GOBIERNO
La pregunta no es si el modelo funciona.Es qué puede salir a producción, y cómo se prueba.
Dentro de una entidad vigilada la restricción que manda nunca es la capacidad. Es la evidencia. Un sistema que no puede mostrar qué vio, qué decidió y quién podía detenerlo no llega a un cliente, por bien que se comporte en una demo.
Este tramo existe para resolver una sola objeción y devolverte a donde estabas. Es destino, no escalón. Lo que sigue es el perímetro que una institución puede defender de verdad, y las condiciones que lo amplían.
El modelo detrás de este tramo recoge requisitos recurrentes del NIST AI Risk Management Framework y su Generative AI Profile, de ISO/IEC 42001:2023 y del Reglamento de Inteligencia Artificial de la Unión Europea. Es un modelo ejecutivo de diagnóstico — no una certificación, un concepto jurídico, una determinación regulatoria ni un sustituto de la evaluación de riesgo por caso de uso.
Gobierno no es el freno. Es la función que decide qué se deja correr — y la mayoría de las instituciones no sabe responder dónde está parada, porque mide actividad y la presenta como capacidad.
EL PISO
Un promedio alto no autoriza nada.
Todos los scorecards de madurez del mercado promedian sus dominios. Promediar es exactamente la operación equivocada. Una institución con estrategia excelente, datos excelentes y sin política de intervención humana no tiene un problema de gobierno en un dominio — no tiene perímetro, porque el control más débil es el que va a encontrar el incidente.
PISO CRÍTICO
piso crítico = mínimo(riesgo, datos, ciclo de vida, intervención humana, monitoreo)
Un buen promedio no compensa una debilidad severa en un dominio necesario para IA de mayor consecuencia.
PERÍMETRO OPERATIVO
modo operativo permitido = f(madurez total, piso crítico, preparación de monitoreo)
La madurez no es autorización. Se aplican umbrales de score y de piso de control a modos progresivamente más consecuenciales.
QUÉ DECIDE EL MODO
La intensidad de control debe seguir la consecuencia.
Autonomía
¿El sistema solo sugiere, o puede decidir y ejecutar?
Más autonomía exige permisos, monitoreo y mecanismos de intervención más fuertes.
Materialidad
¿Cuál es la consecuencia financiera, legal, operativa o para el cliente de un error?
Mayor materialidad exige mayor evidencia, aprobación y accountability.
Cinco modos operativos. Cada uno tiene una compuerta.
| Modo operativo | Qué hace el sistema | Qué hace la persona | Compuerta |
|---|---|---|---|
| AssistGrounding · acceso a datos · revisión de calidad | Buscar, resumir, clasificar, redactar y preparar información. | Conserva la decisión y la ejecución. | madurez ≥ 25 · piso ≥ 25 |
| RecommendEvidencia · explicabilidad · monitoreo de umbrales | Proponer siguientes acciones u opciones de decisión. | Acepta, rechaza o modifica la recomendación. | madurez ≥ 45 · piso ≥ 37,5 |
| Decisión acotadaDecision rights · restricciones · excepciones | Seleccionar acciones dentro de políticas, materialidad y límites de excepción explícitos. | Diseña la política, revisa excepciones y mantiene accountability. | madurez ≥ 65 · piso ≥ 62,5 |
| Ejecución acotadaIdentidad · permisos · límites · rollback | Invocar sistemas o completar acciones autorizadas con monitoreo. | Supervisa excepciones materiales, y puede interrumpir o revertir la ejecución. | madurez ≥ 75 · piso ≥ 75 · monitoreo ≥ 75 |
| Autonomía de alta materialidadMonitoreo · audit trail · kill switch · incidentes | Exige evaluación específica de riesgo y regulación para el caso de uso. | Decide caso por caso, con riesgo, legal y negocio en la mesa. | nunca se autoriza solo por el score empresarial |
Estos pesos y umbrales son parte de este modelo ejecutivo. No son umbrales regulatorios ni estándares de industria, y un score autodeclarado sin documentación es una hipótesis, no una prueba de que el control funciona.
La madurez es un sistema de restricciones, no un ranking.
Dos instituciones pueden sacar el mismo score y tener perímetros distintos. El agregado es una conversación. El piso es la decisión.
CÓRRELA CONTRA TU ORGANIZACIÓN
Las dos fórmulas, calculadas sobre tu institución.
Instrumento · 28 preguntasVeintiocho preguntas respondidas contra evidencia actual, no contra planes. Devuelve madurez por dominio, el piso de control más débil y el perímetro operativo que ese piso soporta. Un score alto no es el objetivo — el objetivo es saber qué nivel de consecuencia puede sostener la organización sin fingir que los controles que faltan no importan.
Abrir la evaluación →EL CONTRATO
Seis condiciones antes de que un agente toque a un cliente.
Un control que solo revisa el modelo antes del lanzamiento no alcanza cuando el sistema puede llamar tools, conservar estado y ejecutar acciones. Estas seis son las que un CIO debería poder leer en voz alta en un comité de riesgo — y si alguna no tiene respuesta, esa es la respuesta.
- 01
Owner definido
Un responsable de negocio por el workflow, su economía y los resultados que puede producir.
- 02
Permisos explícitos
Acceso a tools, alcance de datos, límites transaccionales y derechos de acción definidos — y revocables.
- 03
Política de intervención humana
Triggers claros de aprobación, escalamiento, supervisión, override y detención forzada.
- 04
Evidencia continua
La trazabilidad debe mostrar qué vio, decidió, llamó, cambió y escaló el agente.
- 05
Umbrales de calidad y falla
Completitud, escalamiento, reproceso, error, incumplimiento de política y resultados adversos, con un nivel en el que el agente se detiene.
