Qué es el Gobierno de IA corporativo y por qué su empresa lo necesita

Hay una conversación que empieza a aparecer con mayor frecuencia en las salas de juntas. ¿Cuál modelo vamos a utilizar? ¿Qué agentes podemos implementar? ¿Cuánto podemos automatizar? ¿Cuánto podemos ahorrar? ¿Qué está haciendo la competencia?

Son preguntas legítimas. Pero creo que estamos empezando por el lugar equivocado.

Antes de preguntarnos qué inteligencia artificial vamos a incorporar, deberíamos preguntarnos algo mucho más importante: ¿estamos preparados para gobernarla?

La inteligencia artificial está dejando de ser una conversación exclusivamente tecnológica. Está entrando en procesos comerciales, financieros, operativos, jurídicos y de talento humano, está ayudando a analizar información, generar contenido, recomendar decisiones y cada vez más, ejecutar determinadas actividades, y cuando una tecnología empieza a participar en decisiones que afectan al negocio, a los clientes, a los empleados o a la información de la organización, la conversación necesariamente cambia, ya no basta con preguntarnos qué puede hacer la IA. Tenemos que decidir qué le permitimos hacer, bajo qué condiciones y quién responde cuando algo sale mal.

¿Qué entiendo por Gobierno de IA?

Para mí, el Gobierno de IA es el conjunto de reglas, roles y controles que permiten asegurar que la inteligencia artificial utilizada por una organización sea rentable, segura, cumpla con la ley, proteja la información, sea coherente con los valores de la compañía y no termine deteriorando la confianza en la marca.

En otras palabras, no se trata solamente de controlar la IA, se trata de gobernar el valor y el riesgo que la IA puede generar.

Esta diferencia es importante. Porque una organización puede tener una IA que funcione técnicamente muy bien y, aun así, estar tomando una mala decisión empresarial al utilizarla.

El riesgo no está solamente en la tecnología

Cuando hablamos de Gobierno de IA, normalmente pensamos primero en seguridad, privacidad o regulación, son asuntos fundamentales, pero no son los únicos.

Existen riesgos legales y de cumplimiento: regulación, propiedad intelectual, contratos, uso indebido de información o decisiones que puedan generar responsabilidades para la organización.

Existen riesgos de seguridad: brechas de datos, ataques, accesos no autorizados, falta de trazabilidad o información sensible terminando en lugares donde nunca debió estar.

También existen riesgos operacionales. Una IA puede discriminar, equivocarse, generar información falsa, quedarse obsoleta o continuar operando cuando el modelo que la soporta ya no debería utilizarse.

Y existen riesgos reputacionales y éticos. Una decisión puede ser técnicamente posible y, sin embargo, estar completamente desalineada con los valores de una compañía o con lo que sus clientes esperan de ella.

Pero hay un riesgo que considero especialmente importante y que muchas organizaciones todavía subestiman: no tener una adecuada gestión de los datos.

La calidad de los datos, su seguridad, limpieza, actualización, administración, acceso y propósito no son asuntos secundarios, si los datos no están gobernados, difícilmente podremos gobernar correctamente una inteligencia que aprende, combina información, genera conclusiones y puede llegar a recomendar o ejecutar acciones.

La diferencia puede resumirse de una manera sencilla: el Gobierno de Datos ayuda a definir qué información puede utilizarse, quién es responsable de ella y bajo qué condiciones. El Gobierno de IA agrega una pregunta más compleja: ¿qué puede hacer la inteligencia artificial con esa información?

Ya existen ejemplos que deberían preocuparnos

No necesitamos imaginar escenarios extremos para entender el riesgo. Ya existen casos reales.

En 2024, un tribunal de Columbia Británica responsabilizó a Air Canada por información incorrecta entregada por su chatbot sobre una tarifa relacionada con un fallecimiento, la compañía intentó argumentar que el chatbot era una herramienta separada de su operación, pero el tribunal no aceptó esa separación. Para el cliente, la información provenía de Air Canada y la responsabilidad seguía siendo de la compañía.

El caso dejó una enseñanza que va mucho más allá de un chatbot: una organización no puede transferir su responsabilidad a la inteligencia artificial que utiliza.

Algo similar ocurrió en Samsung en 2023, cuando empleados introdujeron información sensible de la compañía en herramientas de inteligencia artificial generativa. La respuesta de la organización fue restringir temporalmente su uso mientras definía controles más adecuados.

Ese caso muestra otra realidad que los CEO deberían tener presente: la inteligencia artificial puede entrar a una organización mucho antes de que la organización haya decidido formalmente cómo gobernarla. A esto hoy se le suele llamar Shadow AI: herramientas utilizadas por empleados sin un proceso formal de aprobación, evaluación o control.

Por eso, el Gobierno de IA no debería comenzar cuando la compañía decide comprar una plataforma. Debería comenzar cuando entiende que la IA ya está cambiando la manera en que las personas trabajan.

