Checklist de gobernanza de modelos de IA para servicios financieros

La inteligencia artificial ya interviene en actividades financieras como la evaluación crediticia, la detección de fraude y ciertas decisiones operativas. Su uso puede ampliar capacidades, pero también hace más importante saber qué modelos están desplegados, quién responde por ellos y cómo se detectan sus fallos.

Este checklist ayuda a responsables de riesgo, cumplimiento, datos y tecnología a revisar controles a lo largo del ciclo de vida. Es una herramienta de autoevaluación, no una certificación ni asesoramiento jurídico. Las referencias regulatorias y supervisoras tienen alcances distintos; cada entidad debe determinar cuáles le resultan aplicables según su actividad, ubicación y supervisión.

1. Responsabilidades y alcance

• ¿Existe una política de gobernanza de IA y modelos aprobada por el nivel de autoridad correspondiente y revisada cuando cambian las actividades o los riesgos?
• ¿Están identificados los responsables de negocio, desarrollo, validación independiente, gestión de riesgos, cumplimiento y tecnología?
• ¿Se han definido vías de escalamiento para resultados inesperados, incidentes, controversias o incumplimientos de los controles internos?
• ¿La dirección recibe información suficiente para supervisar los riesgos relevantes, sin depender únicamente de explicaciones técnicas o de proveedores?
• ¿La entidad ha determinado qué marcos y obligaciones podrían aplicarse en cada jurisdicción donde opera, y quién verifica esa interpretación?

La supervisión debe guardar relación con el perfil y la complejidad de la entidad y con la relevancia de cada uso. No todos los modelos requieren idénticos controles o la misma frecuencia de revisión.

2. Inventario y clasificación de modelos

• ¿Hay un inventario actualizado que incluya modelos en producción, en pruebas y, cuando corresponda, soluciones adquiridas o integradas por terceros?
• ¿Se registran para cada sistema su finalidad, área usuaria, responsable, entradas, salidas, supuestos, versión y estado dentro del ciclo de vida?
• ¿Se ha establecido una definición interna de modelo suficientemente clara para identificar también algoritmos o componentes que influyen en decisiones, aunque se presenten como herramientas o servicios externos?
• ¿Se clasifica cada modelo según su uso, exposición, impacto potencial y dependencia de otros sistemas?
• ¿El inventario permite identificar modelos sin propietario asignado, duplicados, obsoletos o desplegados sin revisión formal?

Un inventario útil no es solo un catálogo técnico: permite saber dónde se usa cada modelo, qué decisiones apoya y quién puede intervenir si deja de funcionar como se esperaba.

3. Datos, calidad y trazabilidad

• ¿Está documentado el origen de los datos y, cuando sea posible, su recorrido desde la obtención hasta el uso en el modelo?
• ¿Se evalúan la calidad, pertinencia, actualidad y representatividad de los datos para el propósito declarado?
• ¿Se identifican datos ausentes, errores, cambios en las definiciones y posibles sesgos que puedan afectar los resultados?
• ¿Se aplican controles de acceso, privacidad, conservación y uso acordes con las políticas internas y las normas pertinentes?
• ¿Puede reconstruirse qué datos y transformaciones se utilizaron en una versión concreta del modelo o en una decisión relevante?

La revisión debe abarcar tanto los datos de desarrollo como los que alimentan el sistema en operación. Una buena documentación de procedencia y transformaciones facilita investigar desviaciones y explicar límites del modelo.

4. Desarrollo, validación y aprobación

• ¿Los objetivos, supuestos y límites del modelo están definidos antes de su despliegue?
• ¿Se comprueba que el método elegido es adecuado para el uso previsto y que sus resultados son suficientemente estables en condiciones razonables?
• ¿La validación examina desempeño, sensibilidad a cambios en los datos, casos extremos y posibles efectos no deseados?
• ¿La revisión es independiente de quienes desarrollaron o implementaron el modelo, en la medida que lo exija el marco interno y el riesgo?
• ¿Se documentan los hallazgos, las limitaciones, las medidas correctivas y la decisión de aprobar, restringir o no desplegar el modelo?
• ¿Los controles se ajustan al riesgo y la complejidad, en vez de aplicar automáticamente una frecuencia o un procedimiento idéntico a todos los modelos?

