Formación y concienciación del personal

La formación es un control y se mide como tal. El porcentaje de personas que terminó un curso dice que el curso se impartió; no dice que alguien cambió lo que hace. Lo que muestra que funciona es el comportamiento: menos datos de clientes pegados en asistentes públicos, más consultas al equipo de seguridad antes de usar una herramienta nueva, más reportes de usos dudosos.

La subcategoría GOVERN 2.2 del marco del NIST pide que el personal y los socios reciban formación en gestión de riesgos de IA para poder cumplir sus funciones, y ISO/IEC 42001 separa la competencia de quienes trabajan con los sistemas (cláusula 7.2) de la toma de conciencia de todos (cláusula 7.3). Las dos ideas apuntan a lo mismo: formación según lo que cada rol hace con la IA, medida por lo que cambia.

Cruza la finalización del curso con los incidentes del trimestre, área por área. Hay un área donde todos terminaron el curso y que, aun así, concentra la mayoría de los incidentes. No es que la gente no se haya formado: el curso general no habla de su trabajo, y nadie le dio una alternativa aprobada para hacer lo que hacía con el asistente público.

La concienciación general alcanza a quienes usan IA. Pero hay roles que deciden sobre ella: quién construye, quién contrata, quién acepta un riesgo. Cada uno necesita formación sobre su decisión, no un curso general. Un rol que decide y no aparece en el plan de formación es un hueco del programa, y suele verse primero en los incidentes de su área.

Repetir el mismo curso a quienes ya lo terminaron no cambia nada. Lo que suele funcionar es formación corta sobre los casos reales del área, una herramienta aprobada que resuelva la necesidad que llevaba a usar la pública, y un indicador de comportamiento que diga si el cambio prendió.