Gobernanza de IA para minería y recursos
Seguridad OT, Equipos Autónomos e IA Sombra

El sector minero y de recursos de Australia es uno de los adoptantes más agresivos de la IA en el país. Camiones autónomos en los sitios de BHP y Rio Tinto, mantenimiento predictivo en dragalinas y cintas transportadoras, predicción de la ley del mineral impulsada por IA y pronóstico de incidentes de seguridad basado en aprendizaje automático ya no son experimentos, son sistemas en producción que gestionan miles de millones de dólares en activos y, de forma crítica, vidas humanas.

Esto crea una superficie de riesgo cualitativamente diferente a la implementación de IA en servicios financieros o salud. Cuando el modelo de IA de un banco toma una mala decisión crediticia, la consecuencia es un préstamo fallido. Cuando falla una IA minera, las consecuencias pueden incluir colisiones de equipos, muertes y desastres ambientales. Los riesgos de una mala gobernanza de la IA en minería son singularmente graves.

Al mismo tiempo, la capa corporativa y empresarial de las compañías mineras enfrenta los mismos desafíos de IA en la sombra que cualquier otra industria. Trabajadores de BHP, Rio, Fortescue, South32 y Newmont usan ChatGPT, Copilot y decenas de otras herramientas de IA no autorizadas para redactar informes, analizar datos y resumir documentos, a menudo pegando datos sensibles operativos, financieros y de personal en servicios públicos de IA sin supervisión.

La gobernanza efectiva de la IA en minería debe abordar ambas capas: la capa de tecnología operativa (OT) donde se ejecuta la IA crítica para la seguridad, y la capa de TI empresarial donde prolifera la IA en la sombra.

La seguridad informática tradicional en minería se basaba en una clara separación física entre los sistemas de tecnología operativa (OT) que controlan el equipo físico y las redes IT que gestionan las aplicaciones empresariales. Esa separación ya no existe en la mayoría de las minas modernas.

Los camiones autónomos se comunican a través de redes LTE/5G. Las plataformas de mantenimiento predictivo extraen datos de sensores en tiempo real hacia pipelines de análisis en la nube. Los centros de operaciones remotas en Perth y Brisbane controlan equipos a miles de kilómetros. Los sistemas de IA entrenados con datos corporativos toman decisiones que afectan directamente a procesos físicos.

Esta convergencia genera desafíos específicos en la gobernanza de la IA:

Riesgo de IA en la cadena de suministro. La IA en minería rara vez se desarrolla internamente. Proviene de proveedores de equipos (Caterpillar, Komatsu, Epiroc), proveedores especializados de software OEM e integradores de sistemas. Cada uno introduce modelos de IA en su entorno que usted no entrenó, que puede no comprender completamente y que puede no ser capaz de inspeccionar. Los marcos de gobernanza de IA deben extenderse a la IA de terceros y embebida, no solo a los sistemas desarrollados internamente.

Deriva del modelo en entornos adversos. Los modelos de IA entrenados con datos operativos históricos derivarán conforme cambien las condiciones, varíen las leyes de mineral, envejezca el equipo o evolucione el comportamiento del operador. Sin monitoreo, un modelo de mantenimiento predictivo que tenía un 95 % de precisión al desplegarse puede degradarse silenciosamente hasta un 70 %, generando predicciones de fallos no detectadas y fallos inesperados en el equipo. La gobernanza requiere monitoreo continuo del rendimiento, no solo la aprobación inicial.

Riesgo de IA adversarial en OT. Actores estatales y criminales han demostrado la capacidad de comprometer sistemas OT. Los componentes de IA en entornos OT crean nuevos vectores de ataque: manipulación de entradas de sensores para causar errores de clasificación en la IA, envenenamiento de datos de entrenamiento para introducir modos de fallo predecibles y explotación de sistemas de toma de decisiones de IA para provocar comportamientos inseguros en el equipo. Estos no son hipotéticos, son clases de ataques documentados que las empresas mineras deben evaluar.

