Sistema de Responsabilidades

La inteligencia artificial deja de ser una promesa tecnológica cuando entra al Sistema de Responsabilidades de la organización

La discusión sobre inteligencia artificial está evolucionando. Después de la fascinación inicial por los modelos, los copilotos, los agentes y la productividad potencial, el verdadero desafío para las organizaciones ya no está en probar herramientas, sino en gobernarlas: identificar obligaciones, asignar responsabilidades, clasificar riesgos, conservar evidencias, reportar a la alta dirección y responder con criterio por los impactos del sistema. Eso es, precisamente, lo que aborda el Módulo 3 de la Certificación AI Officer de World Compliance Association y The White Box Project Institute (WCA & TWBPI): el pasaje de la IA como innovación a la IA como objeto de compliance, control interno y gobierno corporativo.

Hace tiempo que vengo observando una tensión bastante evidente en el mercado. Por un lado, casi nadie discute ya que la IA, y muy particularmente la IAG, tendrá un impacto profundo sobre procesos, productos, productividad, atención al cliente, análisis, marketing, riesgo, cumplimiento y toma de decisiones. Por otro lado, una gran cantidad de organizaciones todavía no tiene suficientemente claro cómo traducir ese poder en estructuras de gobernanza razonables. Abunda el entusiasmo y escasea la arquitectura institucional. Y cuando esa arquitectura falta, lo que parecía una promesa de transformación termina pareciéndose demasiado a una fuente de incertidumbre, de responsabilidades difusas y de riesgos mal entendidos. Esa preocupación ya aparecía con bastante fuerza en mis artículos sobre el “dilema del CIO” y sobre la alineación estratégica de la IAG, donde insistía en la brecha entre el boom del discurso y la verdadera preparación organizacional (ver La IA Generativa transporta los CIO a la adolescencia y Cómo alinear la IAG a la estrategia).

Estoy cursando la Certificación de AI Officer de WCA & TWBPI, y creo que una de sus mayores virtudes es no tratar la IA como un asunto exclusivamente técnico. El manual deja claro, desde sus primeras páginas, que busca formar Supervisores de Sistemas de IA desde un enfoque ético y de compliance, ofreciendo una guía para construir política de IA, gobernanza y gestión de riesgos, apoyándose en el AI Act de la Unión Europea, en la Recomendación de la UNESCO, en los Principios de la OCDE y en Normas ISO/IEC. En esa lógica es el momento en que el diálogo deja de girar alrededor de “qué puede hacer la IA” y pasa a tratarse sobre “cómo se la gobierna, quién responde y con qué evidencias”.

Creo que ahí está hoy el verdadero punto de madurez: la IA deja de ser una moda cuando entra al sistema de responsabilidades de la organización. Cuando deja de ser sólo una herramienta de negocio o un experimento tecnológico y pasa a integrarse a comités, políticas, inventarios, matrices RACI, modelos de control interno, auditorías y reportes al Directorio. En otras palabras: cuando deja de ser una charla de laboratorio y se convierte en un diálogo de gobierno corporativo. El manual lo formula casi en esos términos al señalar que la gobernanza de la IA debe integrarse al gobierno corporativo existente, evitando duplicidades, contradicciones y vacíos de responsabilidad.

El problema no es “usar IA” sino usarla con legitimidad

Hasta hace poco muchas discusiones sobre IA parecían reducirse a una pregunta casi adolescente: “¿deberíamos hacer algo con IA?”. Hoy esa pregunta no alcanza, o mejor dicho, ya no sirve. La pregunta relevante pasó a ser “¿cómo usa una organización la IA de una manera legítima, defendible, trazable y compatible con sus deberes de diligencia y rendición de cuentas?”

Ése es justamente el tipo de transición que ya había planteado al reflexionar sobre el desarrollo de una IA responsable en Uruguay: el verdadero desafío no está en la adopción tecnológica en sí misma, sino en pasar de un diálogo centrado sólo en competitividad a una conversación centrada en gobernanza, donde importan el diseño, los datos, los riesgos, los derechos potencialmente afectados, los controles y los mecanismos de supervisión y rendición de cuentas (ver Cómo desarrollar una IA responsable en Uruguay).

