← Volver al blog Gobierno de TI

Gobernanza de IA: qué decide y quién responde [2026]

Una empresa con gobernanza de inteligencia artificial puede contestar seis preguntas en menos de un día: qué IA se usa aquí, quién la autorizó, sobre qué decisiones influye, qué datos entran en ella, quién revisa sus salidas antes de que salgan y a quién se avisa cuando falla. Una empresa sin gobernanza no puede contestar ninguna, y lo descubre el día que un cliente, un abogado o un incidente se las hace.

Esta guía no define el término: reparte el trabajo. Qué decisiones hay que tomar, quién las toma, qué se documenta y qué se mide — con el inventario de casos de uso, la clasificación por riesgo, las puertas de aprobación, los tres niveles de supervisión humana y un plan de 90 días que se puede empezar el lunes sin comprar nada.

Qué es gobernar la IA: las seis decisiones

Gobernar no es prohibir ni es «usar la IA con responsabilidad». Es que existan seis decisiones tomadas, con dueño y por escrito. Si falta una, lo que hay es entusiasmo o miedo, pero no gobierno:

1. Qué usos se permiten, cuáles se condicionan y cuáles se prohíben. Con nombre de herramienta y de proceso, no con principios.
2. Qué información puede entrar en una herramienta de IA y cuál no. Es la regla que más se incumple y la que más caro sale.
3. Quién autoriza un caso de uso nuevo y con qué evidencia: quién lo pide, quién lo evalúa, quién firma.
4. Qué decisiones no pueden quedar automatizadas y cuáles exigen revisión humana antes de salir.
5. Quién responde por cada sistema en operación: una persona con nombre, no un área.
6. Qué se hace cuando falla: cómo se reporta, quién lo atiende, a quién se avisa fuera de la empresa y qué se cambia después.

Las seis caben en dos páginas. El trabajo no está en redactarlas sino en que alguien con autoridad las decida y las sostenga cuando alguien las incumpla. Por eso la gobernanza es de dirección y no de sistemas: es reparto de poder y de responsabilidad, no configuración de herramientas.

Qué le pasa a la empresa que no la tiene

No se cae nada de golpe. Lo que ocurre es una acumulación silenciosa, y siempre en el mismo orden:

• Aparece la IA en la sombra. La gente usa lo que le sirve con su cuenta personal. No es indisciplina: es que el trabajo salga. Pero la empresa pierde de vista qué información salió y a dónde.
• La información confidencial sale sin que nadie lo registre. Contratos, listas de precios, expedientes de personal, código propietario. No hay incidente porque nadie se enteró, que es distinto de que no haya pasado.
• Se cuela contenido generado sin revisar. Una cotización con un dato inventado, una respuesta a un cliente con una condición que no existe, un informe con una cifra que nadie verificó.
• Llega el cuestionario del cliente. Los cuestionarios de proveedor ya traen apartado de IA. Contestar con buenas intenciones funciona hasta que piden evidencia, y ahí la venta se frena.
• Se dependen procesos de una herramienta que nadie evaluó. Cuando sube de precio, cambia de condiciones o cierra, el proceso se queda sin sustituto.
• El incidente encuentra a la empresa sin plan. Y la conversación posterior no es técnica: es quién autorizó esto.

El costo real no es la multa hipotética: es la decisión que no se pudo defender. Cuando un candidato pregunta por qué fue descartado o un cliente por qué su solicitud fue rechazada, la empresa que no gobierna no tiene respuesta, y esa es la conversación cara.

Quién decide qué: los cuatro papeles

La gobernanza se cae cuando todo lo decide «el comité». Funciona cuando el trabajo está repartido en cuatro papeles, y tres de ellos no necesitan reunión:

En una empresa de cincuenta personas esto no significa crear cuatro estructuras nuevas. Significa nombrar a cuatro personas que ya están, escribir qué decide cada una y poner una reunión al mes en el calendario. El sobrediseño —comités de doce personas, subcomités técnicos, matrices de escalamiento de cinco niveles— es la forma más común de que la gobernanza muera de peso propio antes del segundo trimestre.

El inventario de casos de uso, la pieza que casi nadie tiene

Es el documento que sostiene todo lo demás y el que ninguna empresa tiene cuando llegamos. Sin él no se puede clasificar por riesgo, ni decidir qué revisar, ni contestar un cuestionario de cliente, ni definir el alcance de un sistema de gestión.

