Trabajo determinístico
Rules / BPM / automatización tradicional
Baja flexibilidad · alta predictibilidad
Condiciones conocidas, política fija, cálculos determinísticos y routing.
Tarifas, validaciones, conciliaciones, reglas explícitas.
← Volver a IA
IA / GOBIERNO
CONSEQUENCE → CONTROL
CONTROL → EVIDENCE
EVIDENCE → RECONSTRUCTABILITY
Governance for AI in regulated environments
El objetivo no es demostrar que la institución usa IA responsablemente. Es hacer que cada decisión material de IA sea comprensible, controlable y reconstruible.
El gobierno se vuelve útil cuando cambia qué puede hacer la IA, quién conserva la responsabilidad, qué controles son obligatorios y qué evidencia debe sobrevivir al proceso.
La intensidad del control debe seguir la consecuencia, no la tecnología.
Por José Ñáñez
Technology Advisor · Board Member
Publicado el 7 de abril de 2026 · Actualizado el 24 de agosto de 2026 · 11 min de lectura
EL PROBLEMA DE GOBIERNO
Una política no es un modelo operativo
Las instituciones reguladas no necesitan más declaraciones genéricas sobre IA responsable. Necesitan claridad operativa. ¿Qué sistemas existen? ¿Qué pueden influenciar? ¿Quién responde por el resultado? ¿Qué acciones requieren una persona? ¿Qué ocurre cuando el sistema sale de su comportamiento esperado? Y, meses después, ¿puede la institución reconstruir qué ocurrió realmente?
El problema se vuelve más difícil cuando la IA pasa de asistir a recomendar, decidir y ejecutar. No debería aplicarse el mismo modelo de control a un asistente que resume información y a un agente que modifica un registro de cliente, aprueba una excepción o inicia una acción financiera.
Por eso el buen gobierno empieza por la consecuencia. La tecnología importa, pero la consecuencia determina cuánto accountability, evidencia, autoridad humana y capacidad de intervención necesita la institución.
Gobernar IA no es poner un comité alrededor de la tecnología. Es definir el sistema operativo de autoridad, consecuencia y evidencia.
EMPEZAR POR EL TRABAJO
Utilice la tecnología menos autónoma que resuelva el problema
No todos los problemas necesitan IA generativa y no todos los problemas de IA generativa necesitan agentes. Una regla determinística no se vuelve más valiosa porque la ejecute un LLM. Cuando la lógica puede expresarse claramente, el software tradicional puede ser más económico, predecible y fácil de evidenciar.
Machine learning es útil cuando importan patrones y probabilidades. IA generativa cuando importan lenguaje, síntesis, ambigüedad o conocimiento no estructurado. RAG cuando el contexto empresarial debe fundamentarse en información gobernada. Los agentes cuando el valor depende de completar trabajo entre múltiples pasos, tools o sistemas.
Esto también es una decisión de gobierno: autonomía innecesaria crea costo de control innecesario.
Cada paso desde reglas hasta agentes aumenta flexibilidad. También puede aumentar ambigüedad, autoridad y el costo de equivocarse.
MODELO OPERATIVO DE GOBIERNO
Dónde utilizar IA — y qué tipo corresponde al trabajo
Seleccione tecnología según la estructura del trabajo. Aumente gobierno según la autoridad y consecuencia asociadas.
Flexibilidad ↑
Autonomía ↑
Consecuencia ↑
Control requerido ↑
Predicción
Machine learning
Output probabilístico · riesgo de modelo
Patrones, ranking, propensión, anomalías y forecasting.
Fraude, churn, propensity, priorización de cobranzas.
Lenguaje & síntesis
IA generativa
Output flexible · ejecución limitada
Interpretar, resumir, redactar, clasificar y transformar información no estructurada.
Resúmenes, análisis documental, drafting, asistencia de conocimiento.
Conocimiento empresarial
GenAI + RAG
Contexto grounded · gobierno de fuentes
Respuestas fundamentadas en fuentes internas aprobadas y contexto actual.
Políticas, productos, procedimientos y conocimiento de servicio.