No se trata sólo de obedecer una norma. Tampoco se trata sólo de “ser éticos” en un sentido declarativo. Se trata de algo mucho más concreto: que la organización pueda demostrar que sabe qué Sistemas de IA usa, con qué finalidad, con qué nivel de riesgo, bajo qué controles, con qué responsables, con qué documentación y con qué mecanismos de revisión, monitoreo y corrección. El manual es muy claro al respecto en sus conclusiones: el cumplimiento en IA no depende únicamente del conocimiento normativo, sino de la capacidad de traducir obligaciones en estructuras organizacionales, políticas internas y evidencias verificables. Esa frase, aunque suene técnica, es extraordinariamente importante porque define con precisión el centro del problema.

He insistido antes en que muchas organizaciones siguen atrapadas en una especie de contradicción: desean acceder a los beneficios de la IA, pero todavía no han construido las condiciones internas para gobernarla con seriedad. Quieren productividad, pero no siempre tienen claridad sobre los riesgos. Quieren asistentes, agentes y automatización, pero no siempre cuentan con políticas de datos, mecanismos de trazabilidad, revisión humana significativa o criterios para decidir qué es admisible y qué no. Esa distancia entre la potencia tecnológica y la madurez institucional es, en el fondo, el territorio natural del Compliance y de la Gobernanza.

El AI Act europeo no es nuestra ley, pero sí una excelente línea base

Uno de los puntos más interesantes del módulo es el lugar que le asigna al Reglamento de Inteligencia Artificial de la Unión Europea. El manual no cae en la ingenuidad de presentarlo como si fuera automáticamente aplicable en América Latina. Tampoco lo desprecia por “extranjero”. Hace algo mucho más útil: lo toma como una referencia estructural para comprender cómo clasificar sistemas por nivel de riesgo y cómo asignar obligaciones diferenciadas en función de ese riesgo. Las conclusiones del módulo lo dicen con claridad: el AI Act es una referencia estructural para entender la lógica de clasificación por niveles de riesgo y de obligaciones diferenciadas aplicables a los Sistemas de IA.

Este enfoque parece muy sensato porque el AI Act se viene transformando en el principal organizador conceptual del debate regulatorio global en materia de IA. No porque todos los países lo vayan a copiar artículo por artículo, sino porque ofrece una arquitectura muy interesante: no toda IA plantea el mismo riesgo, y por lo tanto no toda IA debería cargar con la misma cantidad de controles, restricciones y evidencias.

Desde una perspectiva latinoamericana, lo importante no es actuar como si Bruselas legislara directamente para Montevideo, Santiago de Chile, Ciudad de México o São Paulo. Lo importante es entender qué puede aprender una organización de esa estructura: cómo pensar la proporcionalidad, cómo distinguir entre usos aceptables e inaceptables, cómo exigir más controles cuando crece el riesgo, y cómo construir gobernanza interna compatible con tendencias regulatorias que, tarde o temprano, terminarán influyendo sobre proveedores, clientes, contratos y expectativas del mercado. En mi artículo sobre la Recomendación de la UNESCO hice un planteamiento parecido: leer un instrumento global no como curiosidad académica, sino como marco práctico para orientar la actuación de actores públicos y privados en nuestra región (ver Recomendación de la UNESCO sobre Ética en la IA). Esa misma lógica vale aquí.

El verdadero error, a mi juicio, no sería “mirar demasiado a Europa” sino “no mirar a nadie”, y seguir actuando como si la ausencia de legislación nacional exhaustiva equivaliera a una ausencia de deberes.

América Latina: menos leyes específicas, más obligaciones indirectas

El manual subraya algo que considero crucial y que, sin embargo, muchas organizaciones todavía no han internalizado: en América Latina, aunque no exista una regulación uniforme sobre inteligencia artificial, múltiples marcos normativos sectoriales ya generan obligaciones indirectas plenamente exigibles. Protección de datos personales, defensa del consumidor, legislación laboral, contratación pública, responsabilidad civil, seguridad de la información, derechos de autor, normas financieras, secreto bancario y tributario, deberes de información, continuidad operativa: todo eso puede activarse cuando una organización introduce IA en procesos relevantes.

Esto no es una sutileza jurídica: es una cuestión de enorme relevancia práctica porque desmonta una creencia muy extendida: la idea de que “todavía no hay una regulación clara, así que podemos experimentar tranquilos”. No. La falta de legislación horizontal específica no significa vacío normativo. Significa, en todo caso, que la organización debe pensar mejor y trabajar hilando más fino. Debe interpretar cómo se combinan sus obligaciones existentes con los nuevos Sistemas que despliega. Y allí entra en juego el AI Officer o, más ampliamente, la capacidad de la organización de traducir marcos jurídicos dispersos en criterios de gobernanza consistentes.

