5 pasos para una implementación exitosa de IA: Cómo integrar "regulaciones internas de IA vivas" y avanzar en la educación interna

La innovación tecnológica de la IA generativa tiene el potencial de transformar fundamentalmente los procesos operativos tradicionales. Sin embargo, al implementar esta tecnología, muchas organizaciones en Japón enfrentan desafíos no tanto por las barreras técnicas, sino más bien por la gestión de riesgos legales y éticos, así como por la integración dentro de la organización. Adoptar una postura de “delegación total”, que consiste en simplemente distribuir las herramientas más recientes a toda la empresa y dejar su uso a discreción del personal, no solo puede provocar incidentes graves como la filtración de información o la violación de derechos, sino que, en última instancia, puede convertirse en un factor que detenga la productividad de toda la organización.

Para disfrutar de los beneficios de la IA de manera sostenible, es esencial desarrollar “regulaciones internas de IA vivas” que equilibren la conveniencia tecnológica con la seguridad legal en un nivel elevado, junto con un proceso educativo gradual basado en estas regulaciones. En este artículo, explicamos cinco pasos concretos para lograr una implementación efectiva de la IA, basándonos en las regulaciones legales más recientes y las directrices de las agencias gubernamentales japonesas.

Riesgos de la Implementación de IA sin Disciplina en Japón

Al considerar la implementación de la IA generativa, el primer desafío es el problema del “Shadow IT”, donde el uso en el campo avanza sin una política clara de la organización. Debido a la alta conveniencia de estas herramientas, los empleados a menudo las utilizan en sus tareas con cuentas personales basadas en su propio juicio. Esta actitud de “probar sin más” puede parecer que acelera la implementación a corto plazo, pero en realidad fomenta un uso sin disciplina y acumula riesgos significativos para la gestión.

Específicamente, se teme la filtración de secretos comerciales debido a la entrada imprudente de información confidencial, la generación de contenido que infringe los derechos de autor de otros, e incluso la difusión de información inexacta al exterior. En las Directrices para Operadores de IA publicadas por el Ministerio de Economía, Comercio e Industria y el Ministerio de Asuntos Internos y Comunicaciones en abril de Reiwa 6 (2024), se exige a los operadores que utilizan IA en Japón que evalúen adecuadamente estos riesgos y establezcan la gobernanza necesaria. Sin una base sólida de reglas claras, los empleados no pueden juzgar con precisión qué está permitido y qué está prohibido, lo que los lleva a dudar en el uso creativo o a cometer errores graves de manera inconsciente.

Referencia: Página de las Directrices para Operadores de IA del Ministerio de Asuntos Internos y Comunicaciones

El uso sin disciplina puede mejorar temporalmente la productividad de la organización, pero si surge un problema legal, los costos asociados con la recuperación de daños y la pérdida de confianza social son incalculables. Por lo tanto, en las etapas iniciales de la implementación de IA, aclarar el marco para un uso seguro no es quitar libertad al campo, sino garantizar un entorno donde se pueda utilizar la tecnología con confianza. El objetivo de este artículo es aclarar cómo construir esta “base segura” y establecer un sistema operativo que no se vuelva obsoleto.

https://monolith.law/corporate/establishment-of-ai-internal-regulations

Paso 1: Verbalización del Propósito de Implementación de IA y Redefinición de Problemas

El primer punto crítico que determina el éxito o fracaso de la implementación de IA en Japón es la capacidad de redefinir la IA como un medio para resolver los problemas que enfrenta la organización, en lugar de convertir la implementación tecnológica en un fin en sí mismo. Si el propósito de implementar IA permanece ambiguo, las regulaciones internas que se formulen también serán abstractas y podrían convertirse en “reglas muertas” sin efectividad práctica para el personal.

Lo primero que se debe abordar es la verbalización exhaustiva del propósito de implementar IA para resolver problemas específicos de cada departamento.

• Departamento de Contabilidad: Reducción de la carga administrativa. La seguridad en el envío de datos externos es el principal punto de discusión.
• Departamento de Desarrollo: Automatización de la generación de código. La Ley de Derechos de Autor de Japón, artículo 30-4, las licencias OSS y las vulnerabilidades son las principales preocupaciones.
• Ventas y Relaciones Públicas: Creación de materiales y generación de FAQ. La precisión de la información y el riesgo de infracción de derechos son el foco.

