Cargando artículos…
LABARNAREVISTA DE INTELIGENCIAUna metodología práctica para cumplir las normas de SAMA sobre IA en el sector bancario saudí, que abarca la gobernanza, la residencia de los datos, la explicabilidad y la preparación para auditorías.
Cargando artículos…
El Banco Central Saudí, conocido por su acrónimo árabe SAMA, ha creado uno de los entornos regulatorios más estructurados para la tecnología financiera en la región del Golfo. Sus expectativas respecto a la implementación de la inteligencia artificial no constituyen orientaciones informales, sino que se enmarcan en un sistema que incluye circulares de obligado cumplimiento, normas formales de gestión de riesgos y procesos de inspección supervisora. Todo banco o institución financiera autorizada que implemente IA en Arabia Saudí debe tratar las expectativas de SAMA como restricciones operativas vinculantes, no como recomendaciones.
Para entender cómo cumplir las normas de SAMA sobre la IA en la banca saudí, primero hay que interpretar correctamente el enfoque regulatorio. SAMA ha publicado directrices vinculadas directamente con los marcos existentes de gestión de riesgos, lo que significa que los sistemas de IA no se evalúan de forma aislada. Se evalúan como extensiones del entorno general de riesgos de la institución, aplicando los mismos criterios de responsabilidad que se aplican al riesgo crediticio, operativo y de mercado.
Cargando artículos…
La postura regulatoria también está evolucionando. SAMA ha indicado, a través de sus directrices de gestión de riesgos tecnológicos y de su compromiso con los objetivos del sector financiero de Vision 2030, que la gobernanza de la IA se reforzará con el tiempo. Las instituciones que se limiten a cumplir los requisitos mínimos actuales se arriesgan a tener que realizar costosas medidas correctivas a medida que cambien las expectativas. Anticiparse a la evolución regulatoria no supone un exceso de cautela, sino una sólida gestión de riesgos empresariales.
Antes de tomar cualquier decisión sobre la arquitectura técnica, los responsables de cumplimiento normativo y los líderes tecnológicos deben elaborar conjuntamente un mapa del panorama regulatorio. Este documento identifica todas las circulares, directrices y marcos de SAMA que podrían afectar a la implementación de IA prevista. Los instrumentos pertinentes suelen incluir el Marco de Ciberseguridad de SAMA, las Directrices de Gestión de Riesgos Tecnológicos y, cuando corresponda, el Marco de Banca Abierta. Cada instrumento impone obligaciones distintas.
El mapa del panorama también debe tener en cuenta la normativa relacionada. Los sistemas de IA que procesan datos financieros personales están sujetos a los requisitos de la Ley de Protección de Datos Personales de Arabia Saudí, administrada por la Oficina Nacional de Gestión de Datos. Cuando estas obligaciones se solapen con los requisitos de SAMA, las instituciones deben cumplir ambos simultáneamente y documentar cómo resuelven cualquier tensión entre los dos regímenes.
Esta fase de mapeo debe dar lugar a una matriz regulatoria formal: un documento estructurado que enumere cada obligación, el sistema o proceso específico al que se aplica, el control que permitirá cumplirla y las pruebas que demostrarán el cumplimiento durante una inspección. Esta matriz se convierte en la base de todas las decisiones posteriores sobre gobernanza y tecnología relacionadas con la implementación.
Las expectativas de SAMA en materia de gestión de riesgos exigen una rendición de cuentas clara en los niveles del consejo de administración y la dirección ejecutiva. En el caso de los sistemas de IA, esto significa que la institución debe designar a un alto directivo responsable de cada implementación relevante de IA: no a un equipo de proyecto ni a un proveedor. Una persona identificada dentro de la institución regulada debe asumir la responsabilidad por el comportamiento del sistema.
La estructura de gobernanza debe incluir un comité de gestión de riesgos de modelos, o un órgano equivalente, que revise las implementaciones de IA antes de que entren en producción. Este comité debe contar con representantes de las áreas de riesgos, cumplimiento normativo, tecnología y unidades de negocio. Su mandato debe abarcar la aprobación inicial, los umbrales de supervisión continua y los procedimientos de escalamiento cuando un sistema se comporte fuera de los parámetros esperados. Las actas y decisiones deben documentarse en un formato adecuado para la inspección regulatoria.
