Casi a mediados del año 2026, la adopción de sistemas de inteligencia artificial en pequeñas organizaciones ya no es una excepción, sino una necesidad competitiva.
De conformidad con la Real Academia Española, la inteligencia artificial es la disciplina científica que se ocupa de crear programas informáticos que ejecutan operaciones comparables a las que realiza la mente humana, como el aprendizaje o el razonamiento lógico. Ahora bien, el concepto de inteligencia artificial no es nuevo y ha sido objeto de una profunda evolución desde principios de este siglo. Por ello, sin ánimo de exhaustividad, en esta nueva entrada del blog se utiliza la definición que recoge el art. 3.1 Reglamento 2024/1689, de 13 de junio, de 2024 (Reglamento de Inteligencia Artificial), por el que se define a un sistema de inteligencia artificial como “un sistema basado en un máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtuales”.
Como se evidencia en la práctica diaria del Compliance Officer, la implementación de sistemas de inteligencia artificial por parte de las pequeñas y medianas organizaciones es una práctica con la que están comenzando a experimentar, fundamentalmente con el objetivo de impulsar la productividad y alcanzar una mayor eficiencia en los procesos corporativos. El uso de los sistemas de inteligencia artificial en este tipo de organizaciones puede resultar muy tentador, desde su utilización para el desempeño de las funciones más rutinarias y de menor valor añadido al desarrollo del negocio, hasta una mayor integración en los procesos de gestión operativa de áreas corporativas estratégicas como la administración y la gestión de los recursos humanos, por ejemplo.
Riesgos que supone la implementación de Sistemas de IA
Sin embargo, la incorporación de estas soluciones viene acompañada de un riesgo silencioso: la contratación de proveedores de IA sin una evaluación adecuada de sus garantías técnicas, jurídicas y éticas.
Debemos partir de la base de que, en su mayoría, las pequeñas y medianas organizaciones optan por adquirir soluciones de terceros, asumiendo, no obstante, la responsabilidad de utilizar estos sistemas de IA bajo su propia autoridad en su actividad profesional o empresarial, como responsables del despliegue. Sin embargo, no siempre se cuenta con garantías suficientes con respecto al grado de cumplimiento del proveedor.
En este contexto, las pequeñas y medianas organizaciones se encuentran ante el desafío de garantizar que los parámetros de funcionamiento y lógica (con frecuencia, opacos y desconocidos para sus usuarios), de los sistemas de inteligencia artificial, o de las suites y herramientas que integran y utilizan de algún modo soluciones basadas en IA que pretenden utilizar no suponen un perjuicio o incluso una violación flagrante de la legislación vigente y de las políticas corporativas.
Aunque la tecnología o su aplicación sea novedosa, los fundamentos de su evaluación previa no lo son: la “novedad” de la IA no justifica posponer o directamente omitir el proceso de gestión de riesgos que debe realizarse antes de introducir cualquier tecnología para la automatización de procesos corporativos en el seno de estas organizaciones. El uso de sistemas de IA no altera el procedimiento, si bien, puede añadir nuevas dimensiones al análisis.
Oportunidad de revisión para las Pequeñas y Medianas Organizaciones
En este sentido, la llegada de esta tecnología puede ser una oportunidad para revisar la idoneidad, la necesidad y la robustez de los procesos de diligencia debida con los que cuentan las pequeñas y medianas organizaciones.
En la práctica, bien por la ingente cantidad de soluciones de inteligencia artificial en el mercado o bien por la frenética velocidad con la que este tipo de soluciones emergentes son utilizadas por los diferentes departamentos de la organización -incluso, en ocasiones, sin autorización o ni siquiera conocimiento de la organización-, es frecuente que estas pequeñas organizaciones no cuenten con un proceso de diligencia debida actualizado y eficaz para identificar, evaluar y controlar los riesgos de cumplimiento que conlleva esta tecnología.
Sin duda, el proceso de diligencia debida con los proveedores de sistemas de inteligencia artificial posee características propias que implican una mayor complejidad con respecto al proceso tradicional, en tanto las posibilidades y alcance de esta tecnología digital en el seno de la organización incluye obligaciones legales derivadas de diferentes -e incluso novedosas- legislaciones específicas, tales la protección de datos de las personas físicas afectadas, la ciberseguridad, la reciente regulación de los sistemas de inteligencia artificial y el resto de actos legislativos específicos de armonización en la Unión.
Así mismo, el uso de los sistemas de inteligencia artificial emplaza la organización a analizar el impacto que esta tecnología tiene sobre las políticas corporativas y garantizar que las mismas están plenamente alineadas con los principios y valores de la organización.
