La gobernanza de la inteligencia artificial ¿Un problema de IT?

Hablar de gobernanza de la inteligencia artificial se ha convertido, en muchas organizaciones, en una conversación técnica del área de IT, parece lo lógico. El modelo que la empresa debe usar, dónde deberíamos alojarlo, cómo integrarlo con los sistemas existentes o qué proveedor ofrece mayores garantías de seguridad. Todo eso es muy necesario, por supuesto, pero reducir la gobernanza de la IA a una responsabilidad de tecnología puede ser un gran error de enfoque y además puede salir caro.

La IA no es solo una nueva herramienta informática, es un enorme cambio de paradigma, así debemos acogerlo. Puede influir en decisiones que afectan a personas, a nuestros clientes, trabajadores, ciudadanos, proveedores y socios comerciales. Puede modificar procesos de selección de personal, concesión de crédito, detección de fraude, atención al cliente, evaluación de rendimiento, salud, educación o seguridad, las opciones son tremendas.

Cuando esto ocurre, los riesgos más preocupantes puede que no sean los técnicos o de ciberseguridad, debemos atender los impactos jurídicos, éticos, sociales y, en ocasiones relacionados con derechos fundamentales.

Por eso, una gobernanza efectiva de la IA debe integrarse en el marco general de GRC de la organización, es una conversación de alta dirección. IT es un actor esencial, pero no puede ni debe ser el propietario único del riesgo.

El error de delegarlo todo en IT

Es comprensible que muchas empresas hayan colocado inicialmente la IA bajo la responsabilidad de los equipos de tecnología, innovación o transformación digital. Son quienes conocen las arquitecturas, los proveedores cloud, los modelos, las APIs, los datos y las capacidades técnicas del sistema. Sin ellos no hay despliegue seguro ni control real por parte de la organización.

Sin embargo, el conocimiento técnico no resuelve por sí mismo preguntas decisivas e imprescindibles.

¿Debe la organización utilizar IA para esta finalidad concreta?

¿Qué impacto puede tener esa decisión sobre las personas afectadas?

¿Qué datos son legítimos, necesarios y adecuados para entrenar o alimentar el sistema?

¿Quién responde si el resultado es incorrecto, discriminatorio o perjudicial?

¿Cuándo debe intervenir una persona y con qué capacidad efectiva para corregir o detener una decisión?

¿Qué nivel de explicabilidad necesita el sistema según su contexto de uso?

¿Qué obligaciones contractuales deben exigirse al proveedor?

¿Cómo se informa a clientes, empleados o usuarios de que están interactuando con IA?

¿Qué ocurre cuando el modelo cambia, pierde precisión o comienza a generar resultados inesperados?

Ninguna de estas preguntas pertenece exclusivamente a IT. Algunas corresponden a la dirección, otras a compliance, legal, privacidad o recursos humanos. La gobernanza de la IA empieza precisamente cuando la organización reconoce que una decisión automatizada o asistida por IA no es neutral por el hecho de estar técnicamente bien construida.

Una IA puede funcionar según sus especificaciones y que el caso de uso sea inadecuado, de alto riesgo o desproporcionado. Puede ser precisa en sus respuestas, pero injusta o arrastrar sesgos en las decisiones.

La IA debe abordarse desde alta dirección.

La forma más madura de abordar la IA consiste en tratarla como lo que es, una potente herramienta empresarial con riesgos propios, pero conectada a los riesgos ya conocidos por la organización.

No se trata de crear una carga de obligaciones paralela ni de convertir cada hito en un proyecto interminable. El objetivo debe ser incorporar la IA a las estructuras que ya deberían existir para tomar decisiones responsables, políticas, roles, controles, evaluaciones de riesgo, supervisión, auditoría, formación y rendición de cuentas.

Un marco de GRC aplicado a la IA permite ordenar responsabilidades y tener una necesaria hoja de ruta. La gobernanza define quién decide, ejecuta, supervisa y quién responde ante un posible incumplimiento. Una empresa necesita saber qué órgano aprueba los usos relevantes de IA, qué casos requieren una evaluación reforzada, quién acepta el riesgo residual y cómo se documentan las decisiones. Sin esa sólida estructura, la organización depende de iniciativas dispersas o de criterios personales, con mayor o menor acierto.

