CISOs: los nuevos guardianes de la gobernanza de IA

¿Qué ha ocurrido?

La inteligencia artificial se está integrando a un ritmo vertiginoso en operaciones empresariales, desde la atención al cliente hasta la cadena de suministro, pasando por el desarrollo de software y la toma de decisiones. Sin embargo, los modelos de gobernanza corporativa, diseñados para entornos centralizados y con responsabilidades claras, no logran seguir el paso. Como resultado, la rendición de cuentas se fragmenta: nadie posee de forma clara el riesgo de IA.

Según un informe de Forrester citado por TechRadar, los CISOs (directores de seguridad de la información) serán la autoridad de confianza y aseguramiento del negocio. Esto marca un cambio significativo en su rol tradicional, que se centraba en proteger sistemas y gestionar amenazas cibernéticas. Ahora, se ven empujados a abordar cuestiones más amplias de confianza, resiliencia y responsabilidad ejecutiva.

Históricamente, la gobernanza empresarial se basaba en silos funcionales: los equipos de seguridad gestionaban riesgos cibernéticos, cumplimiento normativo se encargaba de las obligaciones regulatorias, y operaciones ejecutaba los procesos. La IA rompe esas fronteras. Por ejemplo, un mismo modelo de IA puede influir en decisiones de crédito, atención al cliente y logística, cruzando departamentos y generando riesgos que no son atribuibles a un solo área. Este fenómeno no tiene precedentes en la escala y velocidad de adopción: según datos de McKinsey de 2023, el 55% de las empresas ya utiliza IA en al menos una función, y el 40% planea aumentar su inversión. Sin embargo, solo el 25% cuenta con un marco de gobernanza específico para IA, según un estudio de Gartner de 2024. Esta brecha entre adopción y gobernanza es el caldo de cultivo para el nuevo rol del CISO.

¿Por qué es importante?

La IA no opera en silos. Depende de tuberías de datos interconectadas, modelos de terceros, infraestructura en la nube, API y procesos de negocio que evolucionan continuamente. Cuando la visibilidad sobre estas dependencias es limitada, las organizaciones no pueden rastrear el origen de las decisiones impulsadas por IA, cómo se propagan ni qué impactos provocan aguas abajo. Esta brecha de visibilidad se convierte rápidamente en un problema de resiliencia operativa.

La gobernanza de la IA ya no es solo un desafío de políticas; es un desafío de resiliencia operativa que puede tener consecuencias financieras y para el cliente. Los CISOs, con su experiencia en gestión de riesgos y continuidad del negocio, están mejor posicionados para cerrar esta brecha.

Un ejemplo concreto: en 2023, un modelo de IA de un banco europeo aprobó créditos con sesgo racial debido a datos de entrenamiento desbalanceados, lo que resultó en una multa de 5 millones de euros y una caída del 3% en la reputación de marca medida por Net Promoter Score. La falta de visibilidad sobre las fuentes de datos y el modelo impidió una detección temprana. Situaciones como esta subrayan que el riesgo de IA no es solo técnico, sino que afecta a la confianza del cliente y al cumplimiento regulatorio. Además, la regulación está endureciéndose: la Ley de IA de la UE, en vigor desde 2024, exige que las empresas designen un responsable de gobernanza de IA para sistemas de alto riesgo. El CISO, con su conocimiento de auditoría y controles, es un candidato natural para este rol, como señala Forrester.

¿Qué consecuencias tendrá?

La transición del CISO a autoridad de confianza en IA implica una expansión de sus responsabilidades. Deberán colaborar con otros líderes (como los responsables de cumplimiento, operaciones y negocio) para establecer marcos de gobernanza que aborden los riesgos únicos de la IA, como el sesgo algorítmico, la falta de transparencia y la dependencia de terceros.

Esta evolución también podría generar tensiones organizativas, ya que los CISOs necesitarán presupuesto, recursos y autoridad para asumir este nuevo rol. Las empresas que no se adapten corren el riesgo de sufrir incidentes de IA que dañen su reputación, incurran en multas regulatorias o pierdan la confianza de los clientes.

A nivel de mercado, se espera que el gasto global en gobernanza de IA crezca de 1.500 millones de dólares en 2024 a 4.500 millones en 2028, según IDC. Esto incluye herramientas de monitoreo de modelos, plataformas de explicabilidad y servicios de auditoría. Los CISOs que lideren esta transición tendrán mayor influencia estratégica, pero también enfrentarán una mayor exposición personal: en caso de incidente grave, podrían ser considerados responsables. Un precedente es el caso de Uber en 2017, donde el CISO fue acusado de encubrir un ciberataque. Con la IA, la responsabilidad se amplifica, ya que los errores pueden ser sistémicos y afectar a millones de usuarios. Las aseguradoras ya están desarrollando pólizas específicas para riesgos de IA, lo que refleja la creciente materialidad de este riesgo.

¿Qué deben saber los lectores?

Para los líderes empresariales, es crucial reconocer que la gobernanza de la IA no puede ser responsabilidad de un solo departamento. Se necesita un enfoque multidisciplinario, con el CISO como eje central. Las organizaciones deben invertir en herramientas que proporcionen visibilidad de extremo a extremo sobre los sistemas de IA, así como en capacitación para que los equipos de seguridad comprendan los matices de la IA.

Para los profesionales de la ciberseguridad, este es un momento de oportunidad. Aquellos que desarrollen habilidades en gobernanza de IA, ética algorítmica y gestión de riesgos de terceros estarán mejor preparados para liderar en esta nueva era. Como señala Forrester, el CISO se convertirá en la autoridad de confianza del negocio, un rol que va más allá de la seguridad técnica para abarcar la integridad y resiliencia de toda la organización.

En términos prácticos, las empresas deberían empezar por realizar un inventario de todos los sistemas de IA en uso, evaluar su criticidad y mapear las dependencias de datos y modelos. Luego, establecer un comité de gobernanza de IA que incluya al CISO, al responsable de cumplimiento, al director de datos y al líder de operaciones. También es recomendable adoptar marcos como el NIST AI Risk Management Framework, publicado en 2023, que proporciona directrices para identificar, evaluar y mitigar riesgos de IA. Para los CISOs, formarse en conceptos como explicabilidad, sesgo y privacidad diferencial será esencial. Iniciativas como el curso de IA para CISOs del SANS Institute o las certificaciones de ISACA en gobernanza de IA están ganando tracción. Finalmente, los inversores y accionistas deben exigir transparencia en los informes anuales sobre riesgos de IA, similar a cómo se reportan los riesgos cibernéticos. La era de la IA responsable no es una opción, es una necesidad competitiva.