Recientemente planteé ese tema al hablar de la brecha regulatoria: la tecnología avanza más rápido que la capacidad normativa, por lo que las empresas no pueden esperar a que todo esté legislado para recién entonces actuar; deben construir marcos internos prudentes y proporcionales, alineados con buenas prácticas reconocidas a nivel mundial (ver Cómo desarrollar una IA responsable en Uruguay).

Dicho de otro modo: el cumplimiento en IA no consiste solamente en considerar la ley. Consiste en interpretar responsabilidades antes de que el regulador, el juez, el auditor o el incidente obliguen a hacerlo de forma reactiva. Ésa es una diferencia fundamental entre una organización que adopta IA con entusiasmo y una organización que la incorpora proactivamente con madurez.

La OCDE y la debida diligencia: de los principios a la operación

Si el AI Act aporta la lógica de clasificación por riesgo, el modelo de Debida Diligencia de la OCDE aporta otra pieza indispensable: la lógica procesal para integrar principios en la Arquitectura de Gobernanza, Compliance y Control Interno. El manual lo formula de manera muy clara: el modelo de debida diligencia no se limita a declarar compromisos éticos; transforma principios en responsabilidades concretas. Y lo hace mediante un ciclo continuo: gobernanza y responsabilidad interna, identificación y evaluación de riesgos e impactos, prevención y mitigación, monitoreo continuo, transparencia y rendición de cuentas.

Me parece una articulación especialmente rica porque a menudo las organizaciones reciben marcos éticos o regulatorios como listas de aspiraciones o exigencias desconectadas. El valor de la debida diligencia está en convertir esas aspiraciones en preguntas concretas: ¿quién evalúa? ¿quién aprueba? ¿qué riesgos se consideran? ¿qué controles se aplican? ¿qué monitoreo se ejecuta? ¿qué se documenta? ¿cómo se responde a los reclamos? ¿cómo se corrigen los desvíos?

Aquí vuelve a aparecer una idea que ya traté al hablar de la UNESCO y del CEEIA: la ética seria no puede quedar reducida a narrativa reputacional; debe expresarse en mecanismos verificables de prevención, mitigación, seguimiento y rendición de cuentas (ver Recomendación de la UNESCO sobre Ética en la IA y Cómo desarrollar una IA responsable en Uruguay). La debida diligencia es en definitiva la puesta en práctica de esa afirmación.

Y desde el punto de vista empresarial, esta lógica tiene la ventaja de permitir integrar la IA a estructuras que las organizaciones conocen y utilizan: riesgo, compliance, seguridad, continuidad, calidad, tercera línea de defensa y reportes. La IA no necesita inventar desde cero una nueva cultura organizacional; necesita, más bien, ser tratada con la misma seriedad con la que se tratan otros procesos complejos y de alto impacto. El problema es que muchas organizaciones todavía no lo están haciendo.

La cadena de valor: el riesgo no se distribuye solo

Otra contribución muy importante del módulo es recordar que la responsabilidad en IA depende del rol que cada actor ocupa en la cadena de valor. El manual distingue, entre otros, proveedor, responsable del despliegue, importador y distribuidor. Esto es fundamental porque el ecosistema actual de IA ya no se parece al viejo mundo del software monolítico desarrollado internamente. Hoy convivimos con modelos de uso general, API’s, SaaS, cloud hypers-scalers, integradores, consultoras, fabricantes o vendors especializados y organizaciones usuarias que ensamblan piezas de múltiples orígenes.

Hace un tiempo expresé que en toda iniciativa de IA/IAG suelen interactuar tres grandes actores: fabricantes, consultores y organización usuaria, y que el éxito real depende en buena medida de la capacidad de estos dos últimos de identificar Casos de Uso con verdadera utilidad para el objeto de la organización (ver Cinco consejos para el éxito de sus iniciativas IA-IAG). Esa misma mirada, cuando se traslada al terreno del cumplimiento, se vuelve aún más exigente, porque ya no se trata sólo de cooperar para producir valor: se trata también de distribuir deberes, controles y responsabilidades de manera razonable.

