Implementar inteligencia artificial sin una política de gobernanza de datos es como construir sobre arena: el modelo puede funcionar en demo, pero falla en producción donde los datos son inconsistentes, están mal clasificados o nadie sabe quién los posee. El despacho mexicano Arochi Lindner lo planteó en términos directos: la IA no es opcional para las empresas que quieran competir, y tampoco lo es el marco de gobernanza que la sostiene.
La advertencia no es nueva para quienes llevan años trabajando en gobierno del dato, pero el momento sí lo es. La adopción acelerada de herramientas de IA generativa en entornos corporativos —muchas veces impulsada desde áreas de negocio sin coordinación con equipos de datos— está exponiendo una brecha estructural: las organizaciones no tienen claro qué datos alimentan sus modelos, quién los valida, ni qué pasa cuando el output es incorrecto. Ese vacío es exactamente lo que una política de gobernanza de datos está diseñada para cerrar.
Qué significa “política de gobernanza” en la práctica, no en el papel
Una política de gobernanza de datos no es un documento de cumplimiento que vive en la intranet. Según el marco DAMA-DMBOK, es el conjunto de principios, responsabilidades y procesos que definen cómo se toman decisiones sobre los datos en una organización. En términos operativos, implica al menos tres cosas: que cada conjunto de datos crítico tenga un data owner identificado y con autoridad real para validar cambios; que existan definiciones acordadas en un glosario o catálogo de datos accesible; y que haya reglas claras de calidad que un sistema de IA pueda respetar o alertar cuando se violan. Sin esos tres elementos, cualquier modelo entrenado o alimentado con datos internos está operando sobre supuestos que nadie ha verificado.
El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), va un paso más allá y exige que las organizaciones documenten el linaje de los datos —data lineage— que alimentan sistemas automatizados de decisión. Esto no es un lujo técnico: es la única forma de auditar por qué un modelo tomó una decisión específica, algo que reguladores en Europa y, cada vez más, en América Latina están comenzando a exigir formalmente.
Cuándo aplica / cuándo NO
Esta exigencia aplica en toda organización que use IA para decisiones que afectan a terceros: scoring crediticio, selección de personal, atención al cliente automatizada, detección de fraude, entre otros. También aplica cuando los datos que alimentan los modelos incluyen información personal, sensible o regulada sectorialmente —datos financieros, médicos o fiscales—. No aplica de la misma manera a experimentos de IA en sandbox sin datos de producción ni a herramientas de productividad interna que no procesen datos corporativos críticos. La distinción importa porque muchos equipos postergan la gobernanza argumentando que “todavía están en fase piloto”, cuando en realidad ya están usando datos reales de clientes o de operaciones.
El contexto mexicano: LFPDPPP, NOM-151 y la presión regulatoria que se acerca
En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) ya establece obligaciones de responsabilidad sobre el tratamiento de datos que, interpretadas en clave de IA, exigen saber qué datos se usan, para qué y con qué base legal. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) no ha emitido aún lineamientos específicos sobre IA, pero la presión regulatoria regional —impulsada por el AI Act de la Unión Europea y el avance de marcos nacionales en Brasil y Colombia— hace previsible que esa brecha se cierre en los próximos dos años. Las empresas que lleguen a esa conversación regulatoria sin una política de gobernanza documentada van a tener muy poco margen de maniobra.
Brasil, a través de la ANPD, ya publicó en 2024 una guía orientativa sobre tratamiento automatizado de datos personales bajo la LGPD. Colombia trabaja en la actualización de su régimen de protección de datos con foco en decisiones automatizadas. En Argentina, la discusión sobre la reforma de la Ley 25.326 incluye explícitamente el tratamiento por sistemas de IA. El denominador común en todos los casos es el mismo: sin gobernanza de datos, no hay forma de demostrar cumplimiento.
Lo que debe hacer un CDO en los próximos 30 días
El punto de partida no es redactar una política desde cero —ese camino lleva meses y frecuentemente muere en comités—. La acción concreta es más quirúrgica: identificar los tres o cinco conjuntos de datos que ya alimentan o alimentarán sistemas de IA en los próximos seis meses, mapear si tienen data owner asignado con responsabilidad formal, verificar si existe documentación de su linaje y calidad, y determinar si hay alguna restricción legal sobre su uso en modelos automatizados. Ese inventario focalizado es el insumo mínimo para una conversación informada con el área legal y el negocio, y es la base sobre la que después se construye la política. Bob Seiner, referente en Non-Invasive Data Governance, sostiene que la gobernanza más efectiva es la que empieza por formalizar lo que ya existe informalmente en la organización —no por imponer estructuras nuevas desde arriba.
Las organizaciones que posterguen esta formalización no están evitando burocracia: están acumulando deuda regulatoria y técnica que, cuando venza, será considerablemente más cara de pagar. Para profundizar en los requisitos de linaje de datos en contextos de IA, el marco CDMC del EDM Council ofrece una referencia de acceso público en edm-council.org.
