A medida que la IA se convierte en una parte cada vez más integral de los procesos de negocio, las preocupaciones en torno al control operativo, la resiliencia, la concentración de proveedores y el riesgo geopolítico tienen un mayor impacto en cómo se implementa esta tecnología, según el último informe de Forrester, The Top Trends in Sovereign AI.

Ampliando los hallazgos del reciente Global Sovereignty Forecast de la firma de investigación tecnológica, el informe sostiene que la soberanía está trascendiendo las cuestiones de residencia de datos y regulación para orientarse hacia la resiliencia empresarial, el control operativo y la gobernanza. Este cambio se produce en un contexto en el que un pequeño número de hiperescaladores y proveedores de modelos con sede en EE. UU. dominan la infraestructura global de IA, y en el que los gobiernos han mostrado una creciente disposición a usar el acceso a la tecnología como palanca de política estatal, incluidos los recientes controles de exportación de EE. UU. sobre chips avanzados de IA y pesos de modelos. Para las organizaciones, esto no significa necesariamente cortar los lazos con los proveedores tecnológicos globales. Más bien, implica comprender dónde residen sus dependencias, cuáles son las cargas de trabajo más críticas y cómo podrían seguir operando si se interrumpiera el acceso a un servicio de IA clave. También se alinea con un impulso político más amplio en Europa: la UE ha convertido la soberanía tecnológica en una prioridad explícita, e iniciativas como Gaia-X y los requisitos del AI Act de la UE para sistemas de alto riesgo han agudizado la atención sobre dónde se aloja la IA, quién la controla y bajo qué jurisdicción opera.

En esta entrevista de preguntas y respuestas, Dario Maisto, analista de Forrester y autor del informe, analiza cómo las organizaciones pueden gestionar estas dependencias y qué significa en la práctica la IA soberana.

¿Cuáles son los hallazgos clave de la investigación de Forrester y hubo alguna sorpresa?

Dario Maisto: Entrevistamos a una amplia gama de organizaciones, incluidos proveedores de servicios y, principalmente, usuarios finales, para comprender cómo ha evolucionado la IA soberana durante el último año. Uno de los primeros hallazgos fue que la soberanía es relevante para organizaciones de prácticamente todas las industrias, no solo los sospechosos habituales como defensa, gobierno y sector público.

El segundo es que la soberanía es mucho más que la localización o residencia de datos. En esencia, se trata de tener el control. No se trata de aislamiento.

El tercer hallazgo es que la soberanía es cada vez más una forma de mejorar la resiliencia. Cuanto más dependan las organizaciones de la IA en sus procesos de negocio, organizativos y críticos para la misión, más necesitarán minimizar, o al menos controlar, sus dependencias de proveedores, jurisdicciones y gobiernos extranjeros.

Y, por último, esto no se trata fundamentalmente de regulación. No existe legislación alguna en el mundo que exija la soberanía. En realidad, se trata de líderes tecnológicos y de negocio que desean aumentar la resiliencia de sus empresas.

¿Qué tipo de peligro representa la dependencia de la IA?

Maisto: A medida que la IA se vuelve crítica para los procesos de negocio, depender de un proveedor extranjero —y por lo tanto potencialmente de una jurisdicción extranjera— crea la posibilidad de un "interruptor de apagado". Una administración extranjera bajo cuya jurisdicción cae un proveedor podría decidir que ya no se puede acceder a sus modelos, herramientas o soluciones de IA. Si los procesos de negocio dependen de esas herramientas, esos procesos podrían detenerse.

Eso tiene un impacto empresarial muy real. En la manufactura, por ejemplo, las organizaciones pierden dinero cada segundo que no pueden producir. El impacto es potencialmente aún más significativo para las industrias que manejan productos frescos o perecederos. Así que, si la decisión de un gobierno extranjero interrumpe un servicio del que depende una organización para su IA, no se trata de un asunto geopolítico abstracto. Tiene un impacto económico directo en el negocio.

¿Cómo pueden las organizaciones armarse de manera viable contra estos riesgos?

Maisto: Hasta hace unos años, solíamos decirles a las organizaciones de ciertos países que operaran con pilas duales: una con un proveedor en un país y otra con un proveedor diferente en otro lugar. Ahora vemos que las organizaciones adoptan un enfoque más matizado, separando las cargas de trabajo críticas para la misión de las que no lo son.

Dependiendo de la industria, las cargas de trabajo no críticas pueden no requerir recursos soberanos adicionales. Las cargas de trabajo críticas para la misión, sin embargo, tienen una necesidad mucho mayor de soluciones soberanas.

Eso no significa necesariamente operar dos pilas completamente separadas. Las organizaciones pueden mitigar los riesgos geopolíticos de diferentes maneras, como conectar un entorno aislado (air-gapped) a su entorno de nube pública, o usar un proveedor local junto con uno global.

Para organizaciones multinacionales que operan en 50 países, por ejemplo, simplemente no es viable tener 50 proveedores diferentes. Sería una pesadilla arquitectónica, además del costo. En cambio, las organizaciones podrían usar diferentes soluciones del mismo proveedor global según la criticidad de la carga de trabajo o la sensibilidad de los datos. Un hiperescalador podría ofrecer un entorno de nube pública, una solución de nube privada o un entorno aislado según los requisitos.