La validación no se agota en comprobar métricas iniciales. Debe aportar evidencia suficiente para evaluar si el modelo es adecuado para su finalidad y qué condiciones podrían invalidar esa conclusión.

5. Supervisión humana y uso de resultados

• ¿Está claro qué decisiones puede apoyar el modelo y cuáles requieren revisión o autorización humana?
• ¿Las personas usuarias conocen las limitaciones, las señales de alerta y los pasos para cuestionar o escalar un resultado?
• ¿Existe una vía practicable para corregir o revisar resultados problemáticos cuando el proceso y la normativa aplicable lo requieran?
• ¿Se evita que una recomendación automatizada se trate como concluyente sin considerar su contexto y calidad?
• Si se emplea un modelo para evaluar o validar otro, ¿hay límites de uso, controles y revisión humana definidos para reducir el riesgo de errores encadenados?

La supervisión humana debe ser efectiva: las personas necesitan información, autoridad y tiempo para intervenir. La mera presencia de una aprobación formal no demuestra por sí sola que exista control sustantivo.

6. Documentación, cambios y seguimiento

• ¿Se conservan documentos comprensibles sobre finalidad, diseño, datos, pruebas, resultados, limitaciones y responsables?
• ¿Cada cambio de datos, código, configuración o proveedor queda registrado y sujeto a un proceso de evaluación y aprobación proporcional?
• ¿Hay indicadores para detectar deterioro del desempeño, cambios en los datos o resultados atípicos?
• ¿Se han definido responsables, umbrales de alerta y acciones posibles cuando el seguimiento identifica una desviación?
• ¿Se revisa periódicamente si el modelo sigue siendo adecuado para su uso, y se contempla su retirada cuando deja de serlo?
• ¿Los registros permiten reconstruir versiones, cambios y decisiones de gestión ante una revisión interna o externa?

El seguimiento conecta la validación inicial con el comportamiento real. Si cambian el entorno, los datos o el propósito, puede ser necesario revisar los controles y la autorización de uso.

7. Proveedores y dependencias externas

• ¿Se conocen los modelos, servicios y componentes de terceros que intervienen en procesos relevantes?
• ¿Se ha evaluado qué información recibe el proveedor, cómo se utiliza y qué documentación ofrece sobre el sistema?
• ¿Están definidos los canales para notificar incidentes, cambios sustanciales, interrupciones o modificaciones de las condiciones del servicio?
• ¿La entidad conserva capacidad suficiente para supervisar el uso y gestionar la dependencia, incluso cuando no controla el desarrollo del modelo?
• ¿Se han considerado la concentración de proveedores y las alternativas disponibles si un servicio deja de estar accesible o cambia de forma significativa?

La contratación externa no elimina la necesidad de entender cómo un sistema afecta a las actividades de la entidad. El grado de información y control disponible puede variar según el proveedor y el servicio.

Cómo interpretar los marcos de referencia

Las fuentes consideradas describen enfoques distintos: orientaciones supervisoras y de gestión de modelos en Estados Unidos, Canadá y Reino Unido, referencias sobre IA en la Unión Europea y propuestas de gobernanza en Singapur, además de marcos voluntarios y materiales sectoriales. Por ejemplo, el NIST AI Risk Management Framework se presenta como un marco voluntario; la guía canadiense OSFI E-23 tiene un ámbito y calendario propios; y la declaración británica PRA SS1/23 corresponde a su contexto supervisor. El material también describe un marco sectorial del Tesoro estadounidense con 230 objetivos de control, que no debe interpretarse como obligación universal.

Por tanto, estas referencias sirven para orientar preguntas y comparar prácticas, no para sustituir el análisis de las normas aplicables a cada entidad. La jurisdicción, el tipo de institución, la actividad y el uso concreto del modelo pueden cambiar el alcance de las obligaciones.

Resultado de la autoevaluación

Para cada pregunta, la entidad puede registrar evidencia disponible, responsable, brecha detectada y siguiente revisión. Las respuestas negativas o incompletas ayudan a priorizar el trabajo, pero no determinan por sí solas el cumplimiento jurídico ni el nivel global de riesgo. Lo importante es que las decisiones de control sean trazables, proporcionales al uso y revisables cuando cambien el modelo o su contexto.