Gobernanza de IA: la conversación incómoda que toca tener antes que después

Hagamos un ejercicio rápido. Piensa en las últimas dos semanas de tu empresa y responde tres preguntas: ¿sabes qué herramientas de IA está usando tu equipo hoy? ¿Sabes qué información de la empresa — datos de clientes, contratos, cifras internas — ha pasado por esas herramientas? Y si mañana un cliente reclama por una decisión en la que intervino IA, ¿sabes quién responde?

Si dudaste en alguna de las tres, tu empresa ya tiene un problema de gobernanza de IA. No un problema futuro: uno actual. Porque la adopción de IA en tu organización ya empezó — la hizo tu gente, por su cuenta, con sus credenciales personales — y lo único que está pendiente es decidir si ocurre con reglas claras o en la sombra.

Sé que "gobernanza" es una palabra que espanta. Suena a comité, a burocracia, a frenar justo lo que quieres acelerar. Por eso esta conversación se aplaza en casi todas las empresas que conocemos. Este artículo es el argumento contrario: la gobernanza bien hecha no es el freno de la adopción de IA — es lo que la hace sostenible. Y la conversación para arrancarla cabe en una reunión de dos horas.

Por qué esta conversación se aplaza (y por qué es incómoda)

En mi experiencia, la conversación de gobernanza de IA se posterga por tres razones, y ninguna es técnica.

Primera: nadie es el dueño natural. ¿A quién le toca? ¿A legal, que no entiende la tecnología? ¿A TI, que no conoce los riesgos regulatorios? ¿Al CEO, que tiene veinte prioridades más urgentes? Como el tema no tiene dueño obvio, cae en el limbo de las cosas importantes pero no urgentes. Hasta que un incidente lo vuelve urgente — y entonces la conversación ya no es de diseño sino de control de daños.

Segunda: da miedo lo que puedas encontrar. Abrir la conversación implica preguntar qué está pasando hoy. Y la respuesta honesta en la mayoría de empresas es incómoda: hay gente pegando información de clientes en cuentas gratuitas de ChatGPT, hay áreas que contrataron herramientas de IA sin pasar por nadie, hay decisiones — filtros de candidatos, priorización de cobros, respuestas a clientes — donde ya interviene un modelo y nadie lo formalizó. Es más cómodo no preguntar.

Tercera: se asocia gobernanza con prohibición. Muchos líderes evitan el tema porque temen que el resultado sea una política restrictiva que mate el entusiasmo. Es un temor fundado — hay departamentos legales que, ante la duda, prohíben todo. Pero la conclusión correcta no es evitar la conversación: es liderarla tú, antes de que la lidere alguien cuyo incentivo es el riesgo cero.

Aquí va mi lente de fintech: llevo años trabajando en pagos, uno de los sectores más regulados que existen. Y aprendí algo que contradice la intuición: los equipos con reglas claras se mueven más rápido, no más lento. Cuando sabes exactamente qué puedes hacer sin pedir permiso, dejas de frenarte por las dudas. La parálisis no la causa la regla — la causa la ambigüedad.

Lo que está pasando mientras no la tienes

La ausencia de gobernanza no congela la situación: la empeora en silencio. Esto es lo que se acumula mientras la conversación espera.

• Fuga de información sin registro. Cada prompt con datos internos en una cuenta personal es información que salió de la empresa sin control ni trazabilidad. No es hipotético: es el comportamiento por defecto cuando no hay una alternativa aprobada.
• Decisiones automatizadas sin dueño. Cuando un área usa IA para filtrar, priorizar o responder, y eso sale mal, la pregunta "¿quién aprobó esto?" no tiene respuesta. La responsabilidad difusa es el peor escenario posible frente a un cliente o un regulador.
• Proliferación de herramientas duplicadas. Sin un proceso liviano de aprobación, cada equipo contrata la suya. Terminas pagando cinco suscripciones que hacen lo mismo, ninguna con contrato revisado ni acuerdo de tratamiento de datos.
• Deuda regulatoria. El terreno legal se está moviendo: la ley de IA de la Unión Europea ya está en aplicación por fases, Brasil avanza con su proyecto de ley de IA, Perú aprobó una ley marco y los reguladores financieros de la región ya incluyen la IA en sus supervisiones. Si operas en varios países — o vendes a empresas que sí deben cumplir — esto te va a llegar por contrato antes que por ley.

Hay un costo menos visible pero igual de real: la desigualdad interna. Sin reglas explícitas, el uso de IA depende del apetito de riesgo de cada quien. El empleado prudente no la usa y queda rezagado; el arriesgado la usa sin control y expone a la empresa. Estás castigando la prudencia y premiando la imprudencia — exactamente al revés de lo que quieres.

