La adopción acelerada de inteligencia artificial en el sector educativo está revelando una brecha que muchas instituciones preferían no ver: sus datos no están gobernados. La conferencia EDUCAUSE 2026 puso este diagnóstico en el centro del debate, con un mensaje que trasciende a los campus universitarios y aplica a cualquier organización que haya empezado a desplegar IA sin primero ordenar su casa de datos.
El argumento de fondo es técnicamente simple pero organizacionalmente incómodo: los modelos de IA necesitan datos de calidad, con linaje claro, clasificados, y con ownership definido. Cuando esos atributos no existen —y en la mayoría de las instituciones educativas no existen de forma sistemática—, la IA no falla de manera obvia. Falla de manera silenciosa: genera respuestas inexactas, amplifica sesgos ya presentes en los datos históricos, o consume información sensible de estudiantes sin que nadie en la cadena haya autorizado ese uso.
La IA como auditor involuntario: tres fallas que EDUCAUSE ’26 puso sobre la mesa
Según se informó desde la conferencia, los panelistas identificaron patrones recurrentes en instituciones que desplegaron herramientas de IA generativa sobre sus repositorios de datos académicos y administrativos. Las fallas no eran de los modelos: eran de la infraestructura de gobernanza que debía sostenerlos. Los problemas más frecuentes se agrupan en tres categorías:
- Ausencia de catálogo de datos: las instituciones no sabían qué datos tenían, dónde estaban almacenados ni quién era el data steward responsable de cada dominio.
- Linaje roto: los datos llegaban a los sistemas de IA desde múltiples fuentes sin trazabilidad de transformaciones previas, lo que hacía imposible auditar los outputs del modelo.
- Shadow AI: docentes y personal administrativo conectaban herramientas de IA externas a repositorios institucionales sin pasar por ningún proceso de evaluación de riesgo ni validación de privacidad.
Este tercer punto es el más sensible en términos regulatorios. El uso no autorizado de IA generativa dentro de organizaciones —lo que la industria denomina shadow AI— no es un problema de ciberseguridad en primer lugar: es un problema de gobernanza. Cuando un docente sube información de sus estudiantes a un LLM externo sin que la institución haya evaluado ese flujo de datos, el framework DAMA-DMBOK lo clasifica como un fallo en la capability de Data Security y en la política de Data Quality, no como un incidente de red.
Cuándo aplica este diagnóstico y cuándo NO
Este análisis aplica directamente a instituciones —educativas o no— que están desplegando IA sobre datos que nunca pasaron por un programa formal de gobernanza: sin clasificación por sensibilidad, sin definición de dominios, sin data owners nombrados. Si una organización ya opera con un framework maduro —DCAM del EDM Council, ISO/IEC 38505, o equivalente— y tiene sus activos catalogados con metadata gestionada, la IA no expone brechas nuevas: las hace más visibles, pero el programa de gobierno ya tiene los controles para responder. El problema crítico es para quienes asumieron que podían postergar la gobernanza hasta “después de implementar la IA”. Ese orden no funciona.
Tampoco aplica —o aplica solo parcialmente— a organizaciones que usan IA exclusivamente sobre datos públicos o sintéticos, sin ingestión de datos personales de empleados, clientes o, en el caso educativo, estudiantes. En esos contextos, los riesgos de gobernanza son menores, aunque no inexistentes.
América Latina: universidades públicas bajo presión regulatoria creciente en Brasil, México y Argentina
El cuadro que describe EDUCAUSE 2026 resuena con fuerza en la región, donde las universidades públicas manejan volúmenes significativos de datos sensibles de estudiantes —condición socioeconómica, rendimiento académico, salud— bajo marcos regulatorios que están madurando rápidamente. En Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a las instituciones educativas a designar un Encarregado (equivalente al DPO europeo) y a realizar evaluaciones de impacto cuando el tratamiento involucra datos de menores o categorías sensibles. El uso de IA generativa sobre registros académicos de menores de edad activa directamente esa obligación.
En México, la LFPDPPP y los lineamientos del INAI exigen consentimiento informado para finalidades distintas a las originales de recolección: una universidad que recolectó datos de sus estudiantes para gestión académica y luego los usa para entrenar o alimentar un modelo de IA enfrenta un conflicto de finalidad que no puede resolver sin revisión legal. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) avanzó en 2024 con recomendaciones sobre IA y datos personales que, aunque no son vinculantes, anticipan el estándar que el proyecto de reforma de la Ley 25.326 buscará consolidar. Las instituciones educativas que no tengan un programa de gobernanza operativo cuando esa reforma se apruebe enfrentarán un costo de adecuación significativamente mayor.
Lo que un CDO debe hacer antes de que la IA ya esté en producción
El mensaje operativo de EDUCAUSE 2026 para quienes lideran gobernanza de datos es claro: la IA no espera a que el catálogo esté terminado. El despliegue ya ocurrió, o va a ocurrir en semanas. Frente a esa realidad, los pasos concretos son tres. Primero, ejecutar un inventario de flujos de datos hacia herramientas de IA —tanto las aprobadas como las que circulan sin autorización formal— y clasificar cada flujo por sensibilidad de los datos involucrados. Segundo, nombrar data stewards por dominio con responsabilidad explícita sobre los datos que alimentan sistemas de IA: el ownership difuso es el origen de la mayoría de las brechas que describe este diagnóstico. Tercero, revisar las bases legales de tratamiento según la normativa aplicable antes de escalar cualquier caso de uso de IA que involucre datos de personas —estudiantes, empleados, pacientes— para evitar conflictos de finalidad que son costosos de resolver a posteriori. Bob Seiner, referente del enfoque Non-Invasive Data Governance, insiste en que los stewards deben existir donde ya existe responsabilidad natural sobre los datos: en el sector educativo, eso es el área académica y el área de registro, no el departamento de IT.
Para profundizar, el marco de referencia más completo para este diagnóstico es el DAMA-DMBOK2, capítulo de Data Security, y los lineamientos de evaluación de impacto de la ANPD de Brasil, disponibles en gov.br/anpd, que incluyen criterios específicos para tratamientos automatizados con potencial de decisión sobre personas.
