El verdadero problema de la gobernanza de la Inteligencia Artificial -en adelante, IA- aparece cuando una organización debe adoptar una decisión concreta. Es entonces cuando surgen preguntas esenciales: ¿quién autoriza una herramienta? ¿Quién determina si sus riesgos son asumibles? ¿Quién interviene antes de desplegarla? ¿Quién conserva la documentación? ¿Quién actúa ante un incidente? ¿Y quién decide si el sistema puede seguir utilizándose?
María Luisa García Torres. Dra. en Derecho Procesal Jefe de estudios del área de Derecho Facultad Business & TechMientras estas cuestiones no tengan una respuesta previa, una empresa puede disponer de políticas, comités, inventarios y responsables especializados y, sin embargo, seguir teniendo un problema de gobernanza.
La cuestión no consiste en determinar qué figura debe asumir la coordinación de la IA, sino en construir una arquitectura de responsabilidades que permita saber quién interviene en cada momento, con qué función, qué capacidad de decisión tiene y cuándo debe elevar el riesgo a otro nivel.
De los cargos a las decisiones
El Delegado de Protección de Datos -en adelante, DPO-, el Chief Information Security Officer -en adelante, CISO-, el Compliance Officer y el AI Officer contemplan el riesgo desde perspectivas diferentes. Pero el modelo no debería construirse desde los cargos, sino desde las decisiones que deben adoptarse durante el ciclo de vida de un sistema de IA.
Esto exige identificar al responsable funcional o de negocio del sistema. No se trata de crear un nuevo cargo, sino de señalar a la persona o unidad del área de negocio que promueve, utiliza o es titular del proceso en el que se integra la IA.
Es quien mejor conoce la necesidad que pretende cubrir, su finalidad, el contexto de uso y las consecuencias de un funcionamiento incorrecto. Debe explicar por qué se necesita la herramienta, para qué decisiones se utilizará, quién empleará sus resultados y qué impacto tendría un error. También debe velar por que el sistema se utilice para la finalidad aprobada y comunicar cambios relevantes en sus condiciones de uso.
Su posición es distinta de la de las funciones de control. No sustituye la evaluación jurídica, de protección de datos, seguridad o cumplimiento, ni decide por sí solo si determinados riesgos son aceptables. Pero tampoco cabe trasladar toda la gobernanza al departamento jurídico, de compliance, de protección de datos o de seguridad, dejando al área usuaria al margen de la responsabilidad sobre la finalidad y utilización del sistema.
La primera regla es, por tanto, sencilla: todo sistema de IA debe tener un responsable funcional claramente identificable.
Gobernanza integral: coordinar sin crear silos
Esta distribución de responsabilidades solo tiene sentido dentro de un modelo de gobernanza empresarial integral. Una empresa no puede organizarse mediante silos en los que protección de datos, ciberseguridad, cumplimiento normativo, IA, tecnología, jurídico y negocio funcionen como ámbitos autónomos que solo se comunican cuando surge un problema.
Los riesgos tampoco aparecen aislados: una vulnerabilidad técnica, una decisión de negocio o una mala selección del proveedor pueden generar simultáneamente riesgos de seguridad, protección de datos, contractuales y regulatorios.
Gobernanza integral no significa que todas las áreas intervengan siempre ni que sus competencias se confundan. Significa integrar riesgos relacionados manteniendo delimitadas las responsabilidades. El objetivo es superar los silos sin sustituirlos por una acumulación indiferenciada de funciones.
Desde esta perspectiva, el AI Officer puede desempeñar una función relevante de coordinación, pero no convertirse en propietario de todos los riesgos vinculados a la IA. La gobernanza integral exige conectar funciones, no subordinarlas a una sola.
Primer momento: antes de adquirir o desarrollar
Antes de incorporar una herramienta no basta con valorar su precio, funcionalidad o eficiencia. Deben analizarse su finalidad, los procesos en los que se integrará, los datos utilizados, el proveedor, las condiciones contractuales, las integraciones necesarias y los riesgos asociados.
El área de negocio debe justificar la necesidad y definir el uso previsto. El AI Officer puede coordinar la identificación del sistema, su inventario y la evaluación inicial. El DPO intervendrá cuando exista tratamiento de datos personales o afectación de derechos; el CISO analizará seguridad, accesos, integraciones y proveedores; y el Compliance Officer comprobará su encaje en las obligaciones, políticas y controles de la organización.
La cuestión no es quién autoriza por sí solo la adquisición, sino qué controles deben superarse antes de aprobarla.
Segundo momento: antes del despliegue
Adquirir una herramienta no equivale a autorizar automáticamente su uso. Antes del despliegue debe comprobarse que el uso real coincide con el evaluado; que existen instrucciones y perfiles de acceso adecuados; que la supervisión humana es suficiente; que pueden conservarse los registros necesarios y que quienes utilizarán el sistema conocen sus límites.
Participar en la evaluación no equivale a asumir la decisión final. El DPO puede formular advertencias; el CISO identificar vulnerabilidades; el Compliance Officer detectar riesgos regulatorios; el AI Officer comprobar el cumplimiento de los controles internos; y el responsable funcional confirmar que la necesidad empresarial y el uso previsto no han cambiado.
