Experto propone un modelo nacional para regular el uso de inteligencia artificial en Costa Rica
Un investigador del Observatorio Nacional de Investigación en Ciencias Económicas de la Universidad Hispanoamericana propuso la creación de un Modelo Nacional de Gobernanza Responsable de Inteligencia Artificial para Costa Rica, con el objetivo de establecer reglas, controles y mecanismos de supervisión sobre el uso de estas tecnologías tanto en instituciones públicas como privadas.
La propuesta fue desarrollada por el MBA Alexander Cordero Céspedes en la investigación “Hacia una inteligencia artificial confiable en Costa Rica: gobernanza, riesgos y modelo operativo para entidades públicas y privadas”.
El planteamiento parte de una preocupación concreta: el crecimiento del uso de sistemas de inteligencia artificial sin que necesariamente existan políticas formales, mecanismos claros de control de riesgos o procedimientos de supervisión humana que permitan prevenir eventuales afectaciones a los usuarios.
Según el análisis, el principal desafío no consiste únicamente en determinar si una organización debe utilizar inteligencia artificial, sino en establecer bajo qué condiciones puede hacerlo sin comprometer la privacidad, la seguridad, la equidad, la transparencia y la confianza de las personas.
El documento advierte que una adopción improvisada o fragmentada puede generar problemas relacionados con sesgos algorítmicos, uso indebido de datos personales, decisiones automatizadas sin revisión humana, dependencia de proveedores tecnológicos, vulnerabilidades de ciberseguridad, errores de sistemas generativos y daños reputacionales o regulatorios.
Cuatro niveles de riesgo
Uno de los componentes centrales de la propuesta consiste en clasificar cada uso de inteligencia artificial en cuatro niveles: bajo, medio, alto o inaceptable.
Los sistemas considerados de bajo riesgo podrían operar con controles básicos, mientras que los clasificados como de riesgo medio requerirían mayores niveles de monitoreo y transparencia.
Para los sistemas de alto riesgo, especialmente aquellos relacionados con crédito, seguros, salud, educación, empleo o beneficios públicos, se proponen medidas más estrictas, como evaluaciones de impacto, validación independiente, supervisión humana y auditorías periódicas.
En el caso de los usos considerados inaceptables, el modelo plantea directamente su prohibición o no implementación.
Entre los ejemplos mencionados se encuentran el puntaje social, la vigilancia masiva injustificada y la manipulación abusiva.
“No todos los usos de IA requieren el mismo nivel de control. Un sistema de recomendación interna o un asistente de productividad tiene un perfil de riesgo distinto al de un modelo que aprueba créditos, determina elegibilidad para beneficios, automatiza decisiones laborales o procesa datos sensibles”, explicó Cordero Céspedes.
El investigador añadió que las entidades deberían clasificar sus sistemas tomando en cuenta factores como materialidad, impacto en derechos, criticidad operativa, autonomía, sensibilidad de los datos, explicabilidad, dependencia de terceros y potencial de daño.
Diez componentes para gobernar la IA
El modelo propuesto contempla 10 componentes principales que funcionarían como base para las organizaciones que utilicen inteligencia artificial.
El primero consiste en establecer una gobernanza institucional, mediante una política formal de IA aprobada por la alta dirección, con funciones, responsabilidades, comités y líneas de rendición de cuentas claramente definidas.
También se plantea elaborar un inventario de casos de uso, en el que se documenten los sistemas, modelos, herramientas, proveedores, datos utilizados, responsables, objetivos, riesgos y controles asociados.
Un tercer componente sería la clasificación de riesgos, seguida de una gestión del ciclo de vida de cada sistema, desde su diseño y desarrollo hasta su despliegue, monitoreo y eventual retiro.
La propuesta incluye además una gobernanza de datos que permita garantizar que la información utilizada sea precisa, completa, actualizada, segura y trazable, y que su tratamiento respete la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales.
Otros elementos centrales son la transparencia y explicabilidad, la supervisión humana significativa, la ciberseguridad y resiliencia, la gestión de proveedores externos y la capacitación constante de los equipos humanos.
Entre los riesgos tecnológicos que deberían abordarse se mencionan ataques adversariales, inyección de instrucciones, fuga de datos, deepfakes, phishing, envenenamiento de datos y fallos operativos.
Bancos y cooperativas entre los sectores con mayores controles
La propuesta dedica una atención particular al sistema financiero, donde la inteligencia artificial puede utilizarse para evaluar solicitudes de crédito, detectar fraudes, monitorear transacciones, atender consultas y apoyar procesos de cumplimiento regulatorio.
El documento advierte que este tipo de aplicaciones también puede implicar riesgos de discriminación, falta de explicabilidad, tratamiento indebido de datos y automatización de decisiones sin suficiente revisión humana.
Por esa razón, recomienda que bancos y cooperativas incorporen los riesgos asociados con inteligencia artificial dentro de sus estructuras institucionales de gestión y definan de forma clara quién es responsable de cada sistema.
La propuesta pretende complementar los marcos regulatorios y de supervisión aplicables al sistema financiero costarricense, sin sustituir la normativa vigente.
Un modelo proporcional para las pymes
El planteamiento también contempla una versión simplificada para las pequeñas y medianas empresas.
En estos casos, las organizaciones podrían implementar una política breve de uso de inteligencia artificial, una lista de herramientas autorizadas, normas para proteger datos sensibles, mecanismos de revisión humana, capacitación básica y evaluación de proveedores.
Para empresas de mayor tamaño, entidades financieras u organizaciones reguladas se recomiendan controles más robustos, entre ellos auditorías, validaciones independientes, matrices de riesgo, pruebas de desempeño, documentación técnica y reportes periódicos a la alta dirección.
Implementación en un plazo de 12 meses
El modelo plantea una ejecución gradual durante un período inicial de 12 meses.
Durante los primeros tres meses, las organizaciones deberían aprobar una política de inteligencia artificial, definir responsables, elaborar un inventario de sistemas e identificar aquellos usos que no deberían permitirse.
Entre los tres y seis meses, el objetivo sería desarrollar la clasificación de riesgos, capacitar al personal y reforzar los controles en áreas como proveedores, datos y ciberseguridad.
Entre los seis y doce meses, las entidades podrían incorporar evaluaciones de impacto, sistemas de monitoreo, mecanismos de reporte y procesos de revisión humana.
Después del primer año se recomendaría realizar auditorías, actualizar controles y medir beneficios, incidentes y oportunidades de mejora.
Para Cordero Céspedes, una regulación y gobernanza más sólida no tendría que verse como un obstáculo para la innovación.
“La adopción responsable de IA debe entenderse como una condición habilitante para la innovación y no como una restricción”, sostuvo.
El investigador concluyó que un manejo adecuado de estas tecnologías puede contribuir a mejorar la productividad, modernizar servicios, ampliar la inclusión y fortalecer la confianza de los usuarios, mientras que una implementación sin controles suficientes podría generar riesgos de largo plazo.
“Costa Rica tiene la oportunidad de posicionarse como referente regional si logra combinar innovación, competitividad, protección de derechos, sostenibilidad y confianza digital”, concluyó.
Infobae
