La gobernanza de IA es el conjunto de reglas, roles y controles que define cómo la empresa elige, usa y monitoriza sistemas de IA. Existe para que las decisiones sobre modelos, datos y proveedores sigan un criterio único, documentado y auditable. Implementarla empieza con inventario, dueño y política mínima, no con un comité grande ni con una herramienta.
Qué cubre la gobernanza de IA, y qué no cubre
La gobernanza de IA responde a cuatro preguntas: qué sistemas de IA usa la empresa, quién decide sobre ellos, con qué reglas y cómo se demuestra que las reglas se cumplieron. Eso incluye el modelo de machine learning que lleva cinco años corriendo en crédito, el asistente de IA generativa que marketing contrató por suscripción y el agente que el equipo de TI está construyendo.
No es la política de privacidad, aunque depende de ella. No es seguridad de la información, aunque usa los mismos controles de acceso. Y no es un comité que aprueba o veta proyectos. El comité es una de las formas de operar la gobernanza, no la gobernanza en sí. Ya escribimos sobre cómo montar un comité de gobernanza de IA sin frenar la innovación.
¿Por qué importa ahora la gobernanza de IA?
Tres fuerzas empujan el tema al mismo tiempo.
Regulación brasileña. La LGPD ya se aplica a cualquier sistema de IA que trate datos personales, y la mayoría de los casos de uso corporativos los trata: atención al cliente, crédito, selección de personal, marketing. Detallamos las implicaciones en LGPD e IA generativa en las empresas brasileñas, y la forma en que la propia Cortex IQ trata los datos personales está en la página de LGPD.
Norma internacional. La ISO/IEC 42001 es la norma de sistema de gestión de IA. No es obligatoria, pero se está convirtiendo en el lenguaje común entre empresa, auditor y gran cliente. Cubrimos lo que exige en ISO 42001 y madurez de IA.
Regulación europea como contexto. El AI Act de la Unión Europea entró en vigor el 1 de agosto de 2024, y el grueso de las obligaciones empezó a aplicarse el 2 de agosto de 2026, con los sistemas de alto riesgo del Anexo III previstos para el 2 de diciembre de 2027, según el cronograma de implementación del AI Act. Las empresas brasileñas que venden a Europa, o que son proveedoras de quien vende, ya reciben cuestionarios sobre esto.
Además de la regulación, existe el motivo operativo: sin un criterio único, cada área elige herramienta, modelo y proveedor a su manera, y nadie sabe cuántos sistemas de IA tiene realmente la empresa. Es el escenario más común que encontramos.
¿Cuáles son los pilares de la gobernanza de IA?
Seis pilares cubren lo esencial. Para cada uno, el primer artefacto es sencillo de producir y ya cambia el nivel de control. La última columna indica en qué semana del plan de 90 días descrito más abajo suele nacer cada artefacto.
| Pilar | Qué cubre | Primer artefacto | Semana del plan de 90 días |
|---|---|---|---|
| Inventario y clasificación de riesgo | Qué sistemas existen, qué deciden y sobre quién | Hoja de cálculo con sistema, dueño, dato usado y nivel de riesgo | Semanas 1 a 3 |
| Roles y decisión | Quién aprueba, quién opera, quién responde | Matriz de responsabilidad por sistema | Semanas 3 a 4 |
| Datos y privacidad | Base legal, minimización, retención, dato sensible | Registro de tratamiento por caso de uso, alineado con la LGPD | Semanas 5 a 7 |
| Evaluación y monitorización de modelos | Precisión, sesgo, deriva, incidentes | Ficha de evaluación con baseline y umbral de alerta | Semanas 6 a 9 |
| Proveedores y modelos de terceros | Contratos, uso de datos por la plataforma, dependencia | Checklist de due diligence de proveedor de IA | Semanas 7 a 9 |
| Transparencia y supervisión humana | Cuándo avisar al usuario, cuándo revisa un humano | Regla escrita de escalada humana por sistema | Semanas 9 a 12 |
El pilar de evaluación de modelos es el que más empresas se saltan, y el que más pregunta el regulador. Detallamos cómo hacerlo en auditoría de modelos de IA antes del regulador.
¿Cómo implementar la gobernanza de IA en 90 días?
El error clásico es empezar por la política completa. En 90 días se puede salir de cero y tener una gobernanza que funciona, si el orden es ver, decidir y operar.
Días 1 a 30: ver
- Levantar todos los sistemas de IA en uso, incluidas las suscripciones de SaaS con IA integrada y las hojas de cálculo con modelo. La lista siempre es más larga de lo que la dirección imagina.
- Clasificar cada uno por riesgo: qué decisión toma, sobre quién, con qué dato y qué pasa si se equivoca.
- Nombrar un dueño por sistema. Una persona, no un área.
- Registrar los incidentes conocidos de los últimos meses. Respuesta errónea de chatbot, dato personal pegado en una herramienta externa, modelo que nadie sabe reentrenar.
Días 31 a 60: decidir
- Escribir la política mínima, de dos a cuatro páginas: qué está permitido, qué exige aprobación, qué está prohibido y quién aprueba.
- Definir el flujo de aprobación de un nuevo caso de uso, con plazo de respuesta. Si el flujo tarda un mes, las áreas lo van a esquivar.
- Cerrar el registro de tratamiento de datos personales de los casos de riesgo alto, junto con el encargado de datos.
- Montar la ficha de evaluación de modelo: baseline, métrica, umbral de alerta y periodicidad de revisión.
Días 61 a 90: operar
- Correr el flujo de aprobación con dos o tres casos reales y ajustar lo que se atasque.
- Aplicar el checklist de proveedor a los contratos de IA que vencen en los próximos meses.
- Escribir la regla de escalada humana para cada sistema que habla con clientes o toma decisiones sobre personas.
- Establecer la cadencia: una revisión semanal corta de las decisiones abiertas y una revisión trimestral del inventario.
Al final de los 90 días, la empresa tiene inventario, dueño, política, flujo y cadencia. No tiene certificación, y no necesita tenerla. Tiene lo que la ISO/IEC 42001 llama sistema de gestión en estado inicial, y lo que el regulador llama diligencia demostrable.
¿Qué errores frenan más la gobernanza de IA?
- Empezar por la herramienta. Una plataforma de gobernanza sin inventario es un dashboard vacío. Una hoja de cálculo con dueño resuelve los primeros seis meses.
- Un comité que solo dice no. Cuando aprobar es lento y denegar es rápido, la gobernanza se vuelve sinónimo de bloqueo y las áreas empiezan a esconder proyectos.
- Una política de cuarenta páginas. Nadie la lee. Una regla que no cabe en una reunión de treinta minutos no se cumple.
- Gobernar solo la IA generativa. Los modelos de crédito, churn y fraude que llevan años corriendo suelen tener más riesgo y menos control que el chatbot nuevo.
- Sin baseline, todo es crítico. Si todos los sistemas son de alto riesgo, ninguno lo es. Clasificar bien es lo que permite ser riguroso donde importa y ligero donde no.
- Dueño colectivo. "El área de datos es responsable" significa que nadie lo es. Nombre y apellido por sistema.
Siguiente paso
Si su empresa creció más rápido que sus criterios de decisión sobre tecnología y proveedores, Governance As a Service es un acompañamiento semanal para estandarizar esas decisiones antes de que el crecimiento se convierta en desorden. Empieza con un diagnóstico de gobernanza y termina con un proceso documentado que la siguiente persona contratada puede seguir.