Tu organización ya usa IA. La pregunta es: ¿puedes demostrar que está bajo control?
La IA no siempre entra a una empresa con un gran proyecto, presupuesto aprobado y comité de transformación. A veces entra con una actualización de software. O con una herramienta que un equipo empezó a utilizar porque resolvía un problema en minutos. También puede venir escondida dentro de una plataforma que la organización ya tenía contratada.
Así que probablemente tu organización ya usa más inteligencia artificial de la que aparece en sus proyectos oficiales.
La pregunta útil ya no es “¿usamos IA?”. Es otra: ¿podemos explicar dónde se usa, para qué, quién responde y cómo sabemos que está bajo control?
Usar IA no es lo mismo que gobernarla.
Una empresa puede tener pilotos interesantes, equipos capaces y buenas intenciones y, al mismo tiempo, una gobernanza inmadura. También puede publicar una política de IA y creer que ya resolvió el problema. La política ayuda, claro. Pero una política no asigna por sí sola responsabilidades, no evalúa riesgos y no demuestra que un control opera.
La gobernanza empieza cuando esas intenciones se convierten en decisiones repetibles. Quién puede aprobar un uso. Quién puede detenerlo. Qué datos se pueden utilizar. Qué riesgos requieren escalamiento. Qué evidencia debe conservarse. Y qué se revisa cuando algo cambia.
Una prueba sencilla: intenta reconstruir un caso de uso
Elige una herramienta de IA que ya esté en operación. No la más sofisticada; una real. Tal vez un asistente para redactar, una solución que clasifica solicitudes, un motor de recomendación o una función incorporada por un proveedor.
Ahora intenta seguir su historia. ¿Por qué empezó a utilizarse? ¿Quién lo decidió? ¿Qué información procesa? ¿Qué puede hacer y qué no debería hacer? ¿Quién revisa sus resultados? ¿Qué riesgos se evaluaron? ¿Qué ocurre si el proveedor cambia la funcionalidad?
Si las respuestas están repartidas entre correos, conversaciones y memoria informal, ya tienes una señal. No necesariamente significa que el uso sea inaceptable. Significa que la organización puede tener dificultades para demostrar cómo lo está gobernando.
Seis preguntas que suelen ordenar la conversación
Cuando una organización no sabe por dónde empezar, estas seis preguntas ayudan a bajar la gobernanza de IA del discurso a la operación:
Propósito y perímetro. ¿Para qué usamos esta IA y hasta dónde permitimos que actúe?
Responsabilidad. ¿Quién decide, quién opera, quién supervisa y quién responde?
Uso visible. ¿Sabemos dónde está la IA, de qué depende, qué datos usa y qué proveedor interviene?
Evaluación. ¿Qué riesgos e impactos se analizaron y quién aceptó el riesgo que quedó?
Barreras y controles. ¿Qué previene, detecta o corrige resultados no deseados?
Assurance y aprendizaje. ¿Qué evidencia demuestra que lo anterior funciona y qué hacemos con lo que aprendemos?
No todas las respuestas necesitan el mismo nivel de formalidad. Un asistente interno de bajo impacto probablemente no requiere la misma intensidad de control que un sistema que influye en decisiones sobre empleo, crédito, seguridad o atención a clientes. Esa es justamente una de las claves: la gobernanza debe ser proporcional al riesgo.
ISO/IEC 42001 ayuda a construir el sistema, no a llenar una carpeta
ISO/IEC 42001:2023 especifica los requisitos para un Sistema de Gestión de Inteligencia Artificial. En términos simples, ofrece una estructura para que la organización conecte liderazgo, políticas, objetivos, riesgos, responsabilidades, operación, seguimiento y mejora alrededor de la IA.
Eso es mucho más interesante que convertir la norma en una lista de documentos por producir. Si el sistema solo existe para pasar una auditoría, probablemente se notará muy rápido. La operación diaria encontrará atajos, los responsables dejarán de consultarlo y la evidencia aparecerá solo cuando alguien la pida.
Una gobernanza útil debería hacer lo contrario: facilitar decisiones. Por ejemplo, permitir que usos de bajo riesgo avancen con reglas claras y que los casos más sensibles escalen a una revisión adicional. La intención no es poner cinco comités delante de cada experimento. Es saber qué puede avanzar rápido y qué no debería desplegarse sin una decisión consciente.
La IA de terceros no elimina tu responsabilidad
Este punto suele generar confusión. “Nosotros no desarrollamos IA; usamos una solución de un proveedor”. Bien. Eso cambia algunas responsabilidades técnicas, pero no elimina la responsabilidad organizacional sobre el uso.
La empresa sigue decidiendo qué herramienta contrata, qué datos comparte, para qué procesos la utiliza, quién puede acceder, cómo valida los resultados y qué hace si el servicio cambia. En muchos casos, además, el proveedor puede introducir nuevas funcionalidades de IA antes de que la organización haya evaluado su impacto.
No desarrollar el modelo no significa transferir el riesgo al proveedor.
¿Qué significa esto para una organización latinoamericana?
Probablemente no necesite copiar la estructura de gobierno de una multinacional con veinte especialistas. Sí necesita claridad. Un inventario razonable de usos de IA. Responsables. Criterios de riesgo. Reglas para terceros. Supervisión cuando el impacto lo justifique. Un mecanismo para reportar incidentes y cambios. Y evidencia suficiente para explicar las decisiones.
Si la organización ya tiene ISO/IEC 27001, gestión de riesgos, compliance, procesos de compras, auditoría interna o revisión por la dirección, parte de esa arquitectura puede reutilizarse. En la práctica, integrar suele ser más sostenible que crear otro sistema paralelo.
No hace falta esperar una regulación perfecta ni una decisión de certificación para comenzar. La IA ya está tomando espacio en procesos, datos y decisiones. Gobernarla temprano suele ser más barato que reconstruir controles después.
La pregunta no es cuánta IA usa tu organización. La pregunta es si puede demostrar que ese uso está siendo gobernado.