Riesgos comunes

Hablar de “riesgos de la IA” en abstracto produce un capítulo de consultora que nadie usa. En una pyme los riesgos que hemos visto de verdad caben en cinco cajas: el modelo inventa, el dato se fuga, el proveedor os captura, el equipo trabaja peor, y la justificación del bono no tiene hábito detrás.

Ninguno se elimina del todo. Todos se recortan con diseño: alcance estrecho, humano, cita, contrato, interruptor, número. Este artículo es esa lista, sin semáforo de 40 filas.

Alucinación y autoridad

El modelo rellena huecos con frase correcta. El riesgo no es que se equivoque: es que se le trate como fuente. Control: cita obligatoria, “no lo sé” permitido, humano en lo irreversible (precio, plazo, registro contable, legal).

En soporte y en la web el daño es reputación. En facturación, dinero y Hacienda. El mismo modelo no tiene el mismo riesgo en los dos sitios. Por eso no hay un único “nivel de autonomía” para toda la empresa.

Fuga y exceso de dato

Pegar el Excel, entrenar con el histórico, logs que no controláis, una cuenta gratuita. Control: inventario, minimización, encargado, no-entrenamiento por escrito, cartel de perímetro, revisión de prompts a día 14.

El incidente típico no es un hacker. Es alguien de casa con prisa. La formación de 30 minutos recorta más que un antivirus nuevo.

Dependencia y coste

El saber del proceso se queda en su interfaz, el precio sube, la región UE cierra, el conector no exporta. Control: proceso escrito fuera, plan B de una tarde, precio de salida preguntado antes de firmar.

Si solo el proveedor puede explicar el flujo, el riesgo ya se materializó. Aunque hoy el precio sea bajo.

Sesgo operativo (trabajar peor)

El equipo acepta borradores malos por ir rápido. O deja de aprender el oficio. O el héroe se hace más héroe con prompts privados. Control: métrica de aceptación y de errores (no solo de velocidad), campeones, revisión a día 14 y 45, permiso a descartar.

Si los errores al cliente suben, el piloto está en riesgo aunque los minutos bajen. Velocidad sin calidad es otro nombre para el desastre.

Justificación vacía

Hay entregable en el papel y cero uso. Riesgo de programa y de reputación interna (“la IA no sirve”). Control: dueño, número a 30 días, formación sobre casos reales. Si no hay número, se recorta o se para. No se maquilla.

Un agente que os empuja a firmar alcance sin estos controles os está pasando el riesgo a vosotros. Pedidlos por escrito.

Cómo se escribe la página de riesgos del piloto

Una fila por caja: riesgo en una frase, control, dueño del control, cómo se ve que funciona (evidencia). Ejemplo: “El modelo inventa un plazo → cita + humano envía → campeón de soporte → revisión semanal de tres tickets.” Cinco filas. Fin.

Si una fila no tiene dueño, el control no existe. Si no tiene evidencia, es un deseo. Los semáforos de color sin esas dos columnas son decoración.

Se revisa el día 14 con la hoja de indicadores. Un riesgo que no se ha materializado no se celebra: se comprueba que el control sigue vivo.

Riesgo de reputación interna (“aquí la IA no funciona”)

Es el que más cuesta revertir. Se materializa cuando se lanza en grande, falla en público y nadie recorta. Control: piloto estrecho, número a 30 días, permiso a parar, y no anunciar a toda la empresa el día uno.

Si ya tenéis esa frase en los pasillos, el siguiente paso no es otro taller motivacional. Es un flujo mínimo que mida. Una victoria pequeña y aburrida limpia más que un discurso.

Revisad la página de riesgos el mismo viernes que los indicadores. Si el número de errores al cliente sube, el riesgo de alucinación o de sesgo operativo ha dejado de ser teórico: se recorta autonomía ese mismo día. Esperar al comité es cómo se convierte un riesgo en una anécdota cara.

No mezcléis en la misma página los riesgos del piloto con los riesgos “de la IA en general”. Los segundos no tienen dueño ni control y sirven para asustar. Los primeros se recortan el viernes. Si un asesor os entrega solo los segundos, pedid los primeros o cambiad de asesor.

Preguntas frecuentes

¿Hay que hacer un informe de riesgos de 20 páginas?

No. Una página con las cinco cajas, el control y el dueño. Si un riesgo no cabe, el alcance es grande.

¿El mayor riesgo es el modelo open source?

Casi nunca. El mayor riesgo es el Excel en un chat y nadie al mando. La licencia del modelo es un detalle.

¿Se puede asegurar esto?

A veces hay pólizas de ciber. No sustituyen el interruptor ni el perímetro. Preguntad al corredor; no lo deis por hecho en la memoria.

Sigue con errores a evitar y seguridad mínima. Revisamos los riesgos del flujo que tienes en mente.