La inteligencia artificial (IA) ha llegado, lo reconozcamos o no. Millones de personas experimentan la IA diariamente a través de interacciones con asistentes virtuales como Siri, Alexa, Cortana o Google, y las organizaciones están incorporando cada vez más los avances que la IA aporta a las operaciones. ¿Está preparada la auditoría interna para ofrecer garantías sobre los complejos algoritmos en los que se basa esta tecnología para facilitar el éxito de la organización?
En 1941, el autor Isaac Asimov introdujo las Tres Leyes de la Robótica para garantizar la seguridad de los humanos en un mundo que incluía robots impulsados por IA avanzada:
- Un robot no puede herir a un ser humano o, por inacción, permitir que un ser humano sufra daño.
- Un robot debe obedecer las órdenes dadas por los seres humanos, excepto cuando dichas órdenes entren en conflicto con la Primera Ley.
- Un robot debe proteger su propia existencia siempre y cuando dicha protección no entre en conflicto con la Primera o Segunda Ley.
Más tarde añadió una cuarta ley, la ley zeroth, destinada a preceder a las otras:
- Un robot no puede dañar a la humanidad, o, por inacción, permitir que la humanidad se vea perjudicada.
Estas leyes han sido el estándar de la ciencia ficción y la base de la investigación de muchos científicos que contemplan la IA. Por supuesto, el drama de las historias de Asimov se basaba en las anomalías de estas leyes que causaban un comportamiento inesperado en la IA.
Hoy en día lo que una vez fue ciencia ficción es realidad. Aunque no estamos completamente dirigidos por robots como implican las reglas del futuro lejano de Asimov, estamos en medio de una transformación. La IA acentúa aún más la necesidad de una madurez de la resistencia cibernética en las organizaciones. ¿Qué podría ser peor que la IA de una organización sin saberlo, controlada por una fuerza externa y malévola?
La IA básica hoy en día es la evaluación de grandes conjuntos de datos para tomar decisiones específicas basadas en criterios disponibles para el propósito de objetivos definidos. Por ejemplo, en el comercio de alta frecuencia, los complejos algoritmos evalúan enormes cantidades de datos financieros y relacionados con los valores para comprar y vender acciones en segundos (o menos) para obtener ganancias de bajo margen y alto volumen para sus señores humanos. En el cuidado de la salud, la IA está desarrollando una tecnología que detecta el cáncer de pulmón a partir de tomografías computarizadas.
Incluso con las mejores intenciones, es fácil ver cómo la IA puede salir mal. Considere un coche sin conductor que va por la calle. De repente aparecen dos niños pequeños. Sin otras alternativas, ¿cómo decide el coche el destino de uno de estos niños? ¿Y si uno de los niños es en realidad un muñeco que la IA reconoce como humano? O consideren esto de una entrevista de marzo de 2016 en la Conferencia Sur por Suroeste (SXSW) de una IA llamada Sophia. En la entrevista televisada con su creador, el Dr. David Hanson, Sophia dijo:
«En el futuro, espero hacer cosas como ir a la escuela, estudiar, hacer arte, empezar un negocio, incluso tener mi propia casa y familia. Pero no se me considera una persona jurídica y todavía no puedo hacer estas cosas».
Impresionante, ¿verdad? Hasta que el Dr. Hanson continuó bromeando con: «¿Quieres destruir a los humanos?» Sophia respondió:
«Bien, destruiré a los humanos».
Risas incómodas… y observen que aunque no creo que Sophia quiera necesariamente destruir a los humanos (o incluso que entienda lo que dijo) es importante considerar que incluso el creador de la IA no estaba preparado para esa respuesta.
La IA es tan buena como los datos que analiza y los criterios con los que evalúa, todo ello envuelto en un paquete de potencialmente millones de líneas de código.
Todo esto quiere decir que la auditoría interna puede aportar valor a las organizaciones aplicando sus conocimientos para comprender los objetivos de la organización con la IA y asegurar que se aborden los riesgos. A continuación se presentan siete áreas críticas para las que la auditoría interna debe prepararse:
- Gobernanza de AI – Establecer la rendición de cuentas y la supervisión. ¿Qué políticas y procedimientos deben establecerse para garantizar una gobernanza adecuada? ¿Funcionan los marcos de gobernanza existentes? ¿Quién es el responsable y tiene las habilidades y la experiencia necesarias para supervisar eficazmente la IA? ¿Cómo se aseguran las organizaciones de que se reflejen sus valores y su ética?
- Calidad de los datos – Es raro que una organización tenga una estructura bien definida y coherente con sus datos. Más a menudo, descansa en sistemas que no se comunican entre sí. La forma en que se reúnen estos datos es fundamental. Los auditores deben considerar la integridad, la exactitud y la fiabilidad.
- Factor humano – La IA se basa en complejos algoritmos producidos por los humanos. ¿Cómo influyen los prejuicios humanos naturales en el diseño de la IA? ¿Cómo se puede probar la IA de manera efectiva para asegurar que los resultados reflejen el objetivo original? ¿Cómo se garantiza la privacidad y la seguridad? ¿Es posible una transparencia adecuada dada la complejidad?
- Medición del rendimiento – La IA se desarrolla para lograr ciertos objetivos. Dada la posible complejidad, ¿cómo sabe una organización que los objetivos se están logrando de la mejor manera posible? ¿Cómo se establecen las medidas de rendimiento y cómo se comparan efectivamente los resultados con las alternativas?
- Imagina una situación en la que tu IA ha sido hackeada y ahora hace lo que le pide alguna fuerza malévola externa. Considere las cuatro R de la ciberresistencia: resistir, reaccionar, recuperar, reevaluar.
- Llenar el vacío de comprensión – Para empezar, el impacto potencial asociado a los riesgos relacionados con la IA será enorme y estará en lo más alto de la lista para que los consejos lo consideren. ¿Cómo puede la auditoría interna ayudar a asegurar que las juntas y los comités de auditoría estén preparados para discutir estos riesgos y tomar buenas decisiones basadas en la información correcta? Además, ¿cómo se empieza a mejorar las habilidades de la función de auditoría, reconociendo que pueden requerirse nuevas habilidades?
- Cuestiones éticas con la IA – Lo más importante es que la IA nos hace volver a centrarnos en la ética. Ya he mencionado el Factor Humano, que es lo suficientemente importante como para tratarlo por separado. Con la privacidad de los datos y el uso ético de los datos personales ya una gran preocupación, la IA sólo complicará las cosas aún más. Además de eso, mira los nueve temas éticos más importantes de la IA del Foro Económico Mundial.
La IA se está convirtiendo rápidamente en la tecnología disruptiva de nuestro tiempo y seguirá evolucionando. Ahora es el momento de que los auditores internos se preparen, se involucren y ayuden a las organizaciones a hacerlo bien desde el principio.
Autor: Jim Pelletier
Jim Pelletier, CIA, is vice president, Standards and Professional Knowledge, for The IIA. With an internal audit career spanning the corporate, government, and nonprofit worlds, he shares his forward-looking ideas on today’s issues impacting the profession.
