**Introducción contextual**

En el contexto actual de la ciberseguridad, la gobernanza de la inteligencia artificial (IA) se ha convertido en un tema crítico para muchos directores de seguridad de la información (CISOs). A medida que las organizaciones adoptan tecnologías de IA para mejorar su eficiencia y competitividad, también enfrentan nuevos desafíos legales y de responsabilidad. La pregunta que muchos CISOs pueden no estar planteando es: ¿cómo pueden defender sus decisiones respecto a la implementación de la IA cuando los litigantes, reguladores y clientes buscan a alguien que asuma la responsabilidad por una posible violación? Este problema es cada vez más relevante en un entorno donde los incidentes de seguridad pueden tener repercusiones significativas.

**Detalles técnicos**

Daniel B. Garrie, un experto en ciberleyes y CEO de Law and Forensics, está trabajando para ofrecer respuestas a esta cuestión a través de marcos conceptuales que no solo ayudan a los CISOs a evaluar la seguridad de características específicas de IA, sino que también generan una documentación que puede servir para defender sus acciones en caso de que ocurra un incidente adverso. Garrie fue uno de los autores de las JAMS AI Rules, un conjunto de normas establecidas en junio de 2024 que busca proporcionar un marco para la resolución de disputas relacionadas con la IA.

Estas reglas no abordan directamente la cuestión de la responsabilidad ni se aplican a todos los litigantes, pero son útiles para establecer directrices sobre el manejo de pruebas técnicas. Durante su intervención en el ISC2 Strategic Congress 2026, Garrie enfatizó la importancia de considerar las necesidades de respuesta ante incidentes en la etapa de contrato y delineó tres prácticas recomendadas para cuantificar la responsabilidad relacionada con la IA. Estas incluyen el cálculo de un índice de riesgo para la implementación de la IA, la documentación de las decisiones del consejo sobre la tolerancia al riesgo y la identificación de los datos específicos que deben preservarse ante un incidente.

Un compromiso con la IA puede resultar en la dificultad para obtener pruebas forenses básicas sobre lo sucedido. Garrie subraya que es esencial incluir estas consideraciones en la etapa de contratación con los proveedores de IA, asegurando que los líderes en ciberseguridad estén involucrados desde el inicio de las negociaciones. Esto permite la creación de provisiones que habiliten a los CISOs a determinar lo que realmente ocurrió en un incidente, incluyendo el acceso a registros y solicitudes de preservación.

Garrie sugiere que los CISOs deben preguntar a los proveedores de IA si pueden proporcionar un "instantáneo" del modelo en el momento del incidente y la rapidez con la que dicha información puede estar disponible. Además, destaca que es fundamental establecer claramente la asignación de riesgos y tener una comprensión clara de los permisos de uso de IA, restricciones de datos, garantías, seguros y límites de responsabilidad del proveedor. Los líderes cibernéticos también deben tener visibilidad sobre los controles operativos del proveedor, así como sobre sus responsabilidades de acceso y seguridad. Por último, es necesario entender cómo se manejarán las disputas, garantizando el cumplimiento de las leyes aplicables y el foro para resolver conflictos.

**Impacto y consecuencias**

El manejo adecuado de las negociaciones contractuales con proveedores de IA desde el inicio puede ser decisivo para obtener las pruebas necesarias que demuestren que una empresa no actuó con negligencia. Garrie advierte que una vez firmado el contrato, las posibilidades de obtener información adicional se limitan drásticamente, ya que los proveedores no proporcionarán nada que no esté explícitamente detallado en el documento.

Garrie ha desarrollado un marco de evaluación que ayuda a los CISOs a determinar los riesgos y exposiciones asociadas con la implementación de herramientas de IA. Este marco se basa en cinco dimensiones: "daño potencial", "datos y derechos", "autonomía", "vacío de evidencia" y "dependencia del proveedor". El resultado de esta evaluación permite clasificar la herramienta de IA en categorías de "revisión estándar", "aprobación condicional", "piloto restringido" o "suspensión de lanzamiento", cada una de las cuales indica un nivel específico de riesgo.

**Contexto histórico**

El enfoque de Garrie resuena en un contexto más amplio, donde la adopción de tecnologías de IA ha sido acelerada, pero también ha suscitado inquietudes sobre la responsabilidad legal en caso de fallos o violaciones. Incidentes previos relacionados con la ciberseguridad han demostrado que la falta de documentación y procedimientos claros puede llevar a consecuencias legales severas. Por lo tanto, establecer un proceso claro desde la etapa de planificación es vital para mitigar riesgos.

**Recomendaciones**

Garrie enfatiza la necesidad de crear un rastro documentado de las decisiones del consejo, lo cual puede ser crucial para disputas de responsabilidad. Este proceso no solo debe consistir en un registro estático de las decisiones, sino en generar documentos que sean defendibles ante la responsabilidad relacionada con la IA. Su framework incluye detalles como el alcance y el período de la decisión del consejo, la exposición asociada con la implementación, las condiciones de despliegue, y los requisitos para la aprobación humana.

El objetivo es no solo contener el compromiso, sino trabajar para preservar el estado del sistema de IA en el momento del incidente. Además, aconseja a los CISOs involucrar a asesoría legal de inmediato y utilizar su marco para identificar y preservar datos relevantes más allá de los registros de seguridad básicos. Esto incluye evidencia sobre el estado del sistema en el momento del incidente, registros de interacción, información de acceso y datos de gobernanza, así como detalles sobre la integridad de los datos y la cadena de custodia.

A lo largo del próximo mes, Garrie desafía a los CISOs a poner a prueba sus marcos en una implementación de IA, mejorar un informe del consejo y realizar una simulación de mesa de trabajo sobre la coordinación de acciones en torno a la preservación de pruebas del proveedor y las notificaciones.

En resumen, Garrie concluye que, al final del día, lo que les importará a los reguladores, litigantes y clientes será la evidencia que se pueda presentar para demostrar que la organización consideró todos los riesgos y actuó de manera responsable para mitigarlos. "No les importa que estés utilizando las directrices del NIST," advierte. La determinación de la responsabilidad dependerá de lo que el CISO y la organización puedan demostrar que hicieron para proteger sus sistemas de un compromiso relacionado con la IA.