- 06
Disciplina de release y rollback
Versionamiento, simulación, despliegue controlado, canaries, restricciones y rollback son parte de la operación normal, no de la respuesta a un incidente.
No son aspiraciones. Son el contrato contra el que están construidos los agentes del siguiente tramo, y la razón por la que su matriz de cobertura se publica en lugar de describirse.
Ver lo que corre →LA MEDICIÓN
Casi todos miden el nivel 1 y reportan el nivel 4.
Las empresas adoran reportar movimiento. Movimiento no es capacidad. Una institución que no sabe ubicarse en esta escalera tampoco puede defender un perímetro, porque la evidencia que recoge prueba que algo se desplegó — no que algo se absorbió.
Actividad
- Usuarios
- Prompts
- Bots
- APIs
- Pilotos
Eficiencia local
- Tiempo por tarea
- Costo por proceso
- Reducción de errores
Capacidad operativa
- Clientes por empleado
- Productos por empleado
- Throughput por equipo
Impacto de negocio
- Crecimiento sin costo proporcional
- Mejora de margen
- Apalancamiento operativo
La escalera es una jerarquía de medición, no un score de madurez. Una cifra de nivel 4 solo es creíble cuando los niveles 2 y 3 están instrumentados debajo.
Falsas señales de automatización
Cada una de estas es una cifra de nivel 1 con titular de nivel 4. Ninguna prueba automatización, escala ni apalancamiento.
La mayoría de empresas se queda en nivel 1 y lo presenta como si hubiera llegado a nivel 4.
ENTONCES, CÓMO SE VE EL NIVEL 3
La misma sustitución, industria por industria.
| Industria | Indicador superficial | Indicador serio | Derivado económico |
|---|---|---|---|
| Banca | Bots, apps, copilots | Clientes por empleado, productos por empleado | Costo real por cliente, costo real por producto |
| Seguros | Cotizadores, CRM, RPA | Pólizas por empleado, clientes por empleado | Costo real por póliza, costo real por cliente |
| Pensiones | Campañas, canales digitales | Afiliados por empleado, casos por asesor | Costo real por afiliado, costo real por caso |
| Pagos | APIs, nuevos rieles, integraciones | Transacciones por empleado, comercios activos por empleado | Costo real por transacción, costo real por comercio activo |
| Salud | Agenda, chatbots | Pacientes o episodios por empleado | Costo real por paciente, costo real por episodio |
Todo indicador serio de automatización termina regresando a capacidad por empleado y costo por unidad servida.
LAS SALIDAS
Seis piezas. Cada una decide algo distinto.
Listadas por lo que resuelven, no por lo que discuten. Cuatro son argumentos; dos son instrumentos que se corren contra la propia organización, o contra uno mismo.
Gobierno de IA en entornos regulados
El modelo operativo: qué rol responde por cada decisión del ciclo de vida, y qué control acompaña al sistema mientras opera y no solo antes de lanzarlo.
Qué decide
Quién responde.
Abrir →Evaluación de madurez de gobierno de IA
Veintiocho preguntas respondidas contra evidencia actual, no contra planes. Devuelve madurez por dominio, el piso de control más débil y el perímetro operativo que soporta.
Instrumento · 28 preguntasQué decide
Dónde está parada.
Abrir →Medición de productividad de IA generativa
La escalera de medición completa, las falsas señales que la reemplazan, y la aritmética que separa un ahorro de nivel 2 del apalancamiento de nivel 4.
Qué decide
Qué cuenta como resultado.
Abrir →Agentes de IA para servicios financieros en América Latina
Siete capas —canales, identidad y delegación, orquestación, controles de política, conocimiento y tools, intervención humana, observabilidad— con el riesgo que carga cada una.
Qué decide
Cómo se construye.
Abrir →Seis perfiles ejecutivos frente a la IA generativa
Cuatro preguntas (comprensión, uso, confianza y verificación) y los seis perfiles que producen. Una tabla que ubica su perfil, su riesgo principal y el siguiente paso.
Instrumento · 4 preguntasQué decide
Quién está decidiendo con ella.
Abrir →El motor determinista que cuestiona al probabilístico
Por qué un regulado no puede exigirle consistencia a un modelo de lenguaje (LLM), qué pide de verdad el examinador, y la capa de control que convierte un requisito imposible en uno cumplible.
Qué decide
Qué valida al modelo.
Abrir →EN QUÉ ESTÁ ANCLADO
Un modelo ejecutivo original, construido sobre requisitos recurrentes.
No reproduce ninguna norma específica. Sus dominios reflejan requisitos que se repiten en los marcos más relevantes de gestión y riesgo de IA.
- NIST AI Risk Management Framework + Generative AI Profile
Gestión de riesgo a lo largo del ciclo de vida, gobierno, medición y perfiles contextuales para IA generativa.
- ISO/IEC 42001:2023 — Sistemas de gestión de IA
El gobierno de IA como sistema de gestión: liderazgo, riesgo, datos, controles de ciclo de vida, monitoreo y mejora continua.
- Reglamento de Inteligencia Artificial de la Unión Europea
Para IA de alto riesgo: gestión de riesgo, calidad de datos, documentación, logging, supervisión humana, robustez y monitoreo posterior.
Límites del modelo
- Los pesos y umbrales del perímetro operativo son parte de este modelo ejecutivo. No son umbrales regulatorios ni estándares de industria.
- La evaluación mide capacidad institucional a nivel empresarial. Un sistema específico puede requerir controles más estrictos por producto, cliente, jurisdicción, materialidad o exigencia legal.
- Un score autodeclarado sin documentación es una hipótesis, no una prueba de que el control funciona.