El modelo debe prever qué ocurre cuando alguna función formula una objeción relevante. Una gobernanza madura necesita reglas de escalado: tan importante como saber quién interviene es determinar quién decide cuando las funciones no coinciden.
Tercer momento: durante el uso ordinario
La gobernanza no termina con la autorización. Un sistema puede incorporar nuevas funcionalidades, cambiar de proveedor, utilizar nuevos datos o empezar a emplearse para finalidades distintas.
El responsable funcional debe comprobar que el sistema mantiene la finalidad aprobada y comunicar cambios relevantes. El AI Officer actualizará el inventario y promoverá revisiones; el CISO vigilará seguridad y resiliencia; el DPO actuará cuando exista tratamiento de datos; y el Compliance Officer verificará que los controles funcionan realmente.
Esta fase debe detectar también el uso de herramientas fuera de los circuitos autorizados. La mejor política resulta insuficiente si la empresa desconoce qué sistemas utilizan sus empleados, qué información introducen en ellos o para qué decisiones se emplean. Gobernar exige confrontar la IA que la empresa cree utilizar con la IA que efectivamente utiliza.
Cuarto momento: cuando algo falla
Los incidentes constituyen verdaderas pruebas de estrés del modelo de gobernanza. Una filtración, un ciberataque, una manipulación del sistema, la pérdida de registros o una decisión basada en información incorrecta pueden activar simultáneamente riesgos técnicos, jurídicos, organizativos y reputacionales.
La empresa no debería comenzar entonces a preguntarse quién debe intervenir. El protocolo debe determinar previamente quién recibe la alerta, quién puede suspender el sistema, quién preserva registros y evidencias, quién analiza una posible afectación de datos, quién valora las consecuencias regulatorias, quién se comunica con el proveedor y cuándo debe escalarse el incidente a la alta dirección.
También debe preservarse desde el primer momento la trazabilidad de lo ocurrido. La organización debe poder reconstruir qué sucedió, cuándo, qué versión estaba operativa, qué datos intervinieron, qué personas participaron, qué controles estaban activos y qué decisiones se adoptaron.
Esta trazabilidad es esencial para la auditoría y el control interno, pero también para reconstruir la cadena de intervención y delimitar responsabilidades. Sin registros suficientes resulta difícil acreditar quién debía actuar, quién actuó y cuándo se adoptaron las decisiones relevantes.
Gobernanza, auditabilidad, responsabilidad y evidencia están, por ello, estrechamente interrelacionadas.
Quinto momento: modificar, suspender o retirar
Un sistema inicialmente adecuado puede dejar de serlo por cambios tecnológicos, normativos, de proveedor, datos, finalidad, seguridad o nivel de riesgo asumible.
El modelo debe establecer qué cambios obligan a una nueva evaluación y qué circunstancias justifican la suspensión o retirada. Gobernar no consiste solo en decidir cuándo puede utilizarse una tecnología, sino también cuándo debe dejar de utilizarse.
La alta dirección no puede desaparecer
Distribuir funciones no significa trasladar la responsabilidad de gobierno a una suma de especialistas. Hay decisiones que implican ponderar estrategia, negocio, riesgo, reputación, derechos y responsabilidad jurídica y, por tanto, corresponden a la alta dirección.
Esta debe definir el modelo de gobernanza integral, coordinar funciones, fijar los riesgos que requieren escalado y determinar qué decisiones no pueden quedar en manos exclusivamente técnicas o funcionales.
Los especialistas identifican, analizan, controlan, advierten y coordinan dentro de sus ámbitos. Pero la multiplicidad de funciones no puede convertirse en un mecanismo para dispersar la responsabilidad última de las decisiones empresariales.
La matriz que realmente necesita la empresa
Todo este modelo debe traducirse en una matriz funcional sencilla y operativa. Para cada sistema debería poder responderse quién es su responsable funcional; quién coordina su gobernanza; qué áreas intervienen antes de la aprobación; quién puede formular objeciones; quién adopta la decisión final; qué cambios obligan a revisar la evaluación; quién recibe los incidentes; quién puede suspender el sistema; cuándo debe escalarse un riesgo; y quién conserva la documentación, los registros y las evidencias.
La matriz no debe decorar una política corporativa. Debe permitir reconstruir las decisiones y mostrar cómo se conectan las distintas funciones dentro del modelo integral de gobernanza.
La verdadera prueba aparece cuando alguien pregunta: ¿quién tomó esta decisión, con qué información, después de qué controles y asumiendo qué riesgo?
Si la organización puede responder con claridad y aportar la trazabilidad que sustenta la respuesta, existe gobernanza. Si la respuesta queda dispersa entre departamentos, proveedores, correos y competencias superpuestas, probablemente exista solo una apariencia de ella.
DPO, CISO, Compliance Officer, AI Officer, negocio y alta dirección no necesitan competir por el control de la IA ni funcionar como silos independientes. Necesitan saber cuándo les corresponde intervenir, qué deben hacer, cómo deben coordinarse y cuándo la decisión deja de ser suya.
Gobernar la IA no consiste en acumular cargos alrededor de una tecnología. Consiste en construir una gobernanza integral: una cadena coordinada de decisiones, controles y responsabilidades que no deje zonas grises ni responsabilidades en tierra de nadie.