El Reglamento de Inteligencia Artificial de la Unión Europea —conocido como AI Act— está revelando una verdad incómoda para los equipos de datos globales: los marcos de gobernanza que funcionaban para cumplir con GDPR o ISO 27001 no son suficientes para gestionar sistemas de IA de alto riesgo. Las brechas no son tecnológicas; son estructurales. Y las empresas latinoamericanas que exportan servicios o datos a Europa, o que simplemente modelan sus marcos locales sobre estándares europeos, deberían leer esto como una advertencia temprana.
El AI Act, en vigor desde agosto de 2024 con plazos de cumplimiento escalonados hasta 2026, clasifica los sistemas de IA según su nivel de riesgo. Los sistemas de alto riesgo —que incluyen herramientas de selección de personal, scoring crediticio, evaluación educativa y gestión de infraestructura crítica— deben cumplir con requisitos específicos de documentación, trazabilidad, supervisión humana y calidad de datos de entrenamiento. Ahí es exactamente donde los equipos de datos están fallando.
Las cuatro brechas que el AI Act vuelve inocultables
La primera brecha es de linaje de datos (data lineage). El artículo 10 del AI Act exige que los conjuntos de datos utilizados para entrenar sistemas de alto riesgo sean “relevantes, representativos, libres de errores en la medida de lo posible y completos”. Para demostrar eso ante un auditor, se necesita linaje de punta a punta: saber de dónde vino cada registro, cómo fue transformado y quién autorizó su uso. La mayoría de los data warehouses corporativos no tienen ese nivel de trazabilidad documentado, y muchos equipos confunden el linaje técnico —el que registra una herramienta de ETL— con el linaje semántico que exige un marco regulatorio.
La segunda brecha es de ownership. En DAMA-DMBOK, el concepto de data steward —el responsable de un dominio de datos con accountability formal sobre su calidad y uso— es central. Sin embargo, en la mayoría de las organizaciones, la pregunta “¿quién es el steward del dataset de entrenamiento del modelo de scoring?” genera silencio. El AI Act asume que alguien puede responder esa pregunta bajo presión regulatoria. Si no existe esa persona o ese rol está vacante, el incumplimiento es casi automático.
La tercera brecha es de documentación de modelos. El AI Act requiere que los sistemas de IA de alto riesgo cuenten con documentación técnica actualizada antes de su despliegue (Anexo IV). Esto incluye descripción del propósito del sistema, métricas de rendimiento, datos de entrenamiento y limitaciones conocidas. Muchos equipos de datos tienen esa información dispersa entre notebooks de Jupyter, wikis internas desactualizadas y correos electrónicos. No existe nada equivalente a un “model card” formal y auditado.
La cuarta brecha —quizás la más difícil de resolver— es de gobernanza de sesgos. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica la gestión de calidad como una capability central. Pero la calidad estadística de un dataset no es equivalente a su equidad representacional. Un modelo puede entrenarse con datos técnicamente “limpios” que, sin embargo, subrepresentan a determinados grupos demográficos. Detectar y documentar eso requiere capacidades que van más allá del data quality tradicional y que pocos equipos tienen institucionalizadas.
Por qué el AI Act obliga a repensar el rol del CDO en Europa y en la región
El cumplimiento del AI Act no puede delegarse al equipo legal ni al equipo de machine learning por separado. Requiere que el Chief Data Officer opere como un articulador entre tres frentes: el catálogo de datos (¿qué datos existen y quién los gobierna?), el ciclo de vida del modelo (¿cómo se documentan las decisiones de entrenamiento?) y el marco de supervisión humana (¿qué controles existen para revisar las salidas del sistema?). Esto implica, en la práctica, elevar el nivel de madurez de gobernanza de datos de toda la organización, no solo del equipo de IA.
Para un CDO que opera bajo este marco, la pregunta concreta esta semana es: ¿cuántos de los sistemas de IA en producción en mi organización podrían clasificar como alto riesgo bajo el AI Act? Si la respuesta es “no lo sé”, el primer paso es realizar un inventario de sistemas con su clasificación de riesgo tentativa. Ese inventario es, además, el insumo mínimo que cualquier auditor europeo solicitaría en una inspección. Herramientas como los frameworks de Microsoft Responsible AI o las guías del NIST AI RMF (AI Risk Management Framework) ofrecen taxonomías usables para ese ejercicio.
