La regulación podría transformar la industria de la IA. Así pueden prepararse las empresas

• Un reciente libro blanco de la Comisión Europea (CE) podría sentar las bases de un marco regulatorio para la IA.

• Dicha regulación podría tener un impacto generalizado en la industria de la IA.

• Las empresas pueden prepararse para ello desarrollando sólidas capacidades de auditoría y de presentación de informes.

Dada la rápida adopción de la inteligencia artificial en ámbitos de alto riesgo, así como la creciente preocupación pública por un posible uso indebido de la IA, la regulación está a la vuelta de la esquina. De hecho, la Comisión Europea está elaborando actualmente un marco regulatorio que podría tener un amplio impacto, similar al del RGPD, en cualquier empresa que quiera hacer negocios en la UE. Ante ello, las empresas deberían introducir de forma anticipada un sólido proceso de evaluación para los productos y servicios de IA, a fin de sufrir la menor disrupción posible.

Un marco en desarrollo

En febrero de 2020, la Comisión Europea (CE) publicó un Libro Blanco sobre inteligencia artificial, ampliamente considerado por los expertos como un paso hacia un nuevo marco regulatorio. En él se describía formalmente la visión de la Comisión de apoyar el desarrollo de un ecosistema de IA fiable e innovador en Europa. Esta visión se guiaba por dos objetivos fundamentales: 1) promover un enfoque de la IA centrado en las personas; es decir, garantizar que la IA sirva principalmente a las personas y aumente su bienestar, y 2) aprovechar el mercado de la UE para difundir a escala mundial el enfoque de la UE en materia de regulación de la IA.

Cabe destacar que el documento especificaba que cualquier nuevo régimen regulatorio solo será aplicable en los sectores de alto riesgo (como la sanidad, el transporte, la energía y partes del sector público) en los que cabe esperar que se produzcan «riesgos significativos». Asimismo, dichas normas se aplicarían a aplicaciones específicas de la IA, como la contratación, la tecnología de reconocimiento facial y las aplicaciones vinculadas a los derechos de los trabajadores y de los consumidores. La llegada de este marco regulatorio formal de la IA en la UE tendrá un impacto significativo en las empresas que suministran o adquieren sistemas de IA, así como en su relación con los reguladores.

El libro blanco propone un conjunto escalonado de directrices de cumplimiento en materia de IA, que incluye tanto regímenes de cumplimiento obligatorios como voluntarios. Existirán requisitos obligatorios para las empresas que operen en los mencionados sectores de «alto riesgo» y/o utilicen aplicaciones de IA. Estos se refieren específicamente a «datos de entrenamiento, información de registro que debe facilitarse sobre la solidez y la precisión de la aplicación de IA, y requisitos específicos de supervisión humana para el reconocimiento facial». A su vez, las empresas que operen en sectores y/o aplicaciones de menor riesgo podrán optar por participar en un régimen de etiquetado voluntario para señalar que sus productos y servicios habilitados por IA son fiables. Estas directrices ya han cobrado impulso en la UE, ya que 14 Estados miembros respaldaron recientemente un documento de posición que aboga por dichas estrategias de cumplimiento, así como por un enfoque de derecho flexible (por ejemplo, la autorregulación) para la regulación de la IA en términos más generales.

Por el momento, persisten ámbitos de ambigüedad en cuanto a las distintas clasificaciones. Por ejemplo, la designación de operadores y aplicaciones como de alto o bajo riesgo corresponderá a la Comisión Europea, y estas designaciones podrían evolucionar para incluir sectores y aplicaciones que aún no se consideran de «alto riesgo», pero que son periféricos a operaciones de IA de mayor riesgo. Por tanto, es prudente que los sectores que dependen en gran medida de la IA se adapten por iniciativa propia al cumplimiento normativo.

Cabe señalar que no se ha anunciado ninguna regulación en la UE y que todavía queda mucho por establecer. Por ejemplo, los componentes cruciales para aplicar la supervisión de la IA siguen sin desarrollarse o sin estar claros; en concreto, todavía no existe una lista definitiva de requisitos de cumplimiento específicos, un mecanismo de aplicación que supervise la adopción sistemática de estas normas, ni un proceso claro para coordinar los protocolos de IA entre la Comisión Europea y los Estados miembros de la UE. Más allá de ello, sin embargo, es seguro que se están sentando las bases. De hecho, durante su discurso sobre el estado de la Unión del 16 de septiembre de 2020, la presidenta de la Comisión Europea, Ursula von der Leyen, subrayó la necesidad de «un conjunto de normas que sitúe a las personas en el centro» de la IA y confirmó que «la Comisión presentará una ley a este respecto el próximo año».discurso sobre el estado de la Unión del 16 de septiembre de 2020

