Este grupo de trabajo sobre IA es la mayor comunidad de expertos en ciberseguridad e IA en habla hispana en la actualidad.

Hace algo más de un año, el 21 de marzo pasado, se levantó el telón del I AI & Cyber Security Forum, un evento pionero destinado a erigirse como un faro en el horizonte tecnológico y de seguridad.

Organizado por ISMS Forum y su Grupo de Inteligencia Artificial (GIA), esta jornada congregó a expertos, líderes de opinión y profesionales del sector para adentrarse en el fascinante universo de la Inteligencia Artificial (IA) y su intersección con la ciberseguridad.

En esta segunda edición, que tendrá lugar en el Palacete de los Duques de Pastrana, en Madrid, el grupo GIA, liderado por Angel Pérez, CISO de Autopistas, y Francisco Lázaro, CISO de Renfe, volverá a ser protagonista activo del evento.

Para Pérez, las prioridades de una empresa que deba gestionar sus sistemas de IA están claras: «Son cuatro elementos clave muy interrelacionados entre sí. El primero es la gobernanza, el segundo es el inventario de los sistemas que tienen las empresas, el tercero es un análisis preliminar para definir el nivel de riesgo y el cuarto, el análisis de riesgos para aquellos sistemas considerados de alto riesgo».

Este GIA tuvo su primera reunión en diciembre de 2023 con su Comité Operativo. «Lo hemos estructurado en tres capas: una directiva, en la que estamos Francisco Lázaro y yo como codirectores, apoyándonos en un comité de expertos, el Comité Operativo. En aquel arranque de 2023, éramos once personas de ámbitos diversos. Al mismo tiempo, en este grupo de trabajo sobre Seguridad en la IA contamos con al menos un profesional de cada otro grupo de trabajo de ISMS Forum», explica.

De esta forma, “están representados los grupos de ciberseguridad, privacidad, cloud y resiliencia, este último recién formado. Junto a ellos, contamos con profesionales expertos en la materia que han querido colaborar con nosotros. Un ejemplo claro es Fernando Rubio, de Microsoft. Nosotros arrancamos la iniciativa antes de diciembre con la idea inicial de hacer un informe sobre IA y ciberseguridad».

Sin embargo, Angel Pérez nos explica que el proyecto se complicó cualitativamente. «Tenía mucho sentido subdividirlo en varios trabajos. Así, se desarrollaron documentos sobre la introducción a la IA para profesionales de seguridad, IA y ciberseguridad, el modelo de gobierno de la IA, compliance y ética antes del RIA, políticas de IA y, finalmente, recomendaciones sobre el uso de la IA en las organizaciones».

Nuestro interlocutor señala que todos estos documentos ya han sido terminados y publicados. “Han funcionado muy bien. Para cada uno de estos trabajos, hubo una representación muy plural y extensa, con la colaboración de una treintena de profesionales expertos en la materia en cada uno de ellos. Fruto de estos esfuerzos, en el verano de 2023 tuvimos una reflexión interna y decidimos crear un grupo de trabajo permanente. Finalmente, creamos este Comité Operativo con ánimo de permanencia».

Este Comité Operativo ha celebrado once reuniones en este periodo, «de carácter mensual, para proponer nuevos trabajos y colaboraciones. Otra iniciativa emblemática es el canal de Telegram que hemos puesto en marcha, donde el debate es continuo, ya sea sobre gobernanza, cumplimiento o tecnología. Actualmente, cuenta con más de 950 participantes, un alcance que nunca imaginamos».

Segunda edición del AI & Cyber Security Forum

Sobre la II Edición del AI & Cyber Security Forum, que tendrá lugar el próximo 26 de abril, Pérez adelanta: «Vamos a lanzar una consulta para captar cuál es el interés de la comunidad del GIA en ISMS Forum. Al mismo tiempo, presentaremos un modelo de cláusulas contractuales de IA para proveedores. Además, en 2025 daremos a conocer el Informe sobre Deepfakes con las principales infracciones detectadas en estos meses».