En la práctica, esto significa que una organización no puede escudarse cómodamente en el prestigio del proveedor del Modelo ni el proveedor desentenderse del todo de los contextos previsibles de uso. El integrador que adapta, que configura y despliega también tiene responsabilidades. El responsable del despliegue, por definición, también las tiene. Y la organización usuaria no queda exenta por el mero hecho de haber comprado tecnología “de marca”. El tercer módulo es contundente al respecto: clasificar responsabilidades por rol en la cadena de valor y por nivel de riesgo permite asignar controles proporcionales y evitar vacíos de responsabilidad. Esa frase debería estar en las paredes de más de una empresa.

Nadie gobierna lo que no ve: inventario, comité, política y RACI

A esta altura, el módulo baja a instrumentos concretos de gobernanza, y aquí aparece algo que, a primera vista, podría parecer poco glamoroso, pero que en realidad es decisivo: el Inventario de Sistemas de IA. A mi juicio, éste es uno de los grandes “puntos ciegos” de muchas organizaciones que no saben exactamente qué Sistemas de IA usan, qué áreas los utilizan, con qué datos operan, con qué nivel de autonomía, qué proveedores intervienen, qué impactos pueden tener o qué riesgos deberían monitorearse. Sin inventario, la organización está parcialmente ciega, y nadie gobierna lo que no ve.

Esto se vincula con una preocupación que ya aparecía en mis artículos sobre Estrategia y Casos de Uso: la necesidad de seleccionar con criterio dónde la IA puede agregar valor, con qué gradualidad, con qué alineación estratégica y con qué viabilidad real de evolucionar de una prueba de concepto a un uso efectivo en producción (ver Cinco consejos para el éxito de sus iniciativas IA-IAG y Cómo alinear la IAG a la estrategia). El inventario cumple aquí una doble función: vuelve visible el universo de Sistemas y permite dejar de pensar la IA como suma dispersa de iniciativas aisladas.

Después aparece el Comité de IA, que me parece otra herramienta importante. No porque toda decisión deba escalarse burocráticamente, sino porque ciertos Casos de Uso requieren una instancia colegiada donde confluyan visiones de negocio, jurídicas, éticas, técnicas, de seguridad, de privacidad y de compliance. La IA, por su naturaleza, atraviesa áreas y rompe “silos”. Pretender que una única gerencia la gobierne por sí sola suele ser poco realista. En ese sentido, el comité es menos una capa burocrática que un mecanismo de integración. Y eso está alineado con la lógica que impulsamos en el CEEIA, al presentar ese espacio como una plataforma de diálogo, cooperación y construcción colectiva entre empresas, sector público, academia, sociedad civil y organismos internacionales en torno al desarrollo ético y responsable de la IA (ver Lanzamiento del Consejo Empresarial sobre la Ética en la IA). A escala país o a escala empresa, la lógica es similar: crear lenguaje común y deliberación estructurada.

La Política de IA cumple, a su vez, una función distinta pero complementaria. Establece el marco normativo interno, fija definiciones, criterios, prohibiciones, exigencias de aprobación, responsabilidades, principios y límites. Sin política, la organización puede tener buenas intenciones, pero le faltará un lenguaje común.

Y la Matriz RACI hace algo todavía más importante: evita que la ambigüedad organizacional termine convirtiéndose en riesgo operativo o en vacío de responsabilidad. Refleja quién ejecuta, quién aprueba, quién debe ser consultado, quién informado. La IA vuelve estas preguntas especialmente relevantes, porque suele reunir en un mismo caso a Tecnología, Datos, Negocio, Seguridad, Compliance, Privacidad, Auditoría y Proveedores externos. Si nadie aclara esa distribución se instala la confusión.

La IA entra por Tecnología pero se queda en el Gobierno Corporativo

Uno de los aportes más valiosos del tercer módulo está en su insistencia en integrar la IA al modelo de tres líneas de defensa y, más ampliamente, al Gobierno Corporativo. Esto es mucho más importante de lo que parece, porque todavía existe la tentación de tratar la IA como una “isla tecnológica” o como un tema reservado a Innovación, a Tecnología o, en el mejor de los casos, a Datos. Las buenas prácticas recomiendan exactamente lo contrario: la Gobernanza de la IA debe integrarse al Gobierno Corporativo mediante comités, políticas, matrices RACI, inventarios, auditorías y mecanismos de reporte a la Alta Dirección. Ése es, uno de los aspectos más importantes del cumplimiento normativo de la IA, porque en una organización madura los riesgos relevantes no viven aislados; se integran a modelos de control, a líneas de defensa, a circuitos de aprobación, a reportes ejecutivos y a estructuras de auditoría. Si la IA tiene potencial de afectar clientes, empleados, usuarios, decisiones, reputación, contratos, privacidad o continuidad operativa, no puede quedar librada al entusiasmo del área que la usa: debe ser considerada en el Gobierno Corporativo.