Al concretar los problemas que deben resolverse en cada departamento, se puede vislumbrar la dirección de las reglas optimizadas para cada tarea.

Paso 2: Selección Óptima de Servicios y Revisión de Términos de Uso

A continuación, se procede a seleccionar los servicios de IA que se ajusten al propósito definido. Actualmente, el mercado ofrece una variedad de servicios, desde IA generativa de uso general como ChatGPT, hasta IA especializada en dominios específicos como el derecho, la contabilidad y la programación. Aunque la IA de uso general posee flexibilidad para abordar una amplia gama de tareas, puede ser inferior a la IA especializada en cuanto a la precisión de la información en áreas específicas y el cumplimiento de ciertas regulaciones.

Como criterios para la selección de servicios, es fundamental que estos se ajusten a la política de seguridad de la organización. Además, la posibilidad de aprovechar las API ofrecidas y la existencia de funciones de protección de datos en los planes Negocios son factores importantes a considerar. Dado que las versiones gratuitas para individuos y las versiones de pago para empresas suelen diferir fundamentalmente en cuanto al uso de datos de entrada para aprendizaje (posibilidad de optar por no participar), es esencial que la contratación de un plan empresarial sea un requisito previo para la implementación a nivel corporativo.

En la selección de servicios de IA, lo más importante y a menudo pasado por alto es la revisión de los términos de uso proporcionados por cada proveedor. En comparación con los productos SaaS generales, los servicios de IA tienden a tener condiciones complejas y cambiantes sobre la titularidad de los derechos de los datos y el uso para aprendizaje. Los siguientes cinco puntos son aspectos que deben verificarse antes de la firma del contrato para minimizar los riesgos legales.

En particular, las cláusulas sobre el uso para aprendizaje automático están directamente relacionadas con la protección de secretos comerciales en Japón. Si los datos ingresados se incorporan como datos de aprendizaje del proveedor, no se puede descartar el riesgo de que la información confidencial de la empresa se emita como respuesta a terceros en el futuro. Para recibir protección como secreto comercial bajo la Ley de Prevención de la Competencia Desleal, es necesario que se reconozca la “gestión de secretos”, pero un entorno donde los datos se introducen sin protección en el aprendizaje de IA puede ser un factor fatal que haga perder esta gestión de secretos.

Además, es importante prestar atención a la ley aplicable. Muchos servicios ofrecidos por proveedores estadounidenses utilizan leyes como la del estado de Delaware como ley aplicable, lo que puede limitar la resolución de disputas a un ámbito internacional. Esto podría significar, de facto, la renuncia al ejercicio de derechos para las empresas nacionales, por lo que, al utilizarse en operaciones de alta importancia, se debe considerar la posibilidad de negociar contratos que establezcan la ley japonesa como ley aplicable o que designen a los tribunales japoneses como jurisdicción acordada.

Paso 3: Ciclo de Verificación con un Pequeño Comienzo (PDCA)

Apresurarse a implementar reglas a nivel de toda la empresa sin una verificación adecuada puede causar confusión en el lugar de trabajo y acelerar la obsolescencia de las normas. Se recomienda realizar una implementación de prueba con un “pequeño comienzo” en equipos de proyecto específicos o en departamentos con alta alfabetización digital y una clara conciencia de los problemas.

El mayor defecto de una implementación masiva es imponer “reglas de mínimo común denominador” que ignoran la diversidad de las operaciones dentro de la organización. Si se aplican reglas demasiado estrictas a toda la empresa, se pierde la conveniencia en el lugar de trabajo, mientras que reglas demasiado laxas no pueden controlar los riesgos. Al establecer un período de prueba, se puede acumular datos basados en experiencias reales sobre qué riesgos se manifiestan en los flujos de trabajo reales y qué directrices son necesarias.

Este período debe funcionar como un “sandbox” (campo de pruebas) que permita errores. Los empleados deben probar el uso de la IA, registrar detalladamente qué indicaciones ingresan, qué resultados obtienen y qué preocupaciones surgen (como información errónea por alucinaciones, expresiones inapropiadas, indicios de infracción de derechos de autor, etc.), y se debe establecer un sistema para que los responsables legales y de sistemas de información revisen estos registros.

