Validación de modelos
El auditor no sólo interpreta resultados, también valida cómo se genera
Quiero hablar de IA, pero antes voy a desviarme y dar un pequeño rodeo. Subamos a una colina y observemos la autopista desde arriba.
Tomemos distancia para contemplar todo el tráfico y entender las oportunidades que esta nueva velocidad de circulación proporciona al auditor.
Estamos en la llamada revolución del dato, que viene acompañada de la alta capacidad proporcionada por la IA y de la vertiginosa velocidad de desarrollo que ello implica.
Por suerte, estamos abandonando la idea del IA First para abrazar la más saludable filosofía del IA Fit: ya no se trata de incorporar IA porque podamos hacerlo, sino de utilizarla allí donde realmente aporta valor.
Es, por tanto, más necesaria la función del auditor para acompañar a toda la organización hacia un camino más productivo y seguro.
Si nos enfocamos en las capacidades de auditoría es evidente que se pueden realizar análisis mucho más rápidos e informados.
Un auditor necesitará poder leer los resultados proporcionados por la IA, cambiar su forma de auditar para incorporar estas nuevas evidencias y complementar los hallazgos de tal forma que sean mucho más precisos y enfocados a resultados.
Necesitamos una nueva formación que permita al auditor participar en la definición de los modelos, comprenderlos y validarlos, entendiendo estos en sentido amplio, como el conjunto de datos, reglas, transformaciones y procesos que convierten la información de origen en un resultado utilizado para tomar una decisión.
Los modelos, pues, definen cómo tratamos los datos brutos para transformarlos en resultados útiles.
Pero entender para qué utilizamos el modelo, qué objetivo perseguimos y qué resultados esperamos no es suficiente: será la correcta validación del modelo la que nos permita confiar en sus resultados.
Imaginemos que una IA analiza dos millones de operaciones y señala 800 como potencialmente anómalas.
El trabajo del auditor ya no puede limitarse a revisar esas 800 operaciones.
También tiene que poder confiar en por qué esas 800 fueron seleccionadas y, quizá todavía más importante, por qué las otras 1.999.200 no lo fueron.
Para no alargar ni hacer demasiado técnico el artículo me voy a centrar en 3 pasos clave para validar un modelo:
Primero, validar los datos de entrada:
Si el modelo parte de información incompleta, incorrecta, desactualizada o sesgada, un procesamiento técnicamente impecable puede producir un resultado equivocado. El dato, por sí solo, no es conocimiento.
Segundo, validar la lógica del modelo:
No basta con comprobar que el sistema funciona técnicamente. El auditor debe entender qué hace con esos datos: qué reglas aplica, qué excluye, qué pondera, qué relaciones establece y bajo qué supuestos.
Tercero, validar el resultado:
El hecho de que un resultado sea plausible no significa que sea correcto. Hay que contrastarlo con evidencias, casos conocidos, resultados históricos o muestras revisadas por expertos.
Esta validación debe realizarse en ambas direcciones: comprobando que las incidencias identificadas son realmente relevantes, pero también que el modelo no está dejando fuera situaciones que deberían haber sido detectadas.
En cualquier caso, tan importante es controlar los falsos positivos como entender el riesgo asociado a los falsos negativos.
A estos tres pasos se le debe añadir una tarea fundamental:
Validación continua:
Un modelo validado hoy no queda validado para siempre.
Cambian los datos, los procesos, el negocio, los usuarios y, en determinados sistemas de IA, incluso el comportamiento del propio modelo.
La validación debe entenderse como un proceso continuo.
Por último, hay dos aspectos fundamentales que deben acompañar a cualquier modelo: la gobernanza y la trazabilidad:
Aquí el auditor tiene un papel especialmente natural.
Para poder mantener el control sobre un modelo debemos poder responder preguntas como: ¿qué datos se utilizaron?, ¿de dónde procedían?, ¿qué versión del modelo produjo el resultado?, ¿qué transformaciones se realizaron?, ¿quién lo validó?, ¿cuándo?, ¿con qué criterios?
Hasta ahora, el auditor podía validar una evidencia. En un entorno cada vez más automatizado, deberá validar también el mecanismo que genera esa evidencia.
Socio de ACFYD ANALISIS, S.L.
