En muchas empresas, cuando aparece una nueva solución relacionada con software, hardware, sistemas o infraestructura digital, la primera conversación llega naturalmente al área de Tecnologías de la Información (TI). Esa área conoce los sistemas, administra accesos, revisa integraciones, atiende incidentes, habla con proveedores y protege la infraestructura que sostiene el trabajo diario.
Con la inteligencia artificial (IA) ocurre algo parecido. Si una empresa empieza a usar herramientas de IA, es razonable que TI revise seguridad, compatibilidad, accesos, nube, configuración, continuidad y riesgos técnicos. Ese trabajo es indispensable. Sin esa participación, no puede existir una adopción seria de IA.
Pero aquí empieza una distinción importante: que TI sea indispensable no significa que deba cargar sola con la gobernanza de IA.
La IA no solo plantea problemas de instalación, integración o seguridad. También puede tocar decisiones comerciales, relaciones laborales, datos personales, información confidencial, propiedad intelectual, comunicación con clientes, cumplimiento regulatorio y reputación empresarial. Por eso, pedirle a TI que resuelva por sí sola todo el gobierno de IA es cargarle una responsabilidad que excede su función natural.
No se trata de quitarle importancia al área técnica. Al contrario. Se trata de reconocer su verdadero valor y protegerla de una expectativa mal diseñada.
TI puede decir si una herramienta se integra correctamente, si los accesos están controlados, si existe un riesgo de ciberseguridad o si la infraestructura puede soportarla. Pero no debería ser la única área encargada de decidir si esa herramienta debe usarse en cierto proceso, qué datos puede tratar, qué impacto puede tener en personas, qué obligaciones legales activa o quién responderá si su resultado genera un daño.
Ahí está la diferencia entre control técnico y gobernanza.
El control técnico protege el funcionamiento de la herramienta. La gobernanza protege la decisión empresarial que permite usarla.
Una IA puede estar bien configurada y aun así utilizarse en un proceso inadecuado. Puede tener accesos controlados y aun así procesar información que no debía compartirse. Puede funcionar sin fallas técnicas y aun así producir resultados imprecisos, sesgados o difíciles de explicar. Puede ser segura desde el punto de vista tecnológico y, al mismo tiempo, generar riesgos legales, operativos o reputacionales.
Por eso, cuando una empresa dice “TI ya lo revisó”, conviene distinguir qué significa exactamente. Puede significar que se revisó la seguridad, la integración o la disponibilidad. Pero eso no necesariamente significa que la empresa haya definido el uso permitido, el nivel de riesgo aceptable, la supervisión necesaria o la responsabilidad frente a terceros.
Los marcos internacionales apuntan en esa misma dirección. La norma ISO/IEC 38500 aborda el gobierno de las tecnologías de la información como parte del gobierno de la organización, y no como una función puramente aislada del negocio.
También resulta relevante COBIT, un marco de referencia desarrollado por ISACA para el gobierno y la gestión de información y tecnología. ISACA es una organización internacional especializada en gobierno, auditoría, riesgo, seguridad, privacidad y calidad en tecnologías de información. La importancia de COBIT está en que no trata la tecnología como una función separada de la empresa, sino como parte de la generación de valor, la gestión de riesgos y la operación del negocio.
En materia específica de inteligencia artificial, la norma ISO/IEC 42001, sobre sistemas de gestión de inteligencia artificial, aborda la IA como parte de un sistema de gestión que requiere responsabilidades, procesos, seguimiento y mejora continua. El NIST AI Risk Management Framework, desarrollado por el National Institute of Standards and Technology, coloca la función de gobernar como una capa transversal en la gestión de riesgos de IA.
La misma lógica aparece en el AI Act de Europa, que organiza obligaciones bajo un enfoque basado en riesgos e incorpora temas como documentación, transparencia, supervisión humana, gestión de datos, robustez y ciberseguridad. Los principios de IA de la Organización para la Cooperación y el Desarrollo Económicos -OCDE- también insisten en una IA confiable, segura, responsable y sujeta a rendición de cuentas.
El mensaje de fondo es evidente: la IA necesita controles técnicos, pero no se gobierna solo con controles técnicos.
Esto es especialmente relevante para empresas medianas y en crecimiento. En muchas de ellas, TI ya soporta infraestructura, usuarios, licencias, nube, proveedores, seguridad, continuidad y soporte. Si además se le entrega toda la responsabilidad sobre IA sin una estructura empresarial que la acompañe, se generan dos riesgos.
El primero es para el área técnica: se le expone a responder por temas que también son jurídicos, operativos, contractuales, humanos y directivos. El segundo es para la empresa: puede creer que tiene gobernanza de IA cuando en realidad solo tiene revisión técnica. Ninguno de esos escenarios es conveniente.
La gobernanza de IA debe arropar a TI, no sustituirla ni sobrecargarla. El área técnica debe estar en el centro de la conversación, pero acompañada por una visión que conecte negocio, datos, contratos, personas, riesgos y dirección. De lo contrario, la empresa termina pidiendo a un área técnica que resuelva preguntas que pertenecen a toda la organización.
No se trata de crear burocracia ni de frenar innovación. Se trata de distribuir correctamente la responsabilidad. TI debe proteger la arquitectura técnica; la empresa debe definir el marco de decisión.
En IA, esa diferencia importa. Porque una herramienta puede estar técnicamente habilitada, pero no necesariamente empresarialmente gobernada.
Proteger a TI también protege a la empresa. Cuando la gobernanza de IA se diseña de forma integral, el área técnica deja de estar sola frente a un riesgo que no le pertenece exclusivamente, y la organización gana visibilidad, coordinación y capacidad de respuesta.
Porque en IA, la seguridad técnica puede evitar una falla del sistema; la gobernanza puede evitar una falla de dirección.
