Gobernanza y gestión de riesgos de la IA: el marco de gestión de riesgos del NIST
El Marco de gestión de riesgos de IA del Instituto Nacional de Estándares y Tecnología (NIST) describe cuatro funciones específicas: gobernar, mapear, medir y gestionar, para ayudar a las organizaciones a abordar los riesgos de la IA.
La función "gobernar" se relaciona con el cultivo y la implementación de una cultura de gestión de riesgos y se aplica a todas las etapas de la gestión de riesgos de una organización. Abarca lo siguiente:
- Políticas, procesos, procedimientos y prácticas relacionados con el mapeo, la medición y la gestión de riesgos de la IA. Estos deben estar presentes, ser transparentes e implementarse de manera efectiva.
- Estructuras de rendición de cuentas para garantizar que los equipos adecuados estén facultados, sean responsables y estén capacitados para lidiar con los riesgos. Las personas deben estar comprometidas con una cultura que considere y comunique el riesgo de la IA.
- Priorización de los procesos de inclusión, diversidad y accesibilidad de la fuerza laboral en el mapeo, la medición y la gestión de los riesgos de la IA.
- Procesos para un compromiso sólido con los actores de IA relevantes.
- Políticas y procedimientos para abordar los riesgos de la IA y los beneficios que surgen del software y los datos de terceros, así como otros problemas de la cadena de suministro.
Los casos de prueba evidencian una mayor atención sobre el rol de la junta en la gobernanza de la IA
Los casos legales relacionados con la IA están aumentando rápidamente, con presentaciones de demandas colectivas en los EE. UU. que se duplican de 7 en 2023 a 15 en 2024. Demuestran un nivel cada vez mayor de escrutinio legal en torno al uso de la IA y el posterior crecimiento de la responsabilidad para las organizaciones y sus líderes séniores.
De las 15 presentaciones relacionadas con la IA en 2024, ocho estaban en el sector tecnológico. Los sectores de comunicaciones e industriales representaron cuatro y dos presentaciones, respectivamente, con una presentación atribuida al sector no cíclico del consumidor1.
Como dice Lewin de Gallagher, "Hemos visto casos de reclamaciones de lavado de IA que ocurrieron en los EE. UU.: Dos administradores de activos han enfrentado multas de la Comisión de Bolsa y Valores (Securities and Exchange Commission, SEC) de los EE. UU. por exagerar su uso de la IA y sus beneficios para sus partes interesadas.
"Además, estamos comenzando a ver que surgen demandas colectivas contra empresas que participan en el lavado de IA", añade. "La SEC ha estado monitoreando de cerca la IA durante un período significativo. Las jurisdicciones de todo el mundo son cautelosas con respecto a la adopción de regulaciones de la IA demasiado estrictas, ya que tienen como objetivo evitar sofocar la innovación. Sin embargo, algunas regiones han adoptado un enfoque más pesado que otras".
Cuatro categorías de litigios con tendencias en 2025 incluyen las siguientes:
- Reclamaciones de lavado de IA: litigio de valores
- Contenido generado por IA: desafíos legales, infracción de PI
- Alucinaciones de la IA: sanciones legales
- Desarrollos/Desafíos regulatorios
El lavado con IA es un área de preocupación relativamente nueva y en crecimiento. Si bien las demandas hasta la fecha no se han referido explícitamente al término, se han planteado impugnaciones legales por publicidad engañosa, reclamaciones falsas y capacidad exagerada. Esto puede cambiar a medida que las determinaciones y sentencias legales moldeen la base de futuros casos legales y a medida que los tribunales establezcan estándares legales más claros.
Las compañías y los directores también pueden estar expuestos a litigios a través de algoritmos sesgados, como para evaluar candidatos de reclutamiento, incluso cuando se haya accedido a ellos a través de un tercero.
"El aumento del uso de la IA puede exponer a las empresas a reclamos de responsabilidad por prácticas laborales, según cómo se diseñen y utilicen los algoritmos de contratación", señala Cassandra Shivers, líder de defensa de reclamaciones, Riesgo Ejecutivo y Cibernética, Gallagher.
"También existe una posible responsabilidad de D&O si las afirmaciones públicas sobre la calidad o los controles de la IA resultan inexactas, lo que posiblemente conduzca a violaciones fiduciarias.