“Este grupo también ha participado en consultas de la UE, especialmente en aquellas abiertas al público. Asimismo, varios de nuestros colaboradores han contribuido en la validación de un borrador de la Cloud Security Alliance sobre controles de seguridad en IA», resalta Pérez.

Siete iniciativas diferentes

Angel Pérez destaca que tienen hasta siete iniciativas en consideración. «La primera es el inventario de sistemas y servicios de IA. El Reglamento de IA exige que las empresas conozcan qué tipo de sistemas y servicios tienen, pero esto no es tan evidente en la práctica. Por ello, queremos crear una guía práctica que proponga mecanismos para realizar esta identificación y clasificación».

A su juicio, «las empresas no tienen claro qué sistemas de IA poseen. Todo está tan imbricado a nivel de algoritmo que es difícil realizar este levantamiento. Queremos ayudar en la identificación de estos sistemas con ciertas pautas».

Otra iniciativa del GIA es la creación de un chatbot en la web de ISMS Forum, «alimentado con todo el conocimiento del grupo de IA, para que actúe como asesor digital sobre el RIA, sus marcos de control, etc.».

Además, «nos estamos planteando incluir un asistente en la web de ISMS Forum que ayude a realizar una evaluación preliminar del riesgo de los sistemas de IA en una organización. Se trata de hacer preguntas clave para determinar si un sistema es prohibido o de alto riesgo. Este es un tema que preocupa especialmente a las empresas».

Cuatro retos clave

Pérez enumera los principales desafíos en la gobernanza de la IA:

1. «El primero es el llamado gobierno de la IA. No se trata solo de seguridad de la información, sino también de privacidad, sesgos, ética e IA responsable. Muchas organizaciones no están preparadas para esto».
2. «En su día, hicimos un trabajo sobre modelos de gobernanza, pero ahora debemos adaptarlo al RIA, ya que el regulador se ha pronunciado. Debemos actualizar ese documento publicado en el primer semestre de 2024».
3. «El tercer reto es hacer un inventario de los sistemas de IA y, una vez hecho, realizar una evaluación preliminar del nivel de riesgo».
4. «Por último, se encuentra el análisis de riesgos. Aunque hemos debatido sobre cómo hacerlo, el regulador aún no se ha pronunciado. Sin embargo, la SEDIA parece que lo hará pronto, ya que tiene varios entregables pendientes. Nuestra idea es trabajar de forma coordinada con el regulador para garantizar la calidad de nuestras entregas».

Este trabajo ya se viene realizando en el ámbito de la protección de datos, «donde existe una relación de confianza con el regulador y los trabajos que realizamos son valorados y respaldados».

Además, Pérez menciona otras iniciativas: «El MIT tiene un repositorio con 1.056 riesgos identificados. Estamos evaluando si tiene sentido traducir estos riesgos al español y mapearlos contra el RIA».

También destaca la existencia del Observatorio de Incidentes de la OCDE. «Este organismo clasifica incidentes de IA según su nivel de gravedad y el tipo de vulnerabilidad. Nuestra idea es crear un observatorio que evalúe periódicamente estos incidentes y elabore resúmenes ejecutivos para la comunidad».

Un encuentro clave en marzo

Respecto al anteproyecto de ley para lograr una IA fiable y ética, Pérez indica que «todavía es preliminar. Debemos estudiar si presentaremos alegaciones en el periodo de consultas que se abrirá en abril. En otras iniciativas, como NIS2, ya hemos participado con propuestas desde nuestro grupo de trabajo».

El codirector del GIA avanza que, un día antes del AI & Cyber Security Forum en Madrid, «el próximo 25 de marzo organizaremos un encuentro de nuestro Comité Operativo. Es seguro que este y otros temas saldrán a debate. Con la entrada del RIA en fases, no podemos bajar la guardia. Las guías de trabajo que desarrollemos serán clave para cumplir con la normativa».