Un inventario útil tiene una línea por caso de uso —no por herramienta— con nueve columnas:

1. Qué hace, en una frase de operación: «clasifica las solicitudes entrantes por urgencia».
2. Quién lo usa: área y número aproximado de personas.
3. Con qué herramienta o proveedor, y bajo qué contrato o plan.
4. Qué datos entran, y si incluyen datos personales, información de cliente o información clasificada.
5. Sobre qué decisión influye, y si esa decisión afecta a una persona identificable.
6. Grado de automatización: sugiere, prepara para revisión, o decide y ejecuta.
7. Quién revisa la salida y en qué momento.
8. Clasificación de riesgo resultante.
9. Dueño, con nombre.

La forma de levantarlo importa tanto como el formato. Preguntarle solo al área de sistemas produce un inventario optimista: la IA entra por comercial, por recursos humanos y por marketing, no por el servidor. Lo que funciona es preguntar por área, con el mismo cuestionario, a quien ejecuta el proceso. En el diagnóstico de brecha ISO 27001 que entregamos en 2026 a una empresa de servicios usamos exactamente ese método —26 cuestionarios por área— y la lección se traslada entera: la brecha aparece cuando la misma pregunta se le hace a quien redactó el control y a quien lo ejecuta, no cuando se entrevista al responsable del sistema.

Un aviso sobre el tono: si el inventario se levanta como cacería, la gente oculta lo que usa y el documento nace falso. Se levanta declarando amnistía —lo que se declara hoy no se sanciona— porque el objetivo no es castigar, es ver.

Clasificar por riesgo y poner puertas de aprobación

No todos los casos de uso merecen el mismo control. Clasificar es lo que evita las dos fallas opuestas: tratar todo como crítico —y que nadie cumpla— o tratar todo como trivial —y que nadie mire—. Tres niveles bastan, y el criterio es sobre quién cae la decisión, no qué tan avanzada es la tecnología:

Y un cuarto cajón, el que demuestra que el gobierno existe: los usos que no se permiten. El criterio de reclasificación también se escribe: cualquier cambio de herramienta, de datos o de grado de automatización obliga a revisar el nivel. Un caso de uso «bajo» al que un día se le empieza a dar datos de clientes ya no es bajo, y sin regla de reclasificación nadie se da cuenta.

Supervisión humana: tres niveles y cuándo aplica cada uno

«Revisión humana» es la frase más repetida y la más vacía de las políticas de IA. Sin precisar el nivel, cada quien entiende una cosa distinta y en la práctica nadie revisa nada. Tres niveles, con el criterio de cuándo usar cada uno:

• Humano decide, IA sugiere. El sistema propone y una persona elige. Es el nivel que corresponde a toda decisión sobre personas y a todo lo que tenga consecuencia irreversible.
• Humano valida antes de ejecutar. El sistema prepara la acción completa y una persona la aprueba. Sirve para volumen medio: respuestas a clientes, cotizaciones, publicaciones, cambios de configuración.
• Humano audita después, por muestreo. El sistema ejecuta y una persona revisa una muestra periódica. Solo es aceptable en volumen alto con consecuencia baja y reversible: clasificaciones internas, etiquetado, priorización de cola.

Dos condiciones hacen que la supervisión sea real y no decorativa. La primera: el revisor tiene que poder rechazar sin fricción —si rechazar implica pedir permiso o retrasar una entrega, no va a rechazar—. La segunda: se registra cuántas salidas se rechazaron. Un control de revisión humana que lleva seis meses con cero rechazos no está funcionando; está dando su firma.

Escribir lo prohibido: la parte con dientes

Una gobernanza que solo dice lo que se puede hacer no gobierna. La lista de lo prohibido es corta, se decide en dirección y se escribe con el proceso, no con adjetivos. Ejemplos de prohibiciones que valen porque se pueden verificar:

• Introducir datos personales de empleados, candidatos o clientes en herramientas que no estén en la lista de aprobadas y contratadas por la empresa.
• Automatizar por completo el descarte de candidatos o la terminación de una relación laboral.
• Publicar contenido generado como si fuera la opinión verificada de un especialista de la empresa sin revisión firmada.
• Usar salidas de IA como fundamento único de una decisión con efecto legal o económico para un tercero.
• Conectar una herramienta de IA a un sistema de la empresa —correo, repositorio, base de datos— sin alta en el inventario y sin dueño.

Cada prohibición necesita dos cosas más para no ser decorativa: una consecuencia declarada —y aplicable con el reglamento interior de trabajo, no inventada— y una alternativa. Prohibir la herramienta que la gente usa sin ofrecer una aprobada garantiza que siga usándose, ahora en secreto.