Gobernar no significa poner burocracia

Uno de los errores que más me preocuparía sería convertir el Gobierno de IA en un proceso burocrático que termine frenando la innovación.

No todas las aplicaciones de IA tienen el mismo riesgo ni requieren el mismo nivel de control. Una herramienta de bajo impacto utilizada para resumir documentos internos no debería pasar por el mismo proceso que una inteligencia que participa en una decisión crediticia, recomienda una contratación o tiene acceso a información sensible de clientes.

“El gobierno debe ser proporcional al riesgo y al nivel de autonomía.”

A menor riesgo, mayor velocidad para experimentar, a mayor impacto y autonomía, mayores controles, trazabilidad y responsabilidad.

La organización necesita encontrar ese equilibrio, si controla demasiado, puede frenar la innovación, si controla demasiado poco, puede terminar innovando sin entender las consecuencias y con poca relevancia en el negocio.

El Gobierno de IA no puede ser responsabilidad exclusiva de TI

Otro error frecuente es pensar que, como la inteligencia artificial utiliza tecnología, su gobierno debe quedar exclusivamente en manos del CIO o del área de tecnología, no lo veo así.

El Gobierno de IA debe estar cerca de la estrategia y por lo tanto, cerca del CEO. TI tiene un papel fundamental, pero también lo tienen Seguridad, Control Interno, Legal, Innovación y Talento Humano.

El negocio debe definir qué valor se busca. Tecnología debe asegurar que la arquitectura y los sistemas puedan soportarlo. Seguridad debe evaluar los riesgos de información y acceso. Legal debe ayudar a entender las implicaciones regulatorias, contractuales y de propiedad intelectual. Innovación debe ayudar a conectar las posibilidades de la tecnología con la estrategia. Y Talento Humano tiene una responsabilidad enorme en adopción, capacidades, formación y gestión del cambio.

La conversación, por tanto, no debería ser quién es dueño de la IA. Debería ser quién responde por las decisiones que la organización está empezando a delegar en ella.

Las personas siguen estando en el centro

La llegada de la inteligencia artificial puede hacernos pensar que la conversación se trata de modelos, agentes, automatización y productividad, pero detrás de cada uno de esos elementos siguen existiendo personas.

Personas que tienen que aprender a utilizar estas herramientas, personas que deben entender cuándo confiar en una respuesta y cuándo cuestionarla, personas que necesitan saber qué información pueden compartir y cuál no, personas que tendrán que adaptarse a nuevas formas de trabajar y, en algunos casos, asumir responsabilidades diferentes.

Por eso, la adopción no puede dejarse para después.

Una organización que incorpora IA sin preparar a su gente corre el riesgo de tener dos realidades al mismo tiempo: una estrategia formal y una práctica informal, mientras la dirección intenta definir reglas, los empleados pueden estar utilizando herramientas diferentes, compartiendo información, creando soluciones por su cuenta y generando dependencias que nadie conoce.

El objetivo no debería ser solamente evitar el Shadow AI o el llamado AI Sprawl, debería ser construir una cultura en la que las personas entiendan el propósito, conozcan los límites y tengan criterio para utilizar la IA de manera responsable.

La mejor gobernanza no es la que obliga a las personas a cumplir reglas que no entienden. Es la que consigue que las personas comprendan por qué existen esas reglas y sean capaces de actuar correctamente incluso cuando nadie las está mirando.

El CEO no tiene que gobernar el algoritmo

Un CEO no necesita convertirse en especialista en modelos, algoritmos o arquitectura de inteligencia artificial, su responsabilidad está en otro lugar.

Debe entender el impacto que la IA puede tener sobre el negocio, los riesgos que está dispuesto a asumir, cómo se relaciona con la estrategia y qué decisiones está comenzando a delegar la organización.

Las preguntas que debería hacer son mucho más empresariales que técnicas: ¿qué problema estamos resolviendo? ¿qué valor esperamos generar? ¿qué datos necesita la solución? ¿qué riesgos estamos asumiendo? ¿qué nivel de autonomía tendrá? ¿qué ocurre si se equivoca? ¿quién responde? ¿quién puede detenerla? ¿qué pasa si mañana necesitamos cambiar de proveedor o de modelo?

El CEO no tiene que gobernar el algoritmo; tiene que gobernar la decisión.

Para mí, esta es una de las ideas más importantes cuando hablamos de Gobierno de IA. La discusión no debería quedarse en si el modelo funciona, debería llegar hasta la decisión que ese modelo está ayudando a tomar y las consecuencias que esa decisión puede tener.

La estrategia debe mirar la cadena de valor completa

Otro riesgo que veo con frecuencia es confundir utilizar IA con tener una estrategia de IA.

Una organización puede tener decenas de iniciativas aisladas: un asistente para servicio al cliente, otro para generar documentos, otro para analizar información y algunos experimentos desarrollados internamente.

