Cómo montar un comité de gobernanza de IA sin frenar la innovación

Un comité de gobernanza de IA que pone todas las solicitudes en la misma cola y se reúne una vez al mes obtiene un resultado previsible: la gente empieza a usar IA sin pedir permiso. El comité que funciona decide rápido lo sencillo y dedica su tiempo solo a lo que puede hacer daño a alguien. Ese diseño cabe en una empresa mediana, con las personas que ya tiene.

El problema que el comité tiene que resolver

El uso de IA dentro de las empresas ya existe, aprobado o no. El Work Trend Index 2024, encuesta de Microsoft y LinkedIn a 31.000 trabajadores en 31 países, encontró que el 78% de quienes usan IA en el trabajo llevan su propia herramienta. En las pequeñas y medianas empresas, el 80%. Cuando la gobernanza es lenta, esa cifra no baja. Solo sale de su campo de visión.

Por eso el objetivo de un comité de IA no es aprobar proyectos. Es ofrecer un camino oficial más rápido que el atajo y reservar el escrutinio intenso para los pocos casos que lo merecen.

Por qué formalizarlo ahora

Tres referencias ya dan forma a lo que se espera de una gobernanza de IA, y ninguna exige burocracia:

• El NIST AI Risk Management Framework, publicado en enero de 2023, organiza la gestión del riesgo en cuatro funciones (Govern, Map, Measure, Manage). La función Govern trata precisamente de roles, responsabilidades y políticas. En julio de 2024 el NIST publicó el perfil para IA generativa (NIST AI 600-1), que enumera riesgos específicos como la confabulación, la privacidad de los datos y la seguridad de la información.
• La ISO/IEC 42001:2023 es la norma de sistema de gestión de IA. Exige política, roles definidos, evaluación de impacto y control del ciclo de vida, con el mismo formato que otras normas ISO de gestión. Escribimos sobre ella en ISO 42001 como medida de madurez.
• Si vende a la Unión Europea, partes del AI Act ya se aplican. Tras el Digital Omnibus, publicado en julio de 2026, las obligaciones para los sistemas de alto riesgo del Anexo III, como crédito y selección de personal, pasaron al 2 de diciembre de 2027. Aplazado, no cancelado.

En Brasil, el proyecto de ley de IA PL 2338/2023 sigue a la espera de dictamen en la Cámara de Diputados, sin fecha de votación. Pero el modelo que propone se basa en el riesgo, como el europeo y el del NIST. Un comité que ya clasifica usos por riesgo necesitará ajustes, no una reconstrucción, cuando llegue la ley.

El diseño: tres niveles de riesgo

La decisión más importante del comité es también la más simple: separar los usos en niveles, con criterios escritos que los propios equipos puedan aplicar. Una versión que funciona para la mayoría de las empresas medianas:

Nivel 1, uso libre con regla. Herramienta oficial, sin datos personales de clientes, sin decisiones sobre personas, con una persona revisando el resultado antes de que salga de la empresa. Ejemplos: borradores de correo, resúmenes de informes públicos, apoyo a la programación en un repositorio sin secretos. No pasa por el comité. Basta la política de uso.

Nivel 2, registro y comprobación. Usa datos internos o personales, pero la IA solo sugiere y una persona decide. Ejemplos: sugerencia de respuestas en atención al cliente, triaje de tickets, asistente con RAG sobre documentos internos. El equipo rellena un formulario de una página y los responsables de datos y de seguridad dan su visto bueno de forma asíncrona. Plazo corto y definido.

Nivel 3, análisis completo. La IA decide o actúa sobre personas o dinero sin revisión humana caso a caso, usa datos sensibles o habla con el cliente en nombre de la empresa. Ejemplos: concesión de crédito, clasificación de candidatos, un agente que emite reembolsos, un chatbot público. Aquí el comité se reúne, pide una evaluación de impacto, define métricas de seguimiento y nombra a quién puede apagar el sistema.

Microsoft aplica una lógica similar a una escala mucho mayor. Su Responsible AI Standard v2, publicado en 2022, define los "usos sensibles" (impacto en la situación jurídica o en oportunidades de vida, como crédito, empleo y salud; riesgo de daño físico o psicológico; amenaza a los derechos humanos) y exige que esos casos se comuniquen a la Office of Responsible AI para una revisión adicional. El resto sigue el estándar interno.

