Modelo de las tres líneas

El Modelo de las Tres Líneas, publicado por el Instituto de Auditores Internos (IIA) como actualización de las antiguas tres líneas de defensa, describe cómo se articulan las funciones bajo el órgano de gobierno. La primera línea (el negocio y los equipos que desarrollan o usan IA) es dueña del riesgo y lo gestiona. La segunda línea (gestión de riesgos, cumplimiento, privacidad, seguridad de la información y, a menudo, una oficina de gobernanza de IA) aporta conocimiento especializado, políticas, monitoreo y cuestionamiento. La tercera línea, la auditoría interna, brinda aseguramiento independiente y objetivo al directorio.

Aplicado a la IA, el modelo aclara quién clasifica un caso de uso, quién define y verifica los controles y quién prueba si el sistema en su conjunto funciona. Evita una falla común: científicos de datos que califican su propio trabajo, o un comité de ética que debería auditar decisiones que ayudó a tomar.

Ejemplo: el equipo de riesgo de modelos de un banco valida el modelo de crédito construido por el área comercial, y luego la auditoría interna revisa si las validaciones se hicieron según lo exigido.