Para maximizar el efecto del pequeño comienzo, es efectivo seguir un flujo de trabajo de verificación compuesto por los siguientes seis pasos:

1. Identificar las tareas objetivo y formular una “guía inicial” específica para esas tareas. Este borrador inicial debe resumir de manera concisa las prohibiciones mínimas (como la prohibición de ingresar información confidencial) y los métodos de uso recomendados.
2. Realizar una capacitación de introducción para los miembros seleccionados y permitirles usar la IA en sus tareas reales.
3. Recoger retroalimentación del lugar de trabajo a través de audiencias periódicas. Aquí se debe dar importancia a las voces genuinas, como “¿Las reglas están obstaculizando el trabajo?” o “¿Hubo situaciones en las que se percibieron riesgos inesperados?”
4. Reajustar el equilibrio entre riesgo y conveniencia y mejorar las directrices basándose en los problemas recopilados.
5. Aplicar nuevamente las directrices mejoradas y continuar refinándolas.
6. Con base en los conocimientos adquiridos a través de este proceso de verificación, formular “regulaciones estándar” para la implementación a nivel de toda la empresa.

Al seguir este ciclo PDCA, es posible transformar las reglas impuestas de arriba hacia abajo en “reglas vivas” que el personal en el lugar de trabajo pueda comprender y seguir, reconociendo su necesidad.

Paso 4: Ampliación del Alcance de Implementación y Evaluación de Riesgos Individuales por Departamento en Japón

Al ampliar el alcance basado en los conocimientos obtenidos de la implementación de prueba, es esencial realizar una evaluación de riesgos individual por cada departamento. Esto se debe a que las regulaciones uniformes no pueden abordar las diferencias en los activos que deben protegerse.

• Departamento de Recursos Humanos: En base a la Ley de Protección de Información Personal de Japón, se enfatiza la prohibición de ingresar información que pueda identificar a individuos y la transparencia en la toma de decisiones automatizada.
• Departamento de Investigación y Desarrollo: Se prioriza la protección técnica y contractual para evitar que las ideas se conviertan en datos de aprendizaje para otras empresas.
• Departamento de Relaciones Públicas y Marketing: Se enfoca en medidas contra la similitud de marcas y diseños, así como en la gestión de riesgos de crisis.

Al organizar estos aspectos y clasificar claramente las tareas en “permitido”, “permitido con condiciones” y “prohibido”, los empleados podrán determinar sin dudas hasta qué punto pueden utilizar la IA en sus tareas laborales.

Paso 5: Diseño organizacional para sistematizar revisiones periódicas

El entorno que rodea a la IA generativa está cambiando a una velocidad extremadamente rápida en términos de tecnología, regulaciones legales y ética social. Por lo tanto, no es raro que las normativas internas formuladas se vuelvan obsoletas en cuestión de meses. Incorporar un sistema de revisiones periódicas dentro del marco operativo desde el principio es clave para lograr una verdadera gobernanza bajo las prácticas legales japonesas.

Específicamente, en ciclos de cada trimestre a cada seis meses, se revisan los resultados del monitoreo de la situación operativa y se reevalúa la validez de las normativas. Durante la revisión, se examina si hay discrepancias con las directrices más recientes del gobierno japonés (como la Oficina del Gabinete o el Ministerio de Economía, Comercio e Industria), si se han emitido nuevos fallos sobre derechos de autor de productos generados por IA, o si ha habido cambios en los términos de los servicios de IA utilizados.

Además, las revisiones periódicas no deben ser completadas únicamente por los departamentos legales o de TI. Se debe establecer una reunión de discusión que incluya a representantes del campo operativo para captar los desafíos prácticos y evitar que las normativas se vuelvan obsoletas. Cuando las normativas se actualicen como resultado de la revisión, se debe informar rápidamente a todos los empleados sobre los cambios y sus razones, y realizar una reeducación si es necesario. Al continuar con este ciclo, la alfabetización en IA de toda la organización se mantendrá siempre actualizada.

Puntos Clave de las Normas Internas de AI que Apoyan las Operaciones en Japón

Las normas internas efectivas de AI no deben ser simplemente una lista de prohibiciones. Deben servir como una guía para los empleados en momentos de duda y funcionar como un escudo que proteja legalmente a la organización. A continuación, se explican cuatro pilares fundamentales que deben incluirse.

Formación de Consenso a través de la Clarificación de Propósitos y Alcance de Aplicación

Al inicio de las normas, se debe especificar de manera positiva el “propósito” de por qué la empresa está implementando AI y qué valor busca crear. Esto no solo envía un mensaje de promoción del uso de AI a los empleados, sino que también establece una base moral para prevenir el uso inapropiado.