"Hay ejemplos en contextos legales en los que un abogado o bufete de abogados ha utilizado la IA para generar informes y perspectivas sobre la jurisprudencia que simplemente no existen", dice Shivers. "Esto puede dar lugar a consecuencias graves, incluidas sanciones contra abogados o firmas involucradas. Por lo tanto, es crucial evaluar la información generada por la IA para garantizar que sea válida y eficaz".
Recientemente, ha surgido una ola de litigios en torno a la inteligencia artificial: las empresas exageran las capacidades, el marketing engañoso, los resultados alucinados y los desafíos regulatorios. Estos casos ofrecen una visión de cómo la adopción de la IA está chocando con una acción legal.
Evaluar con pruebas de estrés ayuda a encontrar vacíos en la cobertura
Con todas las promesas y oportunidades que presenta la IA, también hay nuevas exposiciones tanto para las compañías como para los directores y funcionarios (D&O) individuales. Estos deben considerarse a medida que los funcionarios séniores cumplen con sus obligaciones y responsabilidades en relación con la adopción de la IA.
Trabajo en equipo con su intermediario
Desde una perspectiva de seguro de D&O, es importante que los líderes séniores exploren diversas situaciones, con el apoyo de su agente, para determinar cómo podría responder la cobertura y dónde puede haber brechas en la gestión de riesgos o la cobertura.
A medida que la IA evoluciona, los desafíos legales continuarán aumentando, estableciendo precedentes y revelando cómo la redacción de políticas de D&O responde cuando se prueba. Para la industria de seguros, esto también pondrá a prueba el deseo de suscripción y determinará si la "IA silenciosa" es un problema que debe abordarse de manera similar a la "cibernética silenciosa". Las disputas de reclamaciones podrían impulsar un cambio más pronunciado con el mercado y excluir explícitamente las reclamaciones relacionadas con la IA u ofreciendo cobertura afirmativa.
Como anticipa Kevin LaCroix: "Es probable que veamos mayores cantidades de litigios corporativos y de valores relacionados con los riesgos relacionados con la IA, y no solo la falta de divulgación de riesgos relacionados con la IA, sino las acusaciones relacionadas con el uso indebido de la IA o la implementación defectuosa de herramientas de IA, o la falta de adaptación o respuesta a la urgencia competitiva del desarrollo de la IA.
"Los litigantes también buscarán responsabilizar a los gerentes corporativos y a sus empleadores por no evitar, en la implementación de herramientas de IA, la discriminación, las violaciones de privacidad y PI o el fraude al consumidor", señala.
De hecho, el alcance del seguro de responsabilidad civil de D&O ya ha comenzado a evolucionar: las aseguradoras han comenzado a ofrecer una cobertura más especializada que refleja lo siguiente:
- Riesgos vinculados con reclamaciones engañosas de IA y responsabilidades legales que pueden surgir del lavado de IA
- Cobertura para filtraciones de datos, ataques cibernéticos y violaciones de la privacidad como resultado de sistemas impulsados por IA
- Protección de riesgos vinculados a la ética de la IA, incluido el sesgo algorítmico y las prácticas poco éticas
- Adaptación a la evolución de las regulaciones sobre la IA; las inquietudes ambientales, sociales y de gobernanza (environmental, social and governance, ESG); y la responsabilidad de los directores y funcionarios en la supervisión de los sistemas de IA
Preparación para un panorama en evolución
Mientras tanto, las empresas deben continuar probando cómo responderían sus textos actuales de pólizas de D&O a las responsabilidades relacionadas con la IA, mientras se mantienen al tanto de los desarrollos legales y regulatorios. Asociarse con suscriptores y agentes puede ayudar a poner a prueba el alcance de la cobertura y abordar cualquier brecha antes de que se convierta en un problema.
"Sin reglas claras ni puertos seguros para el desarrollo de la IA, las juntas directivas siguen siendo responsables en última instancia", dice Steve Bear, director ejecutivo de Riesgos Profesionales y Financieros de Gallagher. "Dada la amplitud de la aplicación de IA dentro de un negocio, la participación de especialistas en D&O puede ayudar a las juntas a comprender mejor el espectro completo de riesgos entre todas las partes interesadas.
"Si bien el seguro de D&O ofrece cierta protección, muchos riesgos relacionados con la IA están fuera del alcance de los textos estándares de las pólizas actuales y deben abordarse a través de marcos de gobernanza sólidos. Este seguirá siendo un panorama de gestión de riesgos en evolución".
Publicado en agosto de 2025