Recomendación / decisión acotada
ML / GenAI + policy engine
Influencia de decisión · mayor control
Recomendar o seleccionar acciones dentro de políticas, umbrales y excepciones.
Next best action, priorización, elegibilidad y excepciones.
Ejecución multistep
Agentic AI + tools + policy
Autoridad de ejecución · máxima evidencia
Coordinar pasos, invocar tools y completar acciones autorizadas entre sistemas.
Originación, servicio, cobranzas y remediación.
CONTROL POR CONSECUENCIA
El modelo de control debe fortalecerse a medida que aumenta la autoridad
La pregunta correcta no es “¿esto es GenAI?”. La pregunta es “¿qué puede causar este sistema?”. Materialidad, reversibilidad, impacto al cliente, sensibilidad de datos y autoridad de ejecución son mejores señales de gobierno que la familia del modelo.
El esfuerzo de control debe concentrarse donde la consecuencia es mayor, no rodear cada experimento de IA con la misma burocracia.
Assist
Identidad, manejo de datos, uso aprobado, logging básico
Usuario, input/output, modelo/servicio y fuentes
Recommend
Evidencia, decision rights humanos y criterios de revisión
Recomendación, contexto y aceptación u override humano
Decide
Límites de política, excepciones y materialidad
Contexto, política, excepciones y decisión accountable
Execute
Permisos, límites, monitoreo, intervención y rollback
Tool calls, cambios, autorización, action IDs, overrides y resultado
ACCOUNTABILITY
El business owner responde por el resultado
El gobierno de IA con frecuencia se vuelve comité-céntrico. Es un error. Los comités definen el perímetro y resuelven excepciones materiales, pero no deben absorber el accountability que pertenece al negocio operativo.
El business owner conserva responsabilidad por propósito, cliente y resultado económico. Tecnología opera el sistema. Riesgo, cumplimiento, seguridad y datos desafían el diseño. Auditoría verifica si controles y evidencia operan como fueron definidos.
El comité gobierna el perímetro. El business owner responde por el resultado. Tecnología opera el sistema. Riesgo desafía el control. Auditoría verifica la evidencia.
01Board / alta direcciónApetito de riesgo, excepciones materiales y portafolio
02Business accountable ownerPropósito, resultados, proceso y decision rights
03AI / tecnologíaArquitectura, release, permisos, confiabilidad y AgentOps
04Riesgo / cumplimiento / seguridad / datosClasificación, challenge, controles y escalamiento
05OperacionesIntervención humana, excepciones y continuidad
06Auditoría internaVerificación independiente de efectividad y evidencia
APRENDER DE LA FRONTERA
El gobierno del proveedor es control heredado — no gobierno institucional
Los mayores proveedores están desarrollando patrones de gobierno útiles, pero operan en capas diferentes. OpenAI combina controles empresariales con un marco separado de gobierno frontier. Anthropic hace explícita la proporcionalidad de salvaguardas con su Responsible Scaling Policy. Los ecosistemas open-weight desplazan más responsabilidad de despliegue hacia la institución.
Estos ejemplos muestran una dirección común: capacidad, acceso y contexto cambian las salvaguardas necesarias. Pero un banco no puede tercerizar la responsabilidad por qué utilizó IA, qué datos expuso, qué decisiones delegó o qué ocurrió con el cliente.
OpenAI / ChatGPT Enterprise
Controles empresariales gestionados + gobierno frontier del proveedor
SSO, accesos, retención y audit/compliance; marco separado para riesgo frontier.
La institución conserva propósito, datos, integración, decision rights y resultado.
Anthropic / Claude Enterprise
Controles empresariales gestionados + salvaguardas proporcionales
SSO, permisos por rol, audit logs, SCIM y retención; Responsible Scaling Policy.
La institución conserva contexto, workflow, autoridad humana y consecuencia.
Modelos open-weight / ecosistema Llama
Más control de despliegue → más responsabilidad institucional
Model cards, use policies y safeguards existen, pero el developer adapta políticas, pruebas y protecciones.
La institución asume más hosting, patching, safety, monitoreo e incident response.
