Qué es la gobernanza de IA y qué marcos usar: NIST, OCDE e ISO/IEC 42001

¿Quién responde si una herramienta de IA que usa su equipo toma una mala decisión? Gobernar la IA es definir quién decide, con qué criterios y con qué evidencia. Esta guía resume tres referencias públicas para hacerlo y lo que debe decidir la gerencia.

Una aclaración: lo que decimos de cada marco viene de las páginas oficiales del NIST, de la OCDE y de la IEC (citadas al final, consultadas en noviembre de 2026). No pudimos abrir la página de la norma en iso.org (devolvió error 403), así que de ISO/IEC 42001 afirmamos solo lo que publica la IEC; el texto de la norma es de pago y no lo revisamos. Las recomendaciones para decidir son criterio de Cyrrus.

¿Qué es la gobernanza de IA?

En las fuentes que revisamos no encontramos una definición única, y no la inventamos. Lo que sí hacen los tres marcos es poner reglas de gestión alrededor del uso de IA: el NIST habla de gestionar riesgos para personas, organizaciones y sociedad; la OCDE, de promover una IA innovadora y confiable; ISO/IEC 42001, de un sistema de gestión dentro de la organización. En este artículo usamos «gobernanza de IA» en ese sentido amplio (criterio de Cyrrus).

¿Qué marco de gobierno de IA le conviene a su empresa?

Diseñamos el marco de Gobierno de IA de su organización: qué se puede automatizar, qué necesita supervisión humana y quién responde por cada decisión.

• Mapa de riesgo por caso de uso, no una política genérica
• Roles y responsables definidos entre negocio, TI y legal

Conocer Gobierno de IA

NIST AI RMF: un marco de riesgos de uso voluntario

El NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.) publicó la versión 1.0 de su AI Risk Management Framework el 26 de enero de 2023 (documento NIST.AI.100-1). Su página oficial dice que el marco es de uso voluntario, y el propio documento lo describe como voluntario, que preserva derechos, no específico de un sector y aplicable a cualquier caso de uso. La página también indica que la versión 1.0 se está revisando como parte del Plan de Acción de IA de la Casa Blanca, así que conviene confirmar cuál es la versión vigente.

El núcleo del marco tiene cuatro funciones, según el NIST: gobernar (govern), mapear (map), medir (measure) y gestionar (manage). Gobernar es una función transversal presente en toda la gestión de riesgos de IA; mapear establece el contexto para enmarcar los riesgos de un sistema; medir usa herramientas y métodos para analizar, evaluar y monitorear el riesgo; gestionar asigna recursos a los riesgos ya mapeados y medidos.

El documento enumera las características de una IA confiable: válida y fiable; segura; protegida y resiliente; responsable y transparente; explicable e interpretable; con privacidad reforzada; y justa, con los sesgos nocivos gestionados. El NIST también publicó un perfil para IA generativa (NIST AI 600-1, 26 de julio de 2024) y un Playbook complementario.

Principios de la OCDE: valores comunes para una IA confiable

Según la página de la OCDE, los principios se adoptaron en mayo de 2019 y se actualizaron en mayo de 2024. La OCDE los describe como el primer estándar intergubernamental sobre IA. Son cinco principios basados en valores: crecimiento inclusivo, desarrollo sostenible y bienestar; derechos humanos y valores democráticos, incluidas la equidad y la privacidad; transparencia y explicabilidad; robustez, seguridad y protección; y rendición de cuentas.

La OCDE lista además cinco recomendaciones para quienes diseñan política pública: invertir en investigación y desarrollo de IA, fomentar un ecosistema inclusivo, dar forma a un entorno de gobernanza interoperable, desarrollar capacidades humanas y preparar la transición laboral, y cooperar a nivel internacional. Para una empresa, el uso práctico de los principios es criterio de Cyrrus: fijar los valores que luego una política interna y un sistema de gestión convierten en reglas.

Antes de escalar la IA, defina sus límites

Ayudamos a su comité directivo a decidir qué delegar, qué supervisar y qué nunca automatizar — antes de que la adopción avance sin control.

• Comité de gobierno con negocio, TI, legal y seguridad
• Criterios claros para aprobar nuevos casos de uso de IA

Agendar conversación sobre Gobierno de IA

ISO/IEC 42001: una norma para gestionar la IA como sistema

La IEC publica ISO/IEC 42001:2023, «Information technology — Artificial intelligence — Management system», edición 1.0, del 18 de diciembre de 2023, de 51 páginas y a cargo del comité técnico ISO/IEC JTC 1/SC 42. Según su ficha, especifica requisitos y da orientación para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de IA dentro de una organización, y aplica a cualquier organización, sin importar su tamaño, tipo y naturaleza, que ofrezca o use productos o servicios que usan sistemas de IA.

Para auditar y certificar frente a ISO/IEC 42001 existe la norma ISO/IEC 42006, que según el organismo de normalización de Estonia (que cita a la IEC) fija requisitos adicionales para los organismos que auditan y certifican sistemas de gestión de IA. Ampliamos el tema en nuestra guía sobre ISO/IEC 42001.

Qué debe decidir la gerencia

Cuatro decisiones, de criterio de Cyrrus y no de las fuentes citadas. Primero, qué marco usará como referencia y para qué: gestionar riesgos (NIST), fijar valores (OCDE) o certificar un sistema de gestión (ISO/IEC 42001); pueden combinarse. Segundo, quién responde por la IA en la empresa. Tercero, qué evidencia guardará de cada decisión. Cuarto, cada cuánto revisará todo esto.

Para profundizar: qué es el gobierno de IA corporativo desde la mirada del CEO, qué regulaciones ya aplican y cómo evaluar herramientas de gobernanza.