¿Cómo exige el uso creciente de la IA que las organizaciones repensen su gobernanza?

Maisto: Las implementaciones de IA en las organizaciones crean nuevas áreas de gobernanza, riesgo y cumplimiento. Al mismo tiempo, las herramientas de IA también pueden ayudar a las organizaciones a identificar vulnerabilidades en segundos en lugar de meses, por lo que se necesita gobernanza en toda la pila tecnológica.

La IA se está convirtiendo en una tecnología verdaderamente integrada en el negocio y, en cierta medida, vital para él. Eso requiere una supervisión que va mucho más allá del departamento de TI.

Ya vemos que las organizaciones cambian sus estructuras para abordar esto. Un cliente, por ejemplo, tenía un departamento de TI relativamente pequeño y recibía solicitudes de todas las unidades de negocio. En lugar de que todo pasara por TI, la organización asignó un recurso de TI a cada unidad de negocio. Eso acorta la distancia entre TI y el negocio y garantiza que personas con las habilidades técnicas adecuadas apoyen directamente al negocio.

Esto es cada vez más importante porque la IA puede acelerar drásticamente los procesos. Algo que antes tomaba tres meses ahora podría completarse en un par de semanas. Piense en los ensayos médicos, por ejemplo. Cada segundo que se pierde ahora puede valer muchas veces más que en el pasado, lo que está cambiando por completo la forma en que deben construirse los modelos organizacionales en torno a las herramientas de IA.

¿Ha hecho la inestabilidad geopolítica que la soberanía sea un asunto más urgente?

Maisto: Sí, aunque aquí existe una tensión interesante. A medida que la tecnología se vuelve más especializada, las organizaciones necesitan personas especializadas que quizás no estén disponibles localmente. Nuestro Tech Sovereignty Forecast muestra que, si bien se espera que los indicadores de soberanía aumenten en general hacia 2030, la soberanía de la fuerza laboral tecnológica en realidad se prevé que disminuya. Es el único indicador que va en dirección contraria.

Al mismo tiempo, algunas regulaciones ya exigen requisitos de residencia o ciudadanía para trabajadores de TI en industrias, sectores tecnológicos o cargas de trabajo específicas. A medida que aumente la inestabilidad geopolítica, es probable que veamos más de estos requisitos. Eso hace que el problema sea aún más difícil: lo que inicialmente era un asunto de continuidad de negocio y gestión de riesgos se está convirtiendo, en algunas industrias, en un requisito regulatorio, mientras persiste la escasez de trabajadores tecnológicos especializados.

La capacitación es una forma de abordar esto. Otra es mediante adquisiciones, joint ventures y alianzas. Ya vemos que proveedores de servicios adquieren consultoras y empresas locales, lo que les da un marco legal y una fuerza laboral local que puede ayudar a cumplir los requisitos de soberanía de los clientes.

¿Qué errores cometen las organizaciones al intentar establecer la soberanía de la IA?

Maisto: El primer error es no definir el perímetro del problema. La gente dice "soberanía" sin definir necesariamente qué significa, y habla de regulación sin identificar qué regulaciones les aplican realmente. Luego empiezan a buscar soluciones antes de haber definido claramente el problema. Cuando reviso las estrategias de nube, IA o IA soberana de los clientes, una de mis primeras preguntas es: ¿Qué problema estás tratando de resolver realmente?

Otro error común es asumir que la soberanía se trata solo de datos. La gente suele iniciar la conversación sobre soberanía hablando de regulaciones como el CLOUD Act de EE. UU. o la Sección 702 de FISA. Pero esos son fundamentalmente asuntos de protección de datos, no problemas de soberanía.

Por ejemplo, si sus datos están alojados en la infraestructura de un hiperescalador de EE. UU., pero están cifrados y usted conserva las claves de cifrado fuera del entorno del hiperescalador, tiene un perfil de riesgo diferente. Es posible que pueda abordar el asunto sin migrar sus datos a un nuevo proveedor, lo que implicaría costos adicionales de migración y salida de datos.

La clave es plantear el problema correctamente y comprender el entorno regulatorio que realmente necesita abordar. Algunos proveedores pueden usar el discurso de la soberanía como forma de vender sus servicios, por lo que las organizaciones deben ser cuidadosas al respecto.

¿Cuál debería ser el primer paso práctico para una organización que busca mejorar su soberanía de IA?

Maisto: El primer paso es evaluar sus dependencias. Esto no se trata de aislamiento ni de lograr la independencia completa. Se trata de comprender y gestionar sus dependencias. Las organizaciones necesitan establecer de qué dependen, dónde se ubican esas dependencias y cuáles serían las consecuencias si se interrumpieran. Solo entonces pueden determinar qué necesita ser soberano y qué no.

Advertiría contra pensar en la soberanía de la IA simplemente como un problema bilateral que involucra a un país o proveedor en particular. Dependiendo de dónde operen y a qué se dedique su negocio, pueden tener un problema completamente diferente.

Por eso la soberanía es un asunto mucho más complejo que simplemente decir: "Mantén tus datos en tu país". El enfoque correcto depende de los riesgos, dependencias y requisitos de negocio específicos de cada organización.

Nota del editor: Esta entrevista fue editada para mayor claridad y concisión.