La responsabilidad de gobierno cambia con el modelo de despliegue
Servicio de IA gestionado
Más controles del proveedor pueden heredarse
Integración empresarial
La responsabilidad compartida se vuelve explícita
Self-hosted / open-weight
Más responsabilidad operativa pasa a la institución
Identidad & acceso
Datos
Evaluación
Safety layers
Observabilidad
Patching
Incidentes
EVIDENCIA DE GOBIERNO
Al final, gobierno es evidencia
Decir “usamos IA responsablemente” tiene muy poco valor operativo. Decir que una decisión material fue producida por una versión específica de un sistema, usando un contexto definido, bajo una política aprobada, dentro de permisos explícitos, y que una persona o sistema identificado aceptó, modificó o ejecutó el resultado, sí es gobierno.
La evidencia convierte política en control. Si la institución no puede reconstruir qué ocurrió, el ambiente de control es débil aunque existan políticas, comités e inventarios.
Por eso el output del gobierno no es la aprobación. Es la reconstruibilidad: poder explicar intención, identidad, contexto, autoridad, decisión, acción, intervención y resultado de un proceso material de IA.
Gobierno sin evidencia es política. La evidencia convierte la política en control.
01Intención¿Por qué se utilizó IA y qué objetivo estaba autorizado?↓
02Identidad¿Qué modelo, agente, servicio y persona participaron?↓
03Contexto¿Qué datos, conocimiento y estado estaban disponibles?↓
04Autoridad¿Qué podía recomendar, decidir o ejecutar el sistema?↓
05Decisión¿Qué recomendó o decidió y bajo qué política?↓
06Acción¿Qué cambió realmente en el proceso o para el cliente?↓
07Intervención¿Quién aprobó, modificó, detuvo, revirtió o escaló?↓
08Resultado¿Qué ocurrió con cliente, proceso, riesgo y negocio?●
VERSIÓN
TIEMPO
POLÍTICA
OWNER
TRAZA
EVIDENCIA POR CONSECUENCIA
La intensidad de evidencia también debe seguir la consecuencia
No se necesita la misma profundidad para cada uso de IA. Pero cada aumento de autoridad debe agregar evidencia, no reemplazarla.
Assist
Usuario + modelo/servicio + input/output + manejo de datosRecommend
+ evidencia utilizada + recomendación + decisión humanaDecide
+ política aplicable + contexto + excepciones + accountabilityExecute
+ permisos + tool calls + cambio de sistema + ID de acción + rollbackMODELO OPERATIVO REGULADO
Mantenga un core común de gobierno y localice las obligaciones
Una institución regional no debería recrear todo su modelo de gobierno país por país. El core común debe definir inventario, accountability, clasificación de riesgo, ciclo de vida, evidencia, AgentOps, intervención y respuesta a incidentes.
Los rule packs locales deben adicionar privacidad, protección al consumidor, explicabilidad, regulación sectorial, retención, outsourcing, localización de datos y requerimientos de supervisión.
Esto permite escalar gobierno sin pretender que una política global resuelve toda obligación local.
Core compartido de gobierno + controles del proveedor + overlay país / regulación
CONTEXTO DE INVESTIGACIÓN
Patrones de referencia, no recomendaciones de proveedor
Estas fuentes ilustran patrones de gobierno. Capacidades y políticas evolucionan, por lo que deben validarse antes de un despliegue regulado.
OpenAI — Enterprise privacyPropiedad de datos, acceso, retención y audit/compliance.→OpenAI — Frontier Governance FrameworkRiesgo, mitigación, reporting, seguridad e incident response.→Anthropic — Responsible Scaling PolicySalvaguardas proporcionales e iterativas a medida que aumentan capacidades.→Anthropic — Claude EnterpriseIdentidad, permisos, audit logs y retención empresarial.→Meta — Llama 4 Model CardDespliegue open-weight, safeguards y responsabilidad del developer.→
TESIS
El objetivo del gobierno de IA no es demostrar que la institución usa IA responsablemente. Es hacer que cada decisión material de IA sea comprensible, controlable y reconstruible.
Elija la tecnología menos autónoma que resuelva el problema. Aumente control con consecuencia. Preserve evidencia hasta que la institución pueda explicar qué ocurrió sin depender de memoria o confianza.
José Ñáñez