Qué se mide y cada cuánto

Sin números, la gobernanza se vuelve una reunión mensual sobre sensaciones. Seis indicadores bastan, todos se obtienen sin comprar herramientas:

1. Casos de uso en el inventario y cuántos dados de alta este trimestre. Si el número no se mueve, el inventario está muerto.
2. Casos de uso sin dueño nombrado. Meta: cero.
3. Casos de riesgo alto sin evaluación de impacto vigente. Meta: cero.
4. Tasa de rechazo en revisión humana. Un cero sostenido es una alerta, no un logro.
5. Incidentes relacionados con IA reportados y tiempo hasta su cierre.
6. Cobertura de formación: qué porcentaje del personal que usa IA ha recibido la formación vigente.

Cadencia: el inventario se revisa cada trimestre, los indicadores se miran cada mes en el comité, y la dirección revisa el conjunto al menos dos veces al año. Es la misma lógica de cualquier sistema de gestión que funcione: si nadie mira los números, el sistema no está operando, está archivado.

Marcos de referencia, sin comprar ninguno todavía

Cuando el gobierno ya opera y hace falta demostrarlo hacia fuera, hay tres referencias que conviene conocer —y un orden sensato para adoptarlas—:

• ISO/IEC 42001:2023, la norma certificable del sistema de gestión de IA: cláusulas 4 a 10 y 38 controles en 9 objetivos. Es la ruta si un cliente va a pedir certificado. Está desarrollada en la guía de ISO 42001.
• El marco de gestión de riesgos de IA del NIST, organizado en cuatro funciones —gobernar, mapear, medir y gestionar—. No es certificable y es voluntario, lo que lo hace un buen esqueleto para empezar sin comprometerse a una auditoría.
• El reglamento europeo de IA, Reglamento (UE) 2024/1689, que clasifica sistemas por nivel de riesgo y escalona obligaciones. Relevante si vendes a Europa o si tu cliente lo hace; su lógica de clasificación por riesgo es útil aunque no te aplique.
• ISO/IEC 38507, que traduce las implicaciones del uso de IA al lenguaje de un consejo de administración, y encaja con lo que ya se hace en gobierno de TI.

El orden que recomendamos: primero inventario y política, después clasificación y puertas, después evidencia acumulada, y solo entonces decidir si se va a por un sistema certificable. Empezar por la norma sin tener el inventario produce un proyecto que documenta una empresa imaginaria.

7 errores que vacían la gobernanza

1. Publicar una política sin inventario. Regula usos que nadie tiene y deja fuera los que sí existen. Es el error número uno y el más frecuente.
2. Prohibir sin ofrecer alternativa. El uso no desaparece: se esconde, y la empresa pierde la poca visibilidad que tenía.
3. Un comité sin dueños de caso de uso. El comité aprueba y luego nadie responde por la operación diaria. El sistema se gobierna en la reunión y se descontrola el resto del mes.
4. Confundir gobernanza con seguridad de la información. Cifrar y controlar accesos no resuelve el sesgo, la explicabilidad ni el efecto de una decisión automatizada sobre una persona.
5. Revisión humana sin tiempo asignado. Cien salidas al día y un revisor sin holgura produce aprobación automática con firma humana.
6. No tocar los contratos. Lo que puede hacer el proveedor con tus datos, si los usa para entrenar, dónde los aloja y qué pasa al terminar se pelea en el contrato. Compras y jurídico son parte de la gobernanza, no espectadores.
7. Gobernar solo lo que se compró. La IA que viene incluida en el CRM, en la suite ofimática o en la herramienta de soporte también toma decisiones. Se inventaría igual.

Los primeros 90 días

Un plan que una empresa de entre 30 y 150 personas puede ejecutar sin presupuesto nuevo:

Al final de esos 90 días la empresa puede contestar las seis preguntas del principio con evidencia. Eso, y no un certificado, es lo que un cliente corporativo pide primero.

Preguntas frecuentes

Conclusión

La gobernanza de IA no empieza con una política ni con una norma: empieza con ir a mirar qué se está usando. El inventario es el primer acto de gobierno porque es el único que cambia lo que la empresa sabe de sí misma; todo lo demás —clasificación, puertas, supervisión, métricas— se deduce de él.

Si vas a arrancar, tres decisiones ordenan el resto: levanta el inventario con amnistía antes de escribir una línea de política, nombra un dueño con nombre y apellido por cada caso de uso, y escribe al menos tres usos prohibidos con su consecuencia y su alternativa. Las tres se toman en el primer mes y separan a la empresa que gobierna de la que solo publicó un documento.