Eso demuestra actividad, no necesariamente demuestra estrategia.

La estrategia aparece cuando la organización empieza a preguntarse dónde puede la IA cambiar de manera significativa su cadena de valor, dónde puede mejorar una experiencia, acelerar una decisión, reducir un riesgo, liberar capacidad o generar una ventaja que un competidor todavía no tiene.

Una mejora localizada puede incluso generar un problema en otra parte del negocio, automatizar una actividad puede aumentar el volumen de trabajo en el proceso siguiente, reducir tiempos puede aumentar riesgos de control, mejorar productividad puede crear dependencia de un proveedor o exponer información que antes permanecía dentro de la organización.

Por eso, antes de automatizar deberíamos entender la decisión, antes de delegar, entender el riesgo, antes de darle autonomía a un agente, definir qué puede hacer y qué no puede hacer.

La tecnología puede cambiar, el modelo puede cambiar, el proveedor puede cambiar, pero la responsabilidad de la organización permanece.

Una organización madura sabe dónde poner los límites

En uno de los trabajos que he venido desarrollando alrededor del concepto de gobierno de IA, hay una idea que considero especialmente poderosa: antes de incorporar inteligencia artificial, deberíamos sentarnos a definir nuestros límites.

¿Qué vamos a delegar? ¿Qué vamos a supervisar? ¿Qué nunca vamos a delegar? ¿Quién responde? ¿Qué datos puede utilizar la IA? ¿Qué decisiones puede ejecutar? ¿Qué pasa cuando se equivoca? ¿Qué principios no estamos dispuestos a negociar, aunque una IA nos prometa hacerlo más rápido o más barato?

Esto puede parecer sencillo, pero obliga a una conversación que muchas organizaciones todavía no están teniendo.

Una organización madura no es necesariamente aquella que automatiza más, es aquella que sabe qué debe automatizar, qué debe conservar bajo control humano y por qué.

Ese criterio se vuelve todavía más importante a medida que aumenta la autonomía, primero la IA recomienda, después automatiza, luego ejecuta y en algún momento alguien puede preguntarse por qué todavía necesita autorización humana.

La frontera entre autonomía y responsabilidad no debería moverse simplemente porque la tecnología demostró que puede hacer algo.

El Gobierno de IA debe proteger el valor, no solamente evitar riesgos

A veces la conversación sobre gobierno comienza desde el miedo: qué puede salir mal, qué norma podemos incumplir, qué información podemos perder.

Es necesario hablar de esos riesgos, pero considero que quedarnos únicamente allí sería un error.

El gobierno también debe ayudar a capturar valor, debe permitir que la organización experimente, aprenda, mida, ajuste y escale aquello que realmente funciona.

Debe ayudar a decidir cuándo una iniciativa debe continuar, cuándo debe cambiarse, cuándo conviene retirar un modelo y cuándo es mejor decir simplemente: esto no tiene sentido para nuestro negocio.

En últimas, gobernar bien no significa decirle que no a la inteligencia artificial, significa saber dónde decirle que sí, dónde poner límites y en qué condiciones vale la pena asumir el riesgo.

¿Por dónde debería comenzar un CEO?

Yo comenzaría con preguntas muy sencillas, pero no necesariamente fáciles de responder.

¿Para qué queremos utilizar inteligencia artificial?

¿Qué dolor concreto queremos resolver?

¿Qué ventaja puede darnos frente a nuestros competidores?

¿Puede ayudarnos a mejorar la rentabilidad o acelerar el crecimiento?

¿Cómo puede apoyar una estrategia realmente diferenciada?

Después de responderlas, vendrán otras conversaciones: qué datos tenemos, qué tan confiables son, qué procesos queremos transformar, qué personas necesitamos preparar, qué riesgos debemos gestionar, qué arquitectura necesitamos y qué nivel de gobierno corresponde.

La tecnología debería llegar después de esa conversación, no antes.

Una última reflexión

Durante años hemos hablado de transformación digital, después hablamos de automatización, ahora hablamos de IA, pero hay algo que permanece.

Las organizaciones siguen necesitando estrategia, gobierno, datos confiables, procesos bien definidos, arquitectura y liderazgo, y siguen necesitando personas capaces de asumir responsabilidad cuando no existe una respuesta evidente.

Por eso, una estrategia de IA no debería comenzar con: “¿qué IA podemos comprar?”

Debería comenzar con: “¿qué queremos transformar y qué inteligencia necesitamos para hacerlo mejor?”

Ahí comienza el Gobierno de IA. Y también comienza una conversación mucho más importante para un CEO: ¿estamos utilizando la inteligencia artificial para transformar nuestro negocio o simplemente estamos incorporando inteligencia a nuestros procesos?

La diferencia puede parecer pequeña. Pero puede terminar definiendo quién lidera el futuro y quién simplemente intenta alcanzarlo.