Además, el alcance de aplicación debe definirse claramente, no solo para empleados permanentes, sino también para empleados contratados, temporales e incluso para los contratistas externos. Especialmente cuando un contratista externo utiliza AI para entregar productos, es necesario organizar a nivel contractual dónde recae la responsabilidad de la gestión de calidad y el manejo de derechos.

Obligatoriedad de la Educación y Capacitación y Fortalecimiento de la Defensa Legal

Simplemente distribuir o publicar las normas internas no es suficiente para cumplir con la responsabilidad de supervisión legal. Se debe establecer la educación y capacitación en el uso de AI como una “obligación”, y solo otorgar permisos de uso a los empleados que hayan completado la capacitación. Mantener registros adecuados de la capacitación es una prueba indispensable para que la empresa pueda argumentar que ha realizado una “supervisión y educación adecuadas” en caso de que un empleado infrinja las reglas y cause un incidente.

En la capacitación, además de contenidos técnicos como la elaboración de prompts, se explican con ejemplos concretos la naturaleza de las alucinaciones, los puntos a tener en cuenta bajo la Ley de Derechos de Autor de Japón (Ley de Copyright de Japón) y ejemplos específicos de obligaciones de confidencialidad.

Especificación de Servicios Disponibles y Erradicación de Shadow IT

Se debe clarificar que solo se pueden utilizar en el trabajo los “servicios permitidos” con los que la empresa ha confirmado la seguridad y ha firmado contratos adecuados. Esto elimina sistemáticamente el Shadow IT que utiliza cuentas personales. Además, al definir claramente el flujo de solicitud y aprobación para el uso de nuevos servicios o complementos, se puede captar de manera flexible las necesidades del campo mientras se mantiene la implementación bajo control. Aquí, prohibir el uso de versiones gratuitas como principio y limitarse a planes corporativos que no utilicen datos para el aprendizaje es la estrategia de mitigación de riesgos más segura.

Ejercicio Apropiado de la Monitoreo y Autoridad de Auditoría

Para verificar que la organización está operando adecuadamente, se debe estipular que la empresa tiene la autoridad para registrar y revisar los prompts de entrada y los resultados de salida de los empleados, y realizar auditorías cuando sea necesario. Esto no solo actúa como un disuasivo psicológico contra el uso inapropiado, sino que también desempeña un papel crucial en la investigación de causas y prevención de la expansión de daños en caso de fuga de información. Sin embargo, al realizar monitoreos, es importante notificar previamente el propósito y el alcance desde la perspectiva de la protección de la privacidad, asegurando la transparencia para mantener la confianza con los empleados.

También es importante el diseño general de cómo integrar estos elementos con las normas laborales existentes, las normas de confidencialidad o las normas de uso de IT. Se debe establecer una normativa independiente dedicada a AI, asegurando la coherencia legal al vincularla con las normas disciplinarias de las normas laborales para aplicar sanciones en caso de infracciones graves.

Conclusión: Establecer Normativas Internas para Maximizar el Valor de la IA en Japón

Para transformar la inteligencia artificial en una fortaleza organizacional, lo más importante no es el presupuesto para implementar los modelos más recientes, sino la “capacidad de gestión humana” y el “poder de gobernanza organizacional” para utilizarlos correctamente.

Los cinco pasos explicados en este artículo son elementos indispensables para crear “reglas vivas que se integren en el entorno laboral”. La implementación sin planificación puede ofrecer una eficiencia temporal, pero el crecimiento sostenible se apoya en una actitud sincera que busca constantemente el equilibrio entre la seguridad legal y la conveniencia.

Guía de Medidas por Parte de Nuestra Firma

El despacho de abogados Monolith es una firma legal con amplia experiencia en IT, especialmente en internet y leyes japonesas. El negocio de la inteligencia artificial (IA) conlleva numerosos riesgos legales, por lo que es esencial contar con el apoyo de abogados familiarizados con los problemas legales relacionados con la IA. Nuestra firma ofrece un soporte legal avanzado para negocios de IA que utilizan herramientas como ChatGPT, a través de un equipo compuesto por abogados y ingenieros expertos en IA. Proveemos servicios como la redacción de contratos, evaluación de la legalidad de modelos de negocio, protección de derechos de propiedad intelectual, cumplimiento de privacidad y establecimiento de regulaciones internas de IA. Detallamos más información en el artículo a continuación.