Cómo pueden prepararse ya las empresas

Este compromiso con la acción regulatoria se alimenta de la sensación de que diversos sistemas de IA se han desplegado sin haber sido debidamente evaluados. Ha quedado claro que la aplicación emergente de la IA a un número cada vez mayor de decisiones vitales en ámbitos de alto riesgo (por ejemplo, el empleo, la medicina o la educación) no debe permitir que se reproduzcan, refuercen o amplíen las desigualdades existentes. Son preocupaciones sin duda legítimas, y son preocupaciones que las empresas con visión de futuro pueden y deben abordar de forma proactiva mediante un sólido «proceso de evaluación». Sostenemos que, en el caso de los productos y soluciones de IA, este proceso debe estructurarse en torno a cuatro pasos clave:

1. Documentar el linaje de los productos y servicios de IA, así como sus comportamientos durante su funcionamiento. Dicha documentación debe incluir información sobre los objetivos o finalidades, los conjuntos de datos de entrenamiento, los resultados de las pruebas de seguridad y equidad, las características de rendimiento y los escenarios de uso. En los últimos años, esto se ha convertido en una prioridad en todo el sector, y la mayoría de los principales actores han creado o adoptado modelos de documentación viables (desde las «model cards» de Google hasta las «Factsheets» de IBMmodel cards de Google hasta las Factsheets de IBM). Además, el comportamiento de los sistemas de IA debe supervisarse de forma activa durante su funcionamiento. En este punto, las empresas deberían recurrir al creciente cuerpo de literatura sobre las diversas herramientas disponibles para ayudar a comprender e interpretar las predicciones realizadas por los modelos de aprendizaje automático.

2. Elaborar una interpretación interna de los requisitos propuestos en el libro blanco de la CE: Es muy poco probable que el marco regulatorio adoptado explique plenamente cómo poner en práctica los requisitos, principalmente porque estos variarán significativamente en función del contexto de uso específico. Por ejemplo, si la ley exige a las empresas utilizar conjuntos de datos suficientemente representativos para evitar una posible discriminación, no especificará cuál debe ser exactamente la composición de un determinado conjunto de datos debería ser. Por tanto, un equipo multidisciplinar tendrá que elaborar una interpretación interna de estos requisitos. Esto puede hacerse planteando preguntas pertinentes. Por ejemplo, dentro de una aplicación de contratación basada en IA, se podría considerar la siguiente pregunta: ¿cómo influye la composición demográfica de los conjuntos de datos de entrenamiento en las recomendaciones del sistema?

3. Evaluar el cumplimiento de los productos y servicios de IA con los requisitos propuestos en el libro blanco de la CE: Un equipo multidisciplinar independiente, integrado por responsables de riesgos y de cumplimiento normativo, gestores de producto y científicos de datos, debería llevar a cabo una auditoría interna para evaluar el cumplimiento de los requisitos de la CE sobre la base de la interpretación interna definida de dichos requisitos.

4. Informar de los resultados a las partes interesadas pertinentes. Estos informes de auditoría deberían estar disponibles previa solicitud para:

● Reguladores. Para agilizar este proceso, las soluciones de presentación de informes utilizadas por las empresas deberían incluir una interfaz de programación de aplicaciones (API) que facilite la interacción con los reguladores;

● Lado de la demanda (compradores). Como parte de su proceso de contratación, las empresas deberían poder acceder a los informes de auditoría elaborados por sus proveedores de tecnología y deberían exigir a un tercero competente que verifique la información facilitada;

● Lado de la oferta (proveedores). Al presentar ofertas para un contrato, los proveedores de tecnología deberían incluir informes de auditoría para situar a sus empresas como líderes en IA responsable. Estos también pueden utilizarse con fines de responsabilidad, para demostrar que han realizado la diligencia debida al implementar los procesos de verificación adecuados.

● Asociaciones de consumidores y organizaciones de la sociedad civil. Por los canales adecuados, los consumidores y los ciudadanos deberían poder acceder a los informes de las empresas que despliegan IA para asegurarse de que pueden elegir interactuar con sistemas fiables.

Una forma de garantizar una transición fluida hacia el cumplimiento de las nuevas normativas sería designar personal específico que vele por la conformidad. En concreto, es probable que los responsables de riesgos y de cumplimiento desempeñen un papel clave en este proceso y, si se dispone de un software de auditoría adecuado para los sistemas de IA (como se defiende aquí), gran parte de este proceso podría automatizarse.

Pasar a la acción

Es importante que las empresas que probablemente se vean afectadas actúen con rapidez, ya que la implementación de un proceso de este tipo requiere algo de tiempo. No crear estas capacidades de auditoría y de presentación de informes puede tener un coste significativo en términos de daños evitables, líneas de responsabilidad mal definidas, menor resiliencia empresarial y, en última instancia, capacidades organizativas débiles para cumplir las obligaciones de las empresas.

Aun así, hay motivos para mantener la esperanza en las empresas dispuestas a adoptar una IA responsable antes de que se vean obligadas a hacerlo. De hecho, existe un creciente volumen de datos que demuestra que los líderes empresariales deberían adoptar una forma de responsabilidad social tecnológica en lo que respecta a la IA, no solo para proteger la reputación de su marca, sino, más importante aún, para generar confianza entre sus trabajadores, consumidores y la sociedad en su conjunto. Esta actitud proactiva marcará la diferencia entre quienes se adaptan para salir ganando y quienes reaccionan para sobrevivir.