El chatbot público está en el nivel 3 por un motivo concreto. En 2024, un tribunal canadiense condenó a Air Canada a pagar la diferencia de tarifa a un pasajero que siguió una información errónea de su chatbot. Se rechazó el argumento de que el chatbot era una entidad separada. Lo que el agente le dice al cliente, lo dijo la empresa.

Quién se sienta a la mesa

Un comité solo de asesoría jurídica se convierte en veto. Uno solo de tecnología ignora el riesgo regulatorio. Las decisiones del nivel 3 mezclan ambos con el impacto en el negocio, así que la mesa necesita:

• Un responsable de negocio con poder de decisión, que responda por el resultado del caso de uso. Sin él, el comité se vuelve consultivo.
• Tecnología o datos, para decir qué es viable y cuánto costará el seguimiento.
• El encargado de protección de datos o la asesoría jurídica.
• Seguridad de la información, para los riesgos de acceso, fuga y prompt injection.
• Cuando exista, riesgos o cumplimiento, sobre todo en empresas reguladas.

Pocas personas, con suplentes designados. Si la reunión depende de la agenda de una persona concreta, el comité se retrasará.

Reglas de funcionamiento que evitan el cuello de botella

1. Un plazo de respuesta escrito por nivel. Por ejemplo: nivel 2 respondido en un máximo de cinco días hábiles; nivel 3 con primera respuesta en diez. Si el plazo vence sin respuesta, la solicitud sube al patrocinador ejecutivo en lugar de quedarse parada.
2. Un formulario breve. Finalidad, datos usados, quién decide, qué pasa si la IA se equivoca, cómo apagarla. Si ocupa más de una página, la gente lo rellenará mal.
3. Un inventario único de usos de IA aprobados, con responsable, nivel y fecha de la próxima revisión. Es la misma lista que pedirá un regulador, un auditor o un cliente grande.
4. Un registro de decisiones. Cada aprobación o rechazo con una justificación de dos líneas. En seis meses se convierte en la jurisprudencia interna que permite a los equipos autoclasificarse.
5. Revisiones por evento, no solo por calendario: cambio de modelo o de proveedor, cambio de finalidad, incidente, reclamación de un cliente.

Una semana de ejemplo

Una empresa de servicios con unos 400 empleados recibe tres solicitudes en la misma semana.

Marketing quiere usar IA para generar variantes de anuncios. Nivel 1: herramienta oficial, sin datos personales, revisión humana antes de publicar. Se resuelve con la política, sin reunión.

Atención al cliente quiere un asistente que sugiera respuestas a partir del historial del cliente. Nivel 2: hay datos personales, pero el agente humano decide qué se envía. El responsable de datos comprueba la base legal y la retención, seguridad revisa al proveedor y la aprobación llega en días.

Finanzas quiere un agente que apruebe automáticamente renegociaciones de deuda hasta cierto importe. Nivel 3: una decisión automatizada que afecta los intereses del cliente, lo que activa el derecho de revisión del artículo 20 de la LGPD brasileña. El comité pide criterios documentados, una vía de impugnación, el registro de cada decisión y un piloto limitado con revisión por muestreo. El proyecto no se rechaza. Empieza más pequeño y con controles.

Señales de que el comité se ha convertido en un cuello de botella

• La cola de solicitudes crece cada mes y sube el tiempo medio de respuesta.
• Llegan al comité solicitudes de nivel 1 porque nadie confía en los criterios.
• El comité nunca ha rechazado ni condicionado nada, lo que indica que no está mirando de verdad.
• Usted descubre usos relevantes de IA por casualidad, en una conversación de pasillo o en el extracto de una tarjeta.

Los primeros 60 días

1. Semanas 1 y 2: inventario de lo que ya está en uso, sin sanciones. Pregunte a los responsables y revise las facturas de software.
2. Semana 3: redacte los criterios de los tres niveles con ejemplos de su propia empresa y publique la política de uso del nivel 1.
3. Semana 4: designe miembros y suplentes, fije los plazos y el formulario.
4. Semanas 5 a 8: tramite solicitudes reales, registre cada decisión y ajuste los criterios donde la misma duda se repita.
5. Día 60: revise qué se atascó, qué pasó demasiado rápido y qué sigue fuera del inventario.

Próximo paso

Si hoy su empresa no tiene una lista de los usos de IA en producción, el comité empieza por ahí, no por su primera reunión. Construir esos criterios y acompañar las decisiones semana a semana es el trabajo de Governance As a Service. Y si su siguiente pregunta es qué registrar en cada decisión de un modelo, lea auditoría de modelos de IA antes de que pregunte el regulador.