Los marcos de gobernanza de inteligencia artificial que las organizaciones construyeron entre 2022 y 2024 fueron diseñados para un tipo de IA que ya no existe: modelos estáticos, ciclos de actualización predecibles y casos de uso acotados. La irrupción de los agentes autónomos, los modelos multimodales y los sistemas de IA generativa encadenada volvió obsoletas las capas de control que muchas empresas consideraban suficientes.
La gobernanza de IA no es un proyecto de cumplimiento que se cierra con una política aprobada. Es una capacidad operativa continua que debe evolucionar al mismo ritmo que los sistemas que pretende controlar. El problema central es que la mayoría de los marcos actuales fueron calibrados para responder a preguntas de 2023: ¿quién aprueba el modelo?, ¿qué datos usa para entrenamiento?, ¿cómo se audita el output? Esas preguntas siguen siendo válidas, pero son insuficientes frente a sistemas que toman decisiones encadenadas, interactúan con APIs externas en tiempo real y modifican su comportamiento sin intervención humana directa.
El salto de los modelos estáticos a los agentes autónomos cambia el mapa de riesgo
Un modelo de lenguaje que genera texto bajo supervisión humana tiene un perfil de riesgo radicalmente distinto al de un agente que ejecuta flujos de trabajo, llama a herramientas externas, escribe código y lo despliega. En el primer caso, el humano está en el loop en cada decisión relevante. En el segundo, el humano aprueba el objetivo pero no cada paso intermedio. Los marcos de gobernanza que no distinguen entre estos dos perfiles están exponiendo a sus organizaciones a riesgos que no tienen nombre en sus matrices de riesgo actuales.
Esta distinción no es semántica. Implica preguntas operativas concretas: ¿quién es el “data steward” de las decisiones que toma un agente?, ¿cómo se audita el comportamiento de un sistema que no produce un output único sino una cadena de micro-acciones?, ¿qué umbrales de supervisión humana son aceptables para cada tipo de tarea? El NIST AI RMF (AI Risk Management Framework), publicado en 2023, ofrece una estructura útil con sus funciones de Govern, Map, Measure y Manage, pero su aplicación a sistemas agénticos requiere una lectura activa, no una implementación literal.
Lo que el AI Act europeo exige —y lo que muchos equipos en LATAM no ven venir
El Reglamento de Inteligencia Artificial de la Unión Europea (AI Act, Reglamento UE 2024/1689) clasifica los sistemas de IA por nivel de riesgo y establece obligaciones diferenciadas de transparencia, documentación técnica, supervisión humana y gestión de riesgos. Los sistemas de alto riesgo —entre ellos los usados en recursos humanos, crédito, educación y administración pública— deben cumplir con requisitos de trazabilidad y supervisión que van mucho más allá de lo que la mayoría de los marcos corporativos actuales contemplan. Aunque el AI Act aplica directamente a empresas que operan en el mercado europeo, su modelo de clasificación por riesgo ya está siendo adoptado como referencia metodológica por reguladores en Brasil, Colombia y México.
En América Latina, el proceso regulatorio avanza a velocidades distintas según el país. Brasil publicó en 2024 su Marco Legal de Inteligencia Artificial (PL 2338/2023), aprobado por el Senado y en proceso de revisión en la Cámara de Diputados, que adopta una lógica de riesgo similar a la europea. Colombia tiene en curso el proyecto de ley de IA radicado en 2024, alineado con los principios de la OCDE. México avanza más lentamente desde el Ejecutivo, aunque el IFT y la COFECE han emitido lineamientos sectoriales. Ninguno de estos marcos, aún en desarrollo, exige todavía que las empresas certifiquen su gobernanza de IA. Pero el período de gracia es finito: las organizaciones que empiecen a construir capacidades ahora tendrán una ventaja significativa cuando los requisitos sean vinculantes.
Cuándo aplica un rediseño del marco de gobernanza de IA — y cuándo no
No toda organización necesita reconstruir su gobernanza de IA desde cero hoy. El rediseño urgente aplica cuando: la empresa ya desplegó o está evaluando agentes autónomos o sistemas de IA con capacidad de acción (no solo de generación de texto); cuando los modelos en producción toman decisiones con impacto directo en personas (empleados, clientes, beneficiarios); o cuando la organización opera en sectores regulados —financiero, salud, educación— donde la trazabilidad del output ya es un requisito implícito o explícito. En cambio, una empresa que usa IA generativa exclusivamente para productividad interna, con supervisión humana en cada output, puede operar con un marco más liviano centrado en política de uso aceptable, clasificación de datos y entrenamiento de usuarios.
El error frecuente es aplicar el mismo nivel de control a todos los casos de uso. Un comité de ética que revisa cada prompt es tan disfuncional como un entorno sin ninguna supervisión. La gobernanza efectiva es proporcional al riesgo real del sistema, no al miedo institucional a la tecnología.
Tres capacidades que los marcos actuales raramente tienen
Revisando los marcos de gobernanza de IA más comunes en organizaciones medianas y grandes de la región, tres brechas aparecen de manera consistente:
- Ausencia de inventario dinámico de sistemas de IA: muchas empresas tienen un registro estático que se actualizó cuando se aprobó la política, pero no refleja los modelos que los equipos desplegaron después por su cuenta (shadow AI). Sin inventario vivo, la gobernanza es nominal.
- Falta de ownership sobre los outputs de IA: está claro quién aprobó el modelo, pero no quién responde por una decisión incorrecta tomada por ese modelo seis meses después. El concepto de data steward debe extenderse al dominio del output de IA, con accountability explícita.
- Ausencia de métricas de desempeño ético: los tableros de gobernanza de IA miden adopción, latencia y costo. Raramente miden sesgo diferencial por grupo demográfico, tasa de error en poblaciones vulnerables o drift de comportamiento a lo largo del tiempo.
Estas tres brechas no requieren tecnología nueva para resolverse. Requieren decisiones organizativas: quién es responsable, qué se mide y con qué frecuencia se revisa. El DAMA-DMBOK no cubre IA de manera específica, pero su lógica de stewardship, calidad del dato y ciclo de vida es directamente aplicable al dominio de los sistemas de IA cuando se adapta con criterio.
El texto del AI Act europeo y el Marco Legal de IA de Brasil (PL 2338/2023) son lecturas de referencia obligatorias para cualquier equipo que esté revisando su modelo de gobernanza de inteligencia artificial en la región.