Este pensamiento también aparece en mi artículo sobre IA responsable en Uruguay, donde afirmé que la cooperación público-privada y multi actor será cada vez más decisiva porque ni el Estado ni el mercado, por sí solos, tienen capacidad suficiente para construir una gobernanza ética sostenible (ver Cómo desarrollar una IA responsable en Uruguay). Dentro de la empresa, podríamos decir algo análogo: ni Tecnología sola, ni Jurídica sola, ni el Negocio solo: la Gobernanza de la IA exige integración institucional.

Lo que no sube al Directorio no existe: KPI’s y reportes

El tercer módulo enfatiza este tema dedicando una sección específica a KPI’s y reportes a la Alta Dirección. La IA ha sufrido bastante de un problema clásico: demasiadas métricas técnicas, pero pocas métricas de gobierno. Mucho benchmark, mucha precisión, mucha disponibilidad, mucha latencia, mucho token, pero poca discusión sobre exposición al riesgo, estado de evaluaciones, responsables identificados, incidentes, auditorías, acciones correctivas, porcentaje de Sistemas inventariados o distribución por criticidad.

Los KPI’s deben ser de conducción, no sólo de operación, como lo demuestran ejemplos muy razonables: cantidad de Sistemas en uso, tipo de IA predominante, áreas impactadas, número de Sistemas de alto riesgo, incidentes relevantes, quejas o reclamaciones, estado de evaluaciones de impacto, porcentaje de Sistemas con responsable del despliegue identificado y grado de cumplimiento de la política de IA. Todo esto tiene una enorme virtud: traduce la IA a un lenguaje que el Directorio y la Alta Gerencia pueden gobernar.

En uno de mis textos anteriores, al analizar un caso concreto de aplicación de IAG, insistí en la necesidad de monitorear y gestionar la solución en forma continua, registrar lo que sucede, incorporar feedback y evolucionar el Sistema a partir de la evidencia recogida (ver Inteligencia Artificial bien aplicada). Eso, llevado al plano organizacional, se parece mucho a un modelo robusto de reporte, porque reportar no es solamente “informar hacia arriba”: es crear visibilidad suficiente para que la organización pueda aprender, corregir y decidir con mejor criterio.

Auditoría de IA y Auditoría Algorítmica

Pocas distinciones me parecen tan necesarias como la que el módulo establece entre Auditoría de IA y Auditoría Algorítmica. Son cosas relacionadas, pero diferentes, y confundirlas conduce a auditar mal. El manual lo explica con gran claridad en sus conclusiones y en sus desarrollos: la Auditoría de IA prioriza evidencias de gobernanza, procesos, controles y gestión documental, mientras que la Auditoría Algorítmica prioriza evidencias sobre impactos adversos a personas, grupos vulnerables y derechos fundamentales generados por decisiones automatizadas.

Esta distinción es esencial porque responde a dos preguntas diferentes: la Auditoría de IA pregunta: ¿la organización gobierna razonablemente bien su Sistema?; mientras que la Auditoría Algorítmica pregunta: ¿este Sistema produce, o puede producir, impactos adversos específicos sobre personas o derechos? Una organización puede tener una gobernanza documentalmente impecable y, aun así, un Sistema con problemas de sesgo o de afectación a grupos vulnerables. O puede ocurrir lo contrario: que el Modelo sea relativamente correcto, pero que el control organizacional sea muy débil. La buena supervisión debe considerar ambos aspectos.

Esta diferenciación también ayuda a que el diálogo sobre IA gane madurez, porque evita que se confunda “tener una política” con “haber resuelto el problema” o “usar Modelos técnicamente correctos” con “estar institucionalmente a salvo”. La gobernanza y el impacto son dimensiones distintas, aunque se crucen todo el tiempo. Y es precisamente allí donde la figura del AI Officer adquiere sentido como traductor entre lenguaje técnico, jurídico, ético y organizacional.

Oportunidad de tomar en serio la Gobernanza en Uruguay

Aunque el módulo no fue escrito pensando específicamente en Uruguay, también lo leímos en clave local. Haciéndolo identificamos lo que nos parece una oportunidad, porque Uruguay presenta hoy la singularidad de poder posicionarse como país piloto y pionero, no por escala