucho en común con la metodología y procesos de gobierno de la ciberseguridad. Por otra parte, la IA es en sí misma un sistema de procesamiento de la información, la gestión de cuyos riesgos asociados es competencia del CISO. Algunos artículos de la Harvard Law School, y de consultoras en materia de riesgo, hablan de las ventajas de integrar la gobernanza de estas dos tecnologías en una única comisión dependiente del consejo de Administración.

Estas ventajas incluyen la mejora en la capacidad del análisis de riesgos, respuesta a incidentes y mitigación, evitando duplicidades y conflictos entre otros.

El Gobierno de la ciberseguridad y su reporte al Consejo ya constituye un reto descomunal para los CISOs. Me pregunto ¿qué sucederá cuando añadamos a esto la IA? ¿Deberá el CISO asumir también ciertas responsabilidades en el Gobierno de la IA? ¿Cómo debe articularse la gobernanza de cada uno de estos dos dominios y su intersección?

Dejo estas preguntas sin respuestas por mi parte, para vuestros comentarios, y quizás volvamos sobre ellas en un próximo artículo.

Juanjo Martínez Pagán

Asesor de CISOS y Startups de Ciberseguridad. Fundador de ThousandGuard