Muchas instituciones cometen el error de tratar la gobernanza de la IA como un apéndice de la gobernanza de TI existente. Las expectativas de la SAMA consideran cada vez más la IA como una clase de riesgo diferenciada, con sus propios requisitos de gestión del ciclo de vida. Un estatuto de gobernanza que confunda el riesgo de los modelos de IA con el riesgo general de TI suscitará preguntas de los examinadores. El estatuto debe especificar cómo se inventarían los sistemas de IA, cómo se clasifican por nivel de riesgo y cómo se revisan conforme a un ciclo definido, normalmente en función de la importancia del sistema y del ritmo de las actualizaciones de los modelos subyacentes.
La regulación bancaria saudí hace especial hincapié en la soberanía de los datos. Los datos de clientes financieros generados dentro del Reino están sujetos a expectativas de localización que restringen dónde pueden almacenarse y procesarse. En el caso de las implementaciones de IA, esto tiene consecuencias arquitectónicas directas: los datos de entrenamiento, la infraestructura de inferencia y los sistemas de registro deben evaluarse conforme a las obligaciones de residencia de datos.
Cargando artículos…
Las instituciones deben mapear todos los flujos de datos que genere su sistema de IA. Esto incluye los datos incorporados para el entrenamiento o el ajuste fino, los datos en tiempo real procesados durante la inferencia, los resultados almacenados con fines de auditoría y cualquier dato transmitido a proveedores externos de modelos para realizar inferencias. Cada uno de estos flujos representa una posible exposición en materia de cumplimiento si cruza una frontera jurisdiccional que las directrices de SAMA no permiten. Para consultar un enfoque operativo detallado sobre la gestión de estos flujos, véase Gestión del flujo transfronterizo de datos entre empresas de los EAU y Arabia Saudí.
Los proveedores externos de modelos plantean un desafío específico. Un banco que canaliza solicitudes de inferencia a través de un modelo de lenguaje de gran tamaño alojado externamente puede estar transmitiendo datos financieros de clientes a una infraestructura situada fuera del Reino. Las instituciones deben negociar controles contractuales y técnicos que satisfagan los requisitos de la SAMA sobre el tratamiento de datos o restringir sus sistemas de IA a modelos alojados en infraestructuras locales que cumplan la normativa. Esta decisión debe documentarse en la matriz regulatoria y ser confirmada por asesores jurídicos familiarizados con la posición actual de la SAMA.
Las expectativas de la SAMA en materia de gestión del riesgo tecnológico se basan en gran medida en principios de gestión del riesgo de modelos bien consolidados en la supervisión bancaria mundial. Se espera que todo modelo utilizado para tomar una decisión importante o influir en ella —concesión de crédito, detección de fraude, segmentación de clientes— sea validado de forma independiente antes de su implementación y revisado posteriormente conforme a un ciclo definido.
La validación de modelos para sistemas de IA tiene requisitos específicos que difieren de los aplicables a la validación de modelos estadísticos tradicionales. El equipo de validación debe ser independiente del equipo de desarrollo, contar con la capacidad técnica suficiente para evaluar la arquitectura y los datos de entrenamiento del modelo y elaborar un informe escrito que documente el alcance, la metodología, los hallazgos y cualquier condición impuesta para aprobar el modelo. Las condiciones impuestas en el momento de la aprobación deben someterse a seguimiento hasta su resolución.
La explicabilidad es un elemento innegociable de la gestión del riesgo de modelos en contextos bancarios regulados. Si un modelo produce una decisión que afecta negativamente a un cliente —una solicitud de crédito rechazada, una transacción marcada como sospechosa, una cuenta restringida—, la institución debe poder explicar esa decisión en términos que el cliente pueda comprender y el regulador pueda evaluar. Los modelos de caja negra que no pueden examinarse en el nivel de cada decisión generan una exposición significativa al riesgo de incumplimiento. Para consultar un análisis detallado de este requisito en distintos sectores regulados, véase Agentes explicables: un mandato para los sectores regulados.
Los reguladores financieros, incluida la SAMA, evalúan los sistemas de IA en parte a través de sus registros de auditoría. Una institución que no pueda demostrar exactamente qué hizo su modelo, cuándo lo hizo y con qué datos tendrá dificultades para responder a las consultas regulatorias y se enfrentará a presiones supervisoras. Crear la infraestructura de auditoría antes de pasar a producción es mucho menos costoso que reconstruirla después.
Toda decisión importante tomada por un sistema de IA debe generar una entrada inmutable en un registro que consigne los datos de entrada, la versión del modelo que los procesó, el resultado y una marca de tiempo. Cuando una persona haya revisado o anulado el resultado del modelo, esa revisión también debe registrarse junto con la identidad del revisor y su decisión. Esto crea el historial completo de decisiones que un examinador necesita para rastrear cualquier resultado concreto.
Cargando artículos…