La IA crítica para la seguridad en minería, vehículos autónomos, sistemas de evitación de colisiones, monitoreo de estabilidad de taludes y detección de gases, tiene un perfil de riesgo diferente al de la IA empresarial. Las fallas pueden resultar en fatalidades, y la obligación de gobernar estos sistemas no es solo regulatoria: es moral.

Seleccione normas para el sistema y los riesgos. Ingenieros competentes deben identificar las normas de seguridad aplicables y validar los controles para el equipo y su entorno operativo. ISO 17757 cubre riesgos adicionales de seguridad en sistemas de máquinas autónomas y semiautónomas para movimiento de tierras y minería. ISO 13849 aborda las partes relacionadas con la seguridad en sistemas de control de maquinaria.

Planifique la intervención y respuesta ante emergencias. Defina cómo los operadores reconocen condiciones inseguras, intervienen y llevan el equipo a un estado seguro. Valide el comportamiento de parada, controles de emergencia, comunicaciones y capacitación de operadores según la evaluación de riesgos del sitio y los requisitos de ingeniería. Los tiempos de respuesta deben adaptarse al equipo y condiciones operativas, no a un umbral universal asumido.

La explicabilidad es innegociable. Cuando una IA de seguridad toma una decisión, deteniendo un camión de acarreo, activando una alarma de evacuación o señalando un riesgo de inestabilidad en un talud, los operadores y equipos de seguridad deben poder entender por qué. Los modelos de caja negra que toman decisiones de seguridad sin registros de auditoría generan exposición regulatoria y, más importante, impiden el aprendizaje de incidentes y casi accidentes.

Evidencia para investigación de incidentes. Mantenga registros que respalden la investigación de incidentes y casi accidentes, incluyendo entradas y salidas relevantes del sistema, condiciones operativas y marcas de tiempo. Establezca períodos de retención según la jurisdicción aplicable, tipo de registro, arreglos de gestión de seguridad y necesidades de investigación.

Aunque el desafío de gobernanza de IA crítica para la seguridad es único en la minería, el problema de la IA en la sombra es universal, y las empresas mineras no son inmunes.

Los geólogos utilizan herramientas de IA para interpretar datos sísmicos y generar informes de exploración. Los equipos financieros usan IA para modelar escenarios de precios de materias primas. Los equipos de RRHH emplean IA para redactar descripciones de puestos y filtrar currículums. Los equipos de comunicación usan IA para redactar anuncios y actualizaciones para los interesados. En todos los casos, existe una alta probabilidad de que datos sensibles, resultados de exploración, estimaciones de reservas, discusiones sobre fusiones, datos de desempeño del personal, se estén introduciendo en servicios públicos de IA sin controles.

La exposición específica en minería. Las empresas mineras están sujetas a las obligaciones de divulgación continua de la ASX. Los resultados de exploración no publicados, estimaciones de reservas y datos de producción que son materiales para el precio de las acciones están sujetos a estrictos requisitos de confidencialidad. Si un empleado introduce un resultado preliminar de perforación en ChatGPT para generar un resumen, esos datos pueden usarse para entrenar futuras versiones del modelo, creando una posible divulgación sensible al mercado. Las plataformas de Seguridad de IA para la Fuerza Laboral que registran y controlan qué datos ingresan a herramientas públicas de IA no solo son un control de seguridad, sino un requisito de cumplimiento normativo para las mineras cotizadas en la ASX.

Inventario de IA en la sombra para empresas mineras. En un entorno típico de oficina corporativa minera, las herramientas de IA en la sombra más comunes incluyen: ChatGPT (análisis de datos, informes), Microsoft Copilot (correos electrónicos, documentos, Teams), GitHub Copilot (desarrollo interno de software), Perplexity (investigación) y varias herramientas de geología y planificación minera impulsadas por IA con componentes LLM integrados. No todas estas están autorizadas y muy pocas están gobernadas.

