La adopción masiva de inteligencia artificial generativa en las organizaciones está forzando una conversación que muchos equipos de datos postergaron durante años: si los datos que alimentan los modelos no tienen propietario claro, linaje verificable y calidad documentada, el output del modelo hereda esos problemas y los amplifica a escala. Gobernanza de datos dejó de ser un ejercicio de compliance para convertirse en el prerrequisito técnico de cualquier iniciativa de IA corporativa.
La premisa es sencilla pero sus implicancias operativas son exigentes: un modelo de lenguaje grande (LLM) entrenado o ajustado con datos internos reproducirá los sesgos, duplicados, registros desactualizados y brechas de clasificación que existan en esas fuentes. El resultado no es solo un modelo inexacto; es un sistema que toma decisiones —o las sugiere— sobre una base que nadie auditó formalmente. Para los equipos de gobernanza, eso equivale a firmar un contrato sin leer las cláusulas.
Qué capacidades de gobernanza demanda la IA generativa
No toda la infraestructura de gobernanza existente es útil para IA generativa. Los marcos tradicionales —pensados para reportes regulatorios o data warehouses— se concentraron en la consistencia estructural de los datos. Los pipelines de IA generativa, en cambio, consumen datos no estructurados: documentos, correos, transcripciones, imágenes. Eso exige ampliar el alcance del catálogo de datos (data catalog) para incluir activos que históricamente quedaban fuera del inventario formal. Según el marco DCAM del EDM Council, la capacidad de gestión de datos no estructurados es una de las brechas más frecuentes cuando las organizaciones realizan una autoevaluación honesta de madurez.
Las capacidades críticas que la IA generativa pone bajo presión son, al menos, cuatro: data lineage —trazabilidad que permita responder de dónde vino cada dato que tocó el modelo—; data ownership con accountability real, no nominal; clasificación de sensibilidad que llegue hasta el nivel de documento o fragmento; y procesos de data quality que operen antes de que el dato entre al pipeline de entrenamiento o de RAG (Retrieval-Augmented Generation), no después. Bob Seiner, referente en Non-Invasive Data Governance, sostiene desde hace tiempo que la propiedad del dato debe recaer en quienes ya toman decisiones de negocio sobre él. Con IA generativa, esa lógica se vuelve urgente: si nadie es accountable por un conjunto de documentos, nadie puede autorizar su uso como contexto de un modelo.
Cuándo aplica este enfoque y cuándo no
Este razonamiento aplica con fuerza máxima cuando la organización usa RAG sobre repositorios internos, ajusta (fine-tunes) un modelo con datos propios, o construye agentes de IA que acceden a sistemas de registro. En todos esos casos, la calidad y la clasificación de los datos de entrada determinan directamente el comportamiento del sistema. El escenario donde aplica con menor urgencia —aunque no es irrelevante— es el uso de modelos de propósito general vía API pública sin inyección de datos propios: ahí el riesgo de gobernanza se traslada al proveedor, aunque la organización sigue siendo responsable de lo que el usuario final ingresa como prompt.
Una distinción práctica: las organizaciones que ya tienen un programa de gobernanza activo con data stewards designados, catálogo poblado y políticas de retención aplicadas pueden escalar hacia IA generativa con riesgo acotado. Las que tienen gobernanza “en papel” —políticas aprobadas pero sin ejecución operativa— enfrentarán problemas de confiabilidad que ninguna capa de MLOps puede resolver por sí sola.
El caso LATAM: regulación que convierte la gobernanza en obligación legal
En América Latina, la presión regulatoria refuerza el argumento técnico. La Lei Geral de Proteção de Dados (LGPD) de Brasil exige que las organizaciones puedan demostrar la base legal de cada tratamiento de datos personales. Si esos datos terminan en un pipeline de IA generativa sin que el data steward haya verificado el consentimiento original o la categoría del dato, la organización incurre en una violación potencial que la Autoridade Nacional de Proteção de Dados (ANPD) puede investigar. La situación es equivalente bajo la Ley 25.326 en Argentina, supervisada por la AAIP, y bajo la LFPDPPP en México, cuyo órgano de aplicación es el INAI. En los tres casos, el data lineage no es un lujo arquitectónico: es la evidencia que permite responder ante una inspección o un reclamo de titular.
Colombia presenta un escenario adicional: la Superintendencia de Industria y Comercio (SIC) ha emitido lineamientos sobre el uso de IA con datos personales que colocan la carga de demostrar minimización y proporcionalidad en el responsable del tratamiento. Sin un catálogo que registre qué datos alimentaron qué modelo, esa demostración es prácticamente imposible. El DAMA-DMBOK v2 contempla explícitamente la alineación entre el programa de gobernanza y los requerimientos regulatorios como una de las funciones del Chief Data Officer, y en LATAM esa alineación tiene nombre y apellido regulatorio.
Tres decisiones concretas para un equipo de gobernanza ante un proyecto de IA generativa
- Auditar el inventario de datos no estructurados antes de definir casos de uso: documentar qué repositorios existen, quién es el data owner formal, y si la clasificación de sensibilidad cubre esos activos.
- Extender el proceso de data quality hacia arriba en el pipeline: incorporar validaciones de completitud, consistencia y sensibilidad en el punto de ingesta, no en la etapa de evaluación del modelo.
- Establecer un proceso de autorización explícita por parte del data steward antes de que cualquier dataset ingrese a un sistema de RAG o fine-tuning, con registro auditable de la decisión y la base legal aplicable.
Estas tres acciones no requieren una transformación del programa de gobernanza existente: requieren extenderlo hacia un dominio de activos que quedó históricamente fuera de su alcance. La diferencia entre una organización que escala IA generativa con confianza y una que acumula deuda técnica y regulatoria suele radicar exactamente ahí.
Para profundizar en los requisitos de linaje y ownership para pipelines de IA, el DCAM del EDM Council y el DAMA-DMBOK v2 son los marcos de referencia más completos disponibles; ambos cuentan con capítulos específicos sobre integración de datos no estructurados y responsabilidades del data steward en contextos regulados.
