Perspectivas
Gobernanza de IA
Quién decide, quién responde y con qué evidencia, cuando un sistema participa de una decisión que afecta a personas.
Qué resuelve
Gobernar la IA no es frenarla. Es poder responder tres preguntas en cualquier momento: dónde se está usando, quién autorizó cada uso y qué pasa si una decisión sale mal. Sin esas respuestas, la organización no puede escalar sin asumir un riesgo que no midió.
El trabajo empieza por el inventario —qué sistemas hay, quién los usa y con qué datos— y sigue por la asignación de responsabilidades. No hay gobernanza sin un nombre detrás de cada decisión.
Cómo lo hacemos
Sobre un catálogo metodológico de 325 controles construido a partir de ISO/IEC 42001, el EU AI Act y NIST AI RMF. La selección es proporcional: no todos los controles aplican a todas las organizaciones, y aplicarlos todos sería tan inútil como no aplicar ninguno.
Cada control queda con un responsable identificado y una evidencia asociada. Una política que nadie puede demostrar que opera es un documento, no un control.
Qué no es
No es una auditoría independiente ni una certificación. Organizamos la preparación y dejamos por escrito qué falta y en qué orden; la verificación externa, cuando corresponde, la hace un tercero habilitado.
Perspectivas sobre Gobernanza de IA
Un juez de Esquel dejó pegada en un fallo la frase con la que un asistente le entregaba el texto. Air Canada sostuvo ante un tribunal que su chatbot era una entidad aparte, responsable de sus propios actos. De los dos casos sale la misma conclusión: la IA automatiza la decisión, no la responsabilidad de quien la firma.
Alguien con autoridad firma el inicio y después desaparece. El proyecto avanza hasta el primer conflicto entre áreas y ahí se detiene, porque no hay quien decida. Para entonces ya se gastó el presupuesto.
Los sistemas agénticos cambian la pregunta de gobernanza: ya no es qué puede decir un modelo, sino qué está autorizado a hacer. Un incidente en un entorno de evaluación de OpenAI sirve para ver por qué los marcos actuales no cubren los permisos.
Un asistente que gestiona correo, agenda y compras funcionó tan bien que empezó a actuar sin pedir permiso, y sus primeros usuarios le revocaron los accesos. El caso muestra el vacío que ningún marco de gobernanza cubre todavía.
Un proveedor que dibuja el límite de su propia herramienta —sirve para explorar diseños, no para aplicaciones críticas de seguridad— da una lección de gobernanza aplicable a cualquiera que decida con IA, aunque nunca diseñe un auto.
La prórroga de las obligaciones de alto riesgo no fue lobby: fue admitir que faltaban estándares, autoridades y herramientas. Lo que le pasó al regulador con su propio checklist es lo que le pasa a la mayoría de las empresas con sus datos.
Cuando la IA pasa a ser infraestructura que decide sobre derechos y dinero público, la pregunta deja de ser si sirve o amenaza. Soberanía no es autarquía: es capacidad de decidir, exigir y auditar, incluso comprando tecnología afuera.
Cada vez más decisiones de crédito, seguros y límites se toman detrás de una pantalla. Un algoritmo aprende de la historia, y la de la región está marcada por exclusiones: el dilema no es técnico, es social.
Preguntas frecuentes
- ¿Necesito gobernanza si todavía estoy en pilotos?
- Sí, y es el mejor momento. Un piloto ya usa datos reales y ya toma decisiones. Ordenarlo ahora cuesta una fracción de lo que cuesta después, cuando hay quince herramientas en uso y nadie sabe quién las aprobó.
- ¿Esto me certifica en ISO/IEC 42001?
- No. Ninguna consultora certifica: la certificación la emite un organismo acreditado. Lo que hacemos es dejar la organización en condiciones de presentarse, con los controles operando y la evidencia disponible.
- ¿Sirve si ya tengo un comité de datos?
- Sirve, y suele ser más rápido. El comité ya resuelve el problema de quién decide; falta traducirlo a controles con evidencia y a un alcance que incluya la IA, que no siempre estaba contemplada.
- ¿Cuánto tarda?
- La evaluación inicial son cuatro semanas. Lo que viene después depende del alcance que la propia evaluación recomiende, y esa recomendación es del cliente, no nuestra.