Las empresas mineras australianas que operan sistemas de IA enfrentan un marco regulatorio en capas:

Safe Work Australia y Regulaciones Mineras Estatales. Las obligaciones de la Ley de Salud y Seguridad en el Trabajo se aplican a los sistemas de IA que afectan la seguridad en el lugar de trabajo. Los sistemas de IA que controlan vehículos autónomos, gestión de explosiones, detección de gases y respuesta a emergencias están dentro del alcance. El deber de identificar y gestionar riesgos se extiende a los riesgos creados por fallos en los sistemas de IA.

Divulgación Continua de ASX (Regla de Cotización 3.1). El análisis asistido por IA que genera o procesa información material no pública (MNPI), resultados de exploración, estimaciones de reservas, pronósticos de producción, debe estar regulado para evitar divulgaciones inadvertidas a través de servicios públicos de IA.

Ley de Privacidad de 1988 y Principios Australianos de Privacidad. Los datos de empleados, contratistas y comunidades procesados por sistemas de IA están sujetos a la Ley de Privacidad. Las empresas mineras que usan IA para la gestión de la fuerza laboral, monitoreo de seguridad (incluidos datos biométricos de dispositivos wearables) y participación comunitaria deben evaluar sus obligaciones de privacidad.

ISO/IEC 42001, Norma de Sistema de Gestión de IA. Esta norma voluntaria puede ayudar a las empresas mineras a estructurar responsabilidades de IA, evaluación de riesgos y mejora continua. El alcance del sistema de gestión debe reflejar los usos de IA de la organización. La certificación no reemplaza las obligaciones de seguridad minera ni establece la seguridad de un sistema autónomo individual.

Obligaciones emergentes. El Marco de Seguridad de IA del Gobierno Australiano (2024) y las propuestas de salvaguardas obligatorias para usos de IA de alto riesgo impondrán, una vez promulgadas, obligaciones adicionales a las empresas mineras que usen IA en contextos críticos para la seguridad y de alto impacto. Las empresas deberían estar construyendo infraestructura de gobernanza ahora en lugar de apresurarse cuando entren en vigor los requisitos obligatorios.

Un modelo práctico de planificación puede agrupar la IA en minería en tres entornos: tecnología operativa (OT), TI en el sitio minero y uso en oficinas corporativas. Los niveles siguientes son prioridades ilustrativas, no categorías de certificación ISO ni una clasificación legal universal.

**Nivel 1, IA crítica para la seguridad (Capa OT)** Priorizar la garantía de seguridad. Aplica a: camiones autónomos de acarreo, sistemas de evitación de colisiones, IA para estabilidad de taludes, detección de gases, gestión de voladuras. Controles a evaluar: Evaluación de peligros y seguridad funcional conforme a normas aplicables, pruebas de intervención y control de emergencias, registro completo de auditorías, retención para investigación de incidentes, requisitos de transparencia del proveedor de IA, validación regular del rendimiento del modelo, proceso de control de cambios para cualquier actualización del modelo.

**Nivel 2, IA operativa (TI en sitio minero)** Priorizar la fiabilidad operativa. Aplica a: mantenimiento predictivo, predicción de ley de mineral, optimización de perforación y voladura, IA para gestión de flotas. Controles a evaluar: Monitorización del rendimiento y detección de desviaciones, requisitos de explicabilidad para decisiones de alta consecuencia, gobernanza de datos para conjuntos de entrenamiento, proceso de gestión de cambios, integración con sistemas de gestión de seguridad.

**Nivel 3, IA empresarial (Oficina corporativa)** Priorizar el uso seguro por empleados. Aplica a: uso de herramientas de IA por empleados, informes asistidos por IA, aplicaciones financieras y de RRHH. Controles a evaluar: Descubrimiento de IA en sombra, política de uso aceptable, controles de clasificación de datos que eviten la entrada de MNPI en IA pública, controles de acceso, monitorización y registro de uso.

**Consideraciones de gobernanza transnivel:** - Registro de riesgos de IA que cubra los tres niveles - Responsable designado de gobernanza de IA (normalmente CISO o CTO) - Proceso de diligencia debida de proveedores para componentes de IA en sistemas adquiridos - Revisión anual de gobernanza de IA con aprobación del consejo - Procedimiento de respuesta a incidentes para eventos de seguridad y seguridad relacionados con IA