Qué es gobernanza de IA en la práctica: cuatro preguntas

Olvida por un momento los marcos de cuarenta páginas. La gobernanza de IA de una empresa mediana se reduce a tener respuesta escrita, conocida y actualizada para cuatro preguntas.

1. ¿Qué herramientas están aprobadas y con qué datos? Una lista corta de herramientas permitidas (con cuentas corporativas, no personales) y una clasificación simple de datos: qué se puede usar libremente, qué requiere anonimizar y qué no entra en ninguna herramienta externa bajo ninguna circunstancia. Tres categorías bastan para empezar.

2. ¿Quién responde por una decisión asistida por IA? La regla que uso: la IA puede proponer, la persona dispone. Toda salida de IA que afecte a un cliente, un empleado o un número financiero tiene un humano responsable con nombre y apellido que la revisó. Si nadie quiere firmar esa revisión, esa tarea no está lista para IA.

3. ¿Cómo se aprueba un caso de uso nuevo? Un canal claro y una promesa de respuesta rápida — días, no meses. Si aprobar una herramienta nueva toma un trimestre, la gente no va a esperar: va a volver a la sombra. La velocidad del proceso de aprobación es la variable que decide si tu política se cumple o se ignora.

4. ¿Cómo se entera y se entrena la gente? Una política que vive en un PDF que nadie leyó no es gobernanza, es teatro. Se necesita el mínimo: una sesión corta de qué se puede y qué no, ejemplos concretos del trabajo real de cada área, y un canal donde preguntar sin miedo cuando hay duda.

Cómo tener la conversación (y qué producir en 30 días)

La conversación incómoda no necesita un consultor ni un comité de veinte personas. Necesita una reunión de dos horas con las personas correctas: quien lidera el negocio, quien lidera tecnología, alguien de legal o cumplimiento, y — esto casi siempre se omite — una o dos personas de los equipos que más usan IA hoy. Sin los usuarios reales en la mesa, terminas con una política escrita contra un uso imaginario.

La agenda de esa primera reunión tiene tres partes. Primero, amnistía y diagnóstico: qué estamos usando hoy, con qué datos, sin castigos por confesar — el objetivo es ver el mapa real, y nadie lo muestra si teme la reacción. Segundo, las cuatro preguntas de la sección anterior, respondidas en borrador ahí mismo, aunque sea imperfecto. Tercero, asignar un dueño: una persona (no un comité) que mantiene la política viva y responde dudas.

El entregable de los primeros 30 días es deliberadamente modesto: una política de una página. Este es el esqueleto que usamos en Saphia Labs con nuestros clientes:

1. HERRAMIENTAS APROBADAS
   [Herramienta] — [cuenta corporativa] — [para qué usos]

2. DATOS
   Verde: se pueden usar libremente (ej: información pública, borradores propios)
   Amarillo: solo anonimizados (ej: métricas internas, casos de clientes)
   Rojo: nunca en herramientas externas (ej: datos personales de clientes,
   credenciales, información financiera no publicada)

3. RESPONSABILIDAD
   Toda salida de IA que afecte a clientes, empleados o cifras
   tiene un revisor humano responsable antes de usarse.

4. CASOS DE USO NUEVOS
   Se piden en [canal]. Respuesta en máximo [X] días hábiles.

5. DUEÑO DE ESTA POLÍTICA
   [Nombre] — dudas en [canal]. Se revisa cada [trimestre].

Una página que todo el mundo conoce vale infinitamente más que cuarenta que nadie leyó. Y la fecha de revisión importa tanto como el contenido: las herramientas y los riesgos cambian cada trimestre, así que una política estática nace muerta. La gobernanza no es un documento — es la costumbre de revisarlo.

¿Y los marcos formales — ISO 42001, el framework de riesgo de IA del NIST, los requisitos de la ley europea? Son valiosos, pero son la etapa dos. Si tu empresa es mediana y hoy no tiene nada, empezar por ahí es la receta para no empezar. La política de una página te da el 80% de la protección con el 5% del esfuerzo; los marcos llegan cuando el negocio (o un cliente grande, o un regulador) los exija.

Conclusión

La conversación de gobernanza de IA es incómoda porque obliga a admitir que la adopción ya empezó sin ti, porque no tiene dueño natural y porque tememos que termine en prohibición. Pero cada mes que se aplaza, la sombra crece: más datos sin control, más decisiones sin responsable, más herramientas sin contrato. La disyuntiva real nunca fue "gobernanza sí o no" — es "reglas explícitas ahora o incidente y control de daños después".

El primer paso cabe en esta semana: agenda la reunión de dos horas, con amnistía para el diagnóstico, y comprométete a producir la política de una página en 30 días. Si quieres acompañamiento para estructurar esa conversación — o un diagnóstico honesto de cómo se está usando la IA hoy en tu empresa — en Saphia Labs hacemos exactamente eso.