Argentina, Brasil y México: tres marcos locales, tres niveles de exposición distintos
En Argentina, la Agencia de Acceso a la Información Pública (AAIP) publicó en 2023 sus lineamientos de inteligencia artificial y protección de datos personales, que incorporan principios de no discriminación algorítmica y transparencia. Sin embargo, el marco argentino no tiene rango de ley específica de IA, y la Ley 25.326 de Protección de Datos Personales —que data del año 2000— carece de disposiciones sobre calidad de datos de entrenamiento o documentación de modelos. Las empresas argentinas que operan en Europa bajo el AI Act no encuentran en la normativa local un espejo equivalente que las prepare.
Brasil presenta un escenario más avanzado. La Lei Geral de Proteção de Dados (LGPD) ya establece en su artículo 20 el derecho a revisión de decisiones automatizadas que afecten intereses del titular, lo que obliga a las organizaciones a mantener algún nivel de documentación sobre el funcionamiento de sus modelos. Además, el proyecto de ley de regulación de IA (PL 2338/2023), que avanza en el Senado, adopta una estructura de clasificación por riesgo que es deliberadamente compatible con el enfoque europeo. Brasil es, hoy, el país de la región con mayor coherencia regulatoria en preparación para el AI Act.
México, en tanto, está en una posición más expuesta. El INAI —Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales— ha emitido recomendaciones sobre IA, pero la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) no cubre el ciclo de vida de modelos de IA ni establece requisitos de calidad de datos de entrenamiento. Las empresas mexicanas con operaciones en Europa o con clientes europeos están navegando el AI Act sin un andamiaje regulatorio local que las oriente.
Qué monitorear: los plazos de cumplimiento que ya están corriendo
El AI Act tiene una arquitectura temporal que muchos equipos subestiman. Las prohibiciones para sistemas de riesgo inaceptable —como el scoring social generalizado o la identificación biométrica en tiempo real en espacios públicos— entraron en vigor en febrero de 2025. Los requisitos para sistemas de alto riesgo en sectores como empleo, crédito y educación son exigibles desde agosto de 2026. Los Códigos de Práctica para modelos de IA de uso general, incluidos los LLMs, deben estar listos para mediados de 2025. Para un CDO en una organización con presencia europea, el calendario no admite demoras.
El primer hito accionable es completar, antes de fin de 2025, un inventario de sistemas de IA clasificados por nivel de riesgo según los Anexos II y III del AI Act. El segundo es designar formalmente un data steward para cada dataset de entrenamiento de modelos de alto riesgo. El tercero es auditar si los catálogos de datos existentes registran suficiente metadata de linaje como para responder las preguntas del Anexo IV. Esos tres pasos no requieren nueva tecnología; requieren decisiones de gobernanza.
Nuestro análisis
El AI Act europeo está funcionando, paradójicamente, como el diagnóstico de gobernanza de datos más completo que muchas organizaciones nunca encargaron. Al exigir linaje documentado, ownership formal de datasets y documentación auditada de modelos, el reglamento está poniendo un precio concreto —multas de hasta 35 millones de euros o el 7% de la facturación global para infracciones graves— a lo que hasta ahora era solo una recomendación de mejores prácticas. En LATAM, la mayoría de las organizaciones que trabajan con IA están en un nivel de madurez de gobernanza que el CDMC clasificaría entre 1 y 3 sobre 5. Eso no es suficiente para el AI Act. La pregunta que los CDOs de la región deben responder no es si el reglamento europeo los aplica directamente: es si quieren que sus capacidades de gobernanza sean auditables, o solo presentables.
Los equipos que traten el AI Act como un problema exclusivamente legal perderán la oportunidad de convertir el cumplimiento en una ventaja operativa. Los que lo traten como un proyecto de gobernanza de datos tendrán los cimientos para escalar cualquier sistema de IA con menor riesgo regulatorio, en Europa y en la región.