Criterios a tener en cuenta para implementar una nueva solución IA
A los efectos de facilitar la labor de los Compliance Officer o responsables de cumplimiento en estas organizaciones, a continuación, se enuncian los aspectos básicos que deben tomarse en consideración a la hora de implementar una nueva solución de este tipo:
- ¿El proveedor proporciona instrucciones o indicaciones sobre el funcionamiento del sistema y sobre cómo debe utilizarse?
- ¿El proveedor ofrece alguna capacitación o formación sobre el uso del sistema para que seamos capaces de detectar anomalías o fallos de funcionamiento?
- ¿El proveedor establece canales de comunicación o de reporte de incidencias?
- ¿Dónde se almacena y trata la información? ¿Hay transferencias internacionales?
- ¿Está claramente identificada la cadena de subcontratistas?
- ¿Qué registros o información conserva el sistema?
- ¿Durante cuánto tiempo se almacena la información en el sistema?
- ¿Qué tipo de decisiones toma el sistema?
- ¿El proveedor entrena sus modelos y/o sistemas con nuestra información?
¿Esta información se refleja correctamente en el contrato de servicios y, en su caso, en el contrato de encargado del tratamiento?
Protagonismo especial del proceso de Diligencia
A todo ello, se suma el hecho de que, determinadas pequeñas y medianas organizaciones cuya actividad principal hace que se integren en las cadenas de contratistas de grandes organizaciones, especialmente en sectores económicos del mercado con una abundante carga regulatoria, se ven obligadas a someterse a determinadas obligaciones contractuales relacionadas con su propia homologación como proveedores.
Esto supone que, en muchas ocasiones, las obligaciones legales de organizaciones de mayor tamaño se acaben trasladando a las pequeñas y medianas organizaciones que ostentan el rol de proveedores de las primeras. En consecuencia, se refuerza la necesidad de garantizar un grado de cumplimiento aceptable para todas las organizaciones, con independencia de su tamaño y/o volumen de facturación o negocio, a los efectos de impulsar el desarrollo de negocio y garantizar la expansión de la actividad principal en un entorno cada vez más competitivo e ineludiblemente dependiente de la tecnología emergente. Todo ello, sin olvidar otros aspectos básicos del proceso tradicional de homologación de proveedores de conformidad con la normativa vigente de aplicación, según corresponda, en materia de protección de datos, prevención del fraude y antisoborno, medio ambiente, normativa laboral, libre competencia, etc.
En suma, el proceso de diligencia cobra un especial protagonismo ante la implementación de sistemas de inteligencia artificial en el seno de las pequeñas y medianas organizaciones, ya que es la primera oportunidad de que dispone la organización para entender la tecnología y, en consecuencia, poder mitigar los riesgos de Compliance que conlleva. En este contexto actual, la labor del Compliance Officer en las pequeñas y medianas organizaciones se torna, si cabe, más necesaria para garantizar que los principios en que se fundamenta la cultura de Compliance de la organización no se vean menoscabados por la tentación de acelerar el proceso bajo el pretexto impulsar la productividad y eficiencia en el desempeño de la operativa del negocio.
Dado que las organizaciones de menor tamaño no disponen de los recursos con los que pueden contar las grandes organizaciones, ello puede servir como excusa para soslayar el valor del proceso de homologación de proveedores , en tanto el impacto que tiene la inteligencia artificial en la automatización de procesos operativos y en el desarrollo del negocio es especialmente relevante en las organizaciones de menor tamaño en comparación con sus homólogas cotizadas.
Influencia del Compliance Officer
A este respecto, la influencia del Compliance Officer en las organizaciones de pequeñas dimensiones puede contribuir a facilitar el grado de conocimiento que tiene la organización sobre estas tecnologías basada en sistemas de inteligencia artificial, lo que, en definitiva, contribuye positivamente a identificar, analizar y mitigar los riesgos de cumplimiento que conlleva toda la adquisición de tecnologías emergentes a terceros proveedores.
Así, la eficacia del proceso de diligencia debida pasa por una plena integración en los procesos corporativos previamente implantados, que deben ser debidamente actualizados para recopilar información de calidad sobre el grado de cumplimiento de los proveedores de estas tecnologías antes de implementarla en los procesos operativos y de negocio de la organización, así como durante todo su ciclo de vida.
Síguenos en nuestras RRSS o visita nuestra sección de ‘Actividades’ en esta página web para conocer más sobre ASCOM.
