Se fijan controles para el uso de IA en el Estado

La Sindicatura General de la Nación (SIGEN) publicó la Guía de Controles de Inteligencia Artificial (IA). Allí se establecen los lineamientos para gestionar los riesgos asociados con el uso de herramientas y sistemas de inteligencia artificial por parte de los organismos del Sector Público Nacional.

La Guía adopta un enfoque basado en riesgos y busca alinear las iniciativas de IA con los objetivos institucionales, el cumplimiento de la normativa vigente y los principios de integridad, transparencia y responsabilidad en la gestión pública. Sus disposiciones complementan las Normas Generales de Control Interno para el Sector Público Nacional y las Normas de Control Interno para Tecnología de la Información, aprobadas por las Resoluciones SIGEN 172/2014 y 87/2022.

Uno de los principios centrales del documento es que la incorporación de IA puede trasladar la ejecución de determinadas tareas, pero no la responsabilidad por las decisiones adoptadas ni por sus resultados. La responsabilidad seguirá siendo de los funcionarios y de las estructuras organizacionales que las implementan. Por eso, se contempla la implementación de mecanismos formales de rendición de cuentas, trazabilidad de las decisiones automatizadas y supervisión humana efectiva.

La guía distingue entre dos modalidades de uso. La primera comprende las herramientas de IA generativa utilizadas individualmente por agentes públicos −como ChatGPT, Copilot, Gemini o DALL-E−, sin integración con los sistemas institucionales. En estos casos, recomienda adoptar políticas institucionales de uso, evaluar las herramientas con intervención de las áreas de tecnología y legales, revisar sus términos y condiciones, prevenir el uso de aplicaciones no autorizadas y capacitar al personal sobre sus riesgos y limitaciones.

Asimismo, se deben establecer controles para evitar el ingreso de información no pública, confidencial o personal, incluyendo pautas de anonimización y medidas para asegurar el cumplimiento de la Ley de Protección de Datos Personales 25326. Cuando la IA sea utilizada para asistir decisiones relevantes, sus resultados deben quedar sujetos a revisión humana. Además, se considera una buena práctica informar cuando un contenido haya sido generado o elaborado con asistencia de IA.

La segunda modalidad abarca los sistemas de IA incorporados a procesos, aplicaciones o decisiones de las organizaciones, para los que debe realizarse un análisis previo de factibilidad y conveniencia. A su vez, los organismos deberán justificar la conveniencia de utilizar IA, identificar a los responsables del proyecto y verificar la calidad, representatividad, integridad y procedencia de los datos utilizados. También, deberán prevenir sesgos, proteger los datos personales y los derechos de propiedad intelectual, realizar pruebas en entornos seguros y controlar periódicamente que el funcionamiento del modelo no se degrade.

Los sistemas deberán tener registros que permitan reconstruir las operaciones, identificar a sus responsables y controlar los cambios de configuración. La Guía también exige que los resultados sean transparentes y explicables −especialmente cuando puedan afectar a personas− y que las decisiones críticas sean revisadas por funcionarios.

Finalmente, se contemplan medidas para prevenir ataques mediante datos maliciosos, regular la contratación de servicios de nube u otros proveedores externos y registrar incidentes técnicos o éticos. Los contratos con terceros deberán incluir las medidas de seguridad, auditabilidad y control establecidas por cada organismo.

De esta manera, la SIGEN incorpora el uso de IA al sistema de control interno del Sector Público Nacional y establece un marco de referencia para su posterior auditoría. El objetivo es promover la innovación y mejorar la eficiencia estatal sin afectar la seguridad, la protección de la información, la transparencia ni la responsabilidad de las autoridades.