La gestión de riesgos es realmente una toma de decisión empresarial, así debemos plantearla. Debemos tener en mente riesgos de sesgo, problemas de calidad en los datos, fugas de información confidencial, ciberataques, dependencia excesiva de un proveedor, alucinaciones, decisiones erróneas, falta de transparencia o uso indebido por parte de empleados. También debe analizar los daños potenciales para individuos, colectivos vulnerables, continuidad de negocio, patrimonio, reputación y cumplimiento normativo.

En España y la Unión Europea, el Reglamento de IA tiene una relevancia evidente, pero una visión limitada a Europa sería insuficiente para organizaciones que operan en Iberoamérica, prestan servicios digitales transfronterizos o utilizan modelos desarrollados fuera de su jurisdicción.

La gobernanza de la IA debe contemplar normas locales de cada país en el que se opere. El mapa regulatorio es desigual, pero los riesgos empresariales existen incluso donde la regulación todavía está arrancando o es emergente.

El debate global sobre IA precisa de amplitud de miras, Naciones Unidas ha advertido sobre los sistemas de IA y como plantean desafíos que atraviesan dimensiones políticas, económicas, sociales, éticas, de derechos humanos, técnicas e incluso ambientales.

Un modelo práctico.

Una buena gobernanza significa que cada área interviene cuando aporta una visión necesaria y que la responsabilidad final está definida, todos saben que hacer y como hacerlo. Un comité operativo sobre IA suele ser una gran opción, con perfiles interdisciplinares y capacidad de reporte directo a dirección.

El error habitual consiste en pensar que basta con contratar un proveedor reconocido, activar una licencia y confiar en que la herramienta ya cumple. Pero la responsabilidad por el uso concreto no desaparece porque el sistema proceda de un tercero validado. El proveedor puede aportar documentación, controles técnicos o certificaciones, la organización usuaria sigue siendo responsable de decidir para qué lo usa, con qué datos, bajo qué supervisión y con qué consecuencias.

España e Iberoamérica.

Por delante muchos retos y desafíos, la solución no pasa por copiar de forma mecánica el modelo europeo ni esperar a que cada país apruebe una norma específica. La mejor estrategia es construir capacidades organizativas que permitan adaptarse a diferentes marcos regulatorios sin empezar desde cero cada vez.

La Unión Europea ofrece un referente relevante por su enfoque basado en riesgos y por el peso que tendrán sus reglas en cadenas internacionales de suministro. Sin embargo, la región iberoamericana tiene realidades propias, distinta madurez institucional, niveles desiguales de digitalización, marcos heterogéneos de protección de datos y una fuerte dependencia de proveedores tecnológicos globales. Esto exige una gobernanza proporcional, comenzando por tener visibilidad de las herramientas que se usan, los casos de uso aprobados y el análisis de riesgo sobre los mismos. Una gobernanza razonable permite experimentar con límites claros, priorizar casos de uso de valor, identificar riesgos antes de que escalen y generar confianza entre clientes, empleados y ciudadanía.

Conclusión

IT debe estar en el centro de la conversación, porque la IA necesita arquitectura, seguridad, calidad de datos y capacidad de monitorización. Pero no debe estar solo, desde luego, es un asunto de varios actores implicados.

La IA afecta al negocio y a las personas, por tanto, su gobierno debe ser corporativo y con una visión 360, ese es el reto del profesional del GRC ante la gobernanza de la IA, trasladar el modelo y la visión hasta el órgano de decisión.

Fuentes:

• Organización Internacional de Normalización y Comisión Electrotécnica Internacional. (2023). Tecnología de la información—Inteligencia artificial—Sistema de gestión (ISO/IEC 42001:2023). ISO.
• Organización para la Cooperación y el Desarrollo Económicos. (2024). Panorama general de los principios de IA de la OCDE . OCDE.
• Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura. (2021). Recomendación sobre la ética de la inteligencia artificial . UNESCO.
• Instituto Nacional de Estándares y Tecnología. (2023). Marco de gestión de riesgos de inteligencia artificial (AI RMF 1.0) (NIST AI 100-1). Departamento de Comercio de los Estados Unidos.
• Consejo de Europa. (2024). Convenio Marco sobre Inteligencia Artificial y Derechos Humanos, Democracia y Estado de Derecho . Consejo de Europa.
• Naciones Unidas. (2024). Gobernanza de la inteligencia artificial en beneficio de la humanidad: Informe final . Naciones Unidas.