Una declaración de apetito de riesgo de IA describe los tipos y niveles de riesgo relacionado con la IA que una organización está dispuesta a aceptar mientras persigue sus objetivos. Una declaración útil convierte los principios amplios en umbrales de decisión, límites y reglas de escalamiento que pueden guiar elecciones reales sobre los sistemas de IA.

El apetito de riesgo es establecido por el órgano de gobierno de la organización y debe reflejar su propósito, obligaciones legales, recursos y las personas afectadas por sus decisiones. No es una declaración de que la IA sea segura o insegura. Los diferentes usos crean diferentes exposiciones: una herramienta que redacta resúmenes internos no conlleva las mismas consecuencias que un sistema que influye en el acceso al trabajo, la salud, el crédito o servicios esenciales.

Hacer que la declaración sea operativa

Una declaración sin umbrales específicos es un comunicado de prensa, no un instrumento de gobernanza. Términos como “responsable”, “de bajo riesgo” o “centrado en el ser humano” expresan intenciones, pero no indican a un equipo cuándo un uso propuesto necesita aprobación, qué riesgo residual puede aceptarse o quién puede detener el despliegue. Una declaración de apetito útil define límites medibles u observables y explica qué sucede cuando se superan.

Los umbrales pueden abordar la gravedad y reversibilidad de posibles daños, la calidad de la evidencia, los niveles permitidos de revisión humana, la sensibilidad de los datos, el rendimiento del modelo o la dependencia de un solo proveedor. También deben identificar límites no negociables, como usos prohibidos o decisiones que no pueden delegarse en un sistema automatizado según la política de la organización. La redacción debe seguir siendo comprensible para los miembros de la junta directiva, los propietarios de los sistemas y los equipos técnicos.

Conectar el apetito con las decisiones

Para un uso de IA propuesto, el propietario puede documentar el beneficio previsto, los grupos afectados, los riesgos clave, la evidencia y los controles, para luego comparar el riesgo residual con los límites acordados. Si se supera un límite o la evidencia es débil, el siguiente paso debe ser claro: obtener seguridad adicional, limitar el uso, agregar controles, buscar aprobación a un nivel superior o rechazar el despliegue. Esto hace que el apetito por el riesgo forme parte de un proceso de decisión en lugar de ser un documento separado de las operaciones.

El apetito también debe reflejar la incertidumbre. Un sistema puede funcionar bien en las pruebas, pero encontrar entradas desconocidas o condiciones cambiantes después de su lanzamiento. Las organizaciones pueden establecer límites más estrictos mientras la evidencia sea limitada, exigir un despliegue por etapas y definir las señales que activan una pausa o una reevaluación. El apetito no reemplaza el monitoreo continuo ni el deber de actuar cuando surge un daño real.

Revise la declaración a medida que evolucionan los usos, las obligaciones y el panorama de riesgos de la organización. Un enfoque sólido vincula los límites a nivel empresarial con las tolerancias a nivel de sistema sin pretender que un solo número pueda describir todas las formas de riesgo de la IA. Los propietarios designados deben saber qué decisiones pueden tomar por sí mismos y cuáles requieren una escalada a los altos cargos o a la junta directiva.