La inteligencia artificial se ha convertido en una presencia habitual en los procesos de IT Service Management: enrutamiento automático de tickets, sugerencia de prioridades, asistencia a agentes, chatbots, correlación de eventos, monitorización predictiva y automatización de procesos.
Las ventajas son evidentes. Sin embargo, también hay un nuevo nivel de responsabilidad que tener en cuenta. Con el Reglamento de IA de la UE (EU AI Act), la gobernanza de la inteligencia artificial ha pasado a ser una cuestión jurídica, pero, sobre todo, operativa. El reglamento europeo sobre IA entró en vigor el 1 de agosto de 2024; algunas disposiciones comenzaron a aplicarse a partir de 2025, mientras que la plena aplicación general está prevista para el 2 de agosto de 2026.
Para los CIO, los directores de TI y los responsables de gestión de servicios, el mensaje está claro: la IA ya no puede considerarse únicamente una funcionalidad avanzada de la plataforma ITSM. Debe gestionarse mediante procesos, responsabilidades, controles, documentación y registros de auditoría. Sobre todo ello nos detendremos en este artículo.
Por qué el Reglamento de IA de la UE también afecta a la gobernanza del ITSM
El Reglamento de IA de la UE adopta un enfoque basado en el riesgo. En particular, distingue entre sistemas de inteligencia artificial de riesgo inaceptable, sistemas de alto riesgo, sistemas sujetos a obligaciones de transparencia y sistemas de riesgo mínimo o nulo.
Muchos casos de uso de la IA en el ITSM probablemente se situarán en esta última categoría, la de menor riesgo: chatbots para el autoservicio, sistemas de sugerencias para agentes, clasificación automática de tickets, enrutamiento inteligente y priorización asistida.
Sin embargo, esta clasificación nunca debe darse por sentada. Un chatbot que ayuda al usuario a consultar una base de conocimiento tiene un impacto limitado. Un sistema que sugiere la prioridad de un incidente crítico ya exige una mayor atención. Un proceso que automatiza la asignación de accesos a sistemas sensibles debe evaluarse con todavía más cuidado.
La regla práctica es sencilla: cuanto más se acerca la IA a una decisión automatizada con un impacto significativo en los accesos, la seguridad, la continuidad operativa o los derechos de los usuarios, más sólidos deben ser los controles.
Gobernanza de la IA en el ITSM: cómo clasificar los casos de uso
El primer paso para gobernar la IA en el ITSM es crear un inventario de los casos de uso de IA ya activos o planificados. En muchas organizaciones, la adopción de la inteligencia artificial se produce de forma gradual: primero como una función integrada en la plataforma, después como chatbot, más tarde como sistema de apoyo a las decisiones y, finalmente, como automatización conectada a sistemas externos. Y, en muchos casos, este enfoque progresivo tiene sentido.
Para cada caso de uso, resulta útil preguntarse:
- ¿El sistema toma decisiones autónomas o se limita a ofrecer sugerencias?
- ¿El resultado tiene impacto en los usuarios, los accesos, la seguridad o la continuidad operativa?
- ¿Existe supervisión humana?
- ¿Se tratan datos personales o información crítica?
- ¿El usuario sabe que está interactuando con un sistema de IA?
En la práctica, los chatbots y los asistentes virtuales para el autoservicio de TI serán con frecuencia sistemas de riesgo limitado, especialmente cuando interactúan directamente con los usuarios. En estos casos, el principal requisito es la transparencia: los usuarios deben saber cuándo están interactuando con un sistema de IA y deben poder recurrir a una persona cuando sea necesario.
Los sistemas de sugerencias para agentes serán a menudo de riesgo limitado o mínimo, siempre que el agente mantenga el control final.
El enrutamiento inteligente de tickets y la priorización automática de incidentes, en cambio, requieren una gestión más cuidadosa, especialmente si influyen en la respuesta a incidentes de seguridad, interrupciones críticas o servicios esenciales.
La asignación de accesos asistida por IA también merece una evaluación específica. Si la IA sugiere el grupo correcto, el riesgo puede mantenerse limitado. Si, por el contrario, aprueba o revoca accesos automáticamente en sistemas sensibles sin una supervisión adecuada, el perfil de riesgo cambia.
También los sistemas de monitorización predictiva, correlación de eventos y detección de anomalías deben evaluarse en función de su grado de autonomía: ¿se limitan a generar alertas y recomendaciones o activan automáticamente acciones correctivas?
Como vemos, el ámbito de aplicación del Reglamento de IA de la UE es amplio, complejo y está en constante evolución.
Documentación y registros de auditoría
Un entorno ITSM maduro ya se basa en la trazabilidad. Cada ticket tiene un historial, cada incidente una cronología y cada cambio debería contar con una justificación, las aprobaciones necesarias, los impactos previstos y los resultados obtenidos.
La gobernanza de la IA implica aplicar estos mismos principios a los procesos asistidos por inteligencia artificial.
En concreto, la documentación debería abordar al menos cinco aspectos:
- la finalidad del sistema de IA;
- el ámbito de uso;
- los datos utilizados;
- los resultados generados;
- el registro de auditoría.
El registro de auditoría es especialmente importante. Cada sugerencia o decisión relevante de la IA debería dejar constancia de los principales datos de entrada, el resultado generado, el nivel de confianza, el agente que aprobó, modificó o rechazó la recomendación y la acción final realizada.
El objetivo no es crear burocracia, sino conservar una memoria operativa. Sin memoria no hay auditoría; sin auditoría no hay gobernanza.
Garantizar la transparencia en las decisiones de la IA
Cuando la IA pasa a apoyar decisiones dentro de los procesos de ITSM, no basta con conocer la recomendación que ofrece. También es importante comprender en qué información se basa y por qué ha llegado a ese resultado.
Esta transparencia no debe considerarse únicamente una cuestión técnica. Debe formar parte del trabajo diario de los agentes y de los responsables de los procesos, especialmente cuando las recomendaciones de la IA pueden influir en prioridades, accesos, cambios o respuestas a incidentes.
En la práctica, si la IA sugiere una determinada prioridad para un ticket, el agente debe poder entender qué factores principales se han tenido en cuenta: tickets similares, el activo implicado, los niveles de servicio aplicables, el servicio afectado, patrones históricos o indicadores de riesgo.
Si la IA interviene en un proceso de asignación de accesos, también debería ser posible entender en qué criterios se basa la recomendación: la función del usuario, el departamento, solicitudes similares, la política aplicable o posibles excepciones.
No siempre es necesaria una explicación técnica detallada. Lo importante es ofrecer información suficientemente clara para que una persona competente pueda evaluar la recomendación, confirmarla o corregirla cuando sea necesario.
De lo contrario, existe el riesgo de aceptar las recomendaciones de la IA de forma automática simplemente porque proceden del sistema. Una buena gobernanza de la IA debe evitar precisamente eso: decisiones que nadie pueda justificar, cuestionar o revisar.
Supervisión humana y responsabilidad
La supervisión humana es uno de los pilares de la gobernanza de la IA en el ITSM. Pero no todos los procesos requieren el mismo nivel de control.
Una sugerencia para actualizar una FAQ puede requerir una revisión ligera. Una recomendación de prioridad para un incidente crítico exige una mayor atención. Una automatización que modifica accesos, configuraciones o activos debe incluir controles más sólidos.
A efectos operativos, resulta útil distinguir entre tres niveles:
- Human-in-the-loop: la IA sugiere, pero la acción solo se ejecuta tras la aprobación de una persona. Es el enfoque más adecuado para la asignación de accesos, los cambios de alto impacto y los incidentes críticos.
- Human-on-the-loop: la IA actúa dentro de unos límites predefinidos, mientras el equipo supervisa, recibe alertas y puede intervenir. Es útil para automatizaciones repetitivas con un riesgo controlado.
- Human-out-of-the-loop: la IA o la automatización actúan sin intervención humana directa. Este enfoque debería limitarse a casos estandarizados, reversibles, bien documentados y de bajo impacto.
El riesgo que hay que evitar es la automatización invisible. Cada proceso automatizado debe contar con un responsable, umbrales de escalado, criterios de bloqueo y un procedimiento para revertir los cambios.
En pocas palabras: la IA puede acelerar los procesos, pero la responsabilidad sigue siendo —y debe seguir siendo— humana.
Una hoja de ruta práctica para la gobernanza de la IA en el ITSM
Para llevar la gobernanza de la IA al terreno práctico dentro del ITSM, conviene avanzar de forma progresiva. Hemos identificado siete pasos, que resumimos a continuación:
- Crear un inventario de los casos de uso de IA ya activos o planificados.
- Clasificar cada caso de uso según su nivel de riesgo, documentando los motivos de la evaluación.
- Definir responsables y funciones: un responsable de negocio, un responsable técnico y un punto de contacto para cumplimiento normativo y seguridad.
- Introducir requisitos mínimos de documentación: finalidad, datos utilizados, resultados generados, controles humanos, registros de actividad, métricas de rendimiento y políticas de revisión.
- Incorporar a los procesos información clara sobre los criterios utilizados por la IA para formular sus recomendaciones, de modo que sea accesible para los agentes y los responsables de los procesos.
- Actualizar las políticas de gestión de cambios: cualquier modificación significativa de un modelo, una regla de automatización o una integración de IA debería tratarse como un cambio relevante.
- Formar a los equipos. La formación y los conocimientos sobre IA son relevantes para el service desk, los responsables de incidentes, cambios y activos, los administradores de la plataforma y los responsables de los procesos.
Conclusiones
La inteligencia artificial está transformando el ITSM: reduce los tiempos de respuesta, mejora la clasificación, asiste a los agentes, reduce la carga del service desk, anticipa anomalías y hace más fluida la experiencia de los usuarios.
Pero cuanto más se integra la IA en los procesos, más necesario es integrarla también en la gobernanza.
El Reglamento de IA de la UE no debe interpretarse como un freno a la innovación, sino como un marco para hacerla más fiable, sostenible y sólida a largo plazo.
Para los CIO y directores de TI, esta es una oportunidad importante: aplicar la disciplina del ITSM a la gobernanza de la inteligencia artificial.
FAQ
¿Qué exige el cumplimiento del Reglamento de IA de la UE?
Requiere transparencia, documentación, trazabilidad, supervisión humana y controles proporcionales al riesgo de cada caso de uso de IA.
¿Qué significa la gobernanza de la IA en el ITSM?
Significa definir reglas, responsabilidades, controles y procesos para el uso de la inteligencia artificial en las plataformas de IT Service Management. Incluye la clasificación del riesgo, la documentación, los registros de auditoría, la supervisión humana, la transparencia en las decisiones de la IA, la seguridad de los datos y la participación de los equipos jurídicos y de cumplimiento normativo.
¿Por dónde empezar para adaptar el ITSM al Reglamento de IA de la UE?
Por elaborar un inventario de los casos de uso de IA ya activos o planificados. A continuación, hay que clasificarlos por nivel de riesgo, definir responsables, documentar los datos utilizados y los resultados generados, incorporar registros de auditoría y mecanismos que permitan comprender las recomendaciones de la IA, actualizar las políticas de gestión de cambios y formar a los equipos.
