Qué resolvemos ·¿Cómo arreglo la forma en que decidimos?
Taskforce · Sostener
¿Quién responde por lo que decide su IA y con qué evidencia?
El regulador pregunta por qué se rechazó ese caso y nadie puede reconstruirlo.
Qué decide una máquina en su organización, con qué consecuencia, quién responde por cada decisión y qué evidencia queda.
Gobierno de Decisiones AutomatizadasEnviar esta página a quien decide
Para usar hoy, sin contratar nada
La prueba de la decisión concreta, que es como se audita esto de verdad y usted la puede correr esta semana. Elija una decisión automatizada real de los últimos treinta días y siga estos cinco pasos.
- Pida que se la reconstruyan. Qué entró, qué salió y por qué. Cronometre cuánto tardan. Si pasa de una hora, ya tiene su brecha.
- Pregunte quién responde por esa decisión. Un nombre, no un área. Si la respuesta es «el sistema» o «el proveedor», nadie responde.
- Busque en qué condiciones esa máquina deja de decidir. Si no hay umbral escrito, decide siempre, incluso cuando no debería.
- Pregunte qué credencial usó y quién puede revocarla. Es la pregunta que más veces se queda sin contestar.
- Revise cuánto tiempo se conserva ese registro. Un registro que se borra a los noventa días no sirve para una pregunta que llega a los seis meses.
Y el inventario que decide el resultado: liste las decisiones que se automatizaron sin que ningún comité las aprobara. Están en todas las organizaciones y son las que más pesan cuando alguien pregunta.
Le suena si
- Tiene modelos o agentes decidiendo cosas en producción.
- Un auditor preguntó por una decisión concreta y la trazabilidad no estaba disponible.
- Las automatizaciones se fueron sumando por área, cada una con sus propias credenciales.
Cómo lo resolvemos
El método, no la promesa.
- Se inventarían las decisiones automatizadas, incluidas las que nadie registró, que son las que importan.
- Se clasifican por consecuencia: qué pasa si esa decisión sale mal para el cliente, para el balance y para el regulador.
- Se asigna un rol humano responsable a cada una. Un área no es un responsable.
- Se diseña la evidencia hacia atrás, desde la pregunta que un tercero va a hacer dentro de seis meses.
- Se prueba con una decisión real suya: si no se puede reconstruir, el diseño todavía no sirve.
Qué recibe
- El inventario de decisiones automatizadas con su clasificación de consecuencia.
- La matriz de responsabilidad nominal: quién responde por cada una.
- La política de identidad no humana y el árbol de intervención y excepción.
- La especificación de registro de evidencia, probada contra una decisión real suya.
La prueba que viene al caso
- Ocho años de operación bajo supervisión regulatoria con cero hallazgos.
- Auditoría regulatoria sobre infraestructura de 60 000 servidores.
- Dirección de resiliencia en institución financiera bajo regulación de dos países.
Antes de contratar
Se prepara la evidencia y se documenta el criterio. Cuando su contrato exige una certificación, la emite un auditor acreditado sobre esa misma evidencia.
Lo que decide acá es si el diseño resiste una pregunta concreta seis meses después. Se comprueba antes de aceptar el trabajo, con la prueba de reconstrucción sobre una decisión real suya: si la decisión no se puede reconstruir en menos de una hora, ya tiene su brecha y todavía no ha pagado nada.
¿Puede reconstruir ante un tercero, en menos de una hora, por qué su sistema rechazó un caso concreto?
Si el problema es otro
El agente ya no solo responde: ejecuta. Nadie definió hasta dónde puede llegar solo.
Guardarraíles para Agentes
Tenemos cuentas de servicio con privilegios y nadie sabe quién responde por ellas.
Gobierno de Identidad No Humana
El integrador dice que funciona y yo soy quien firma.
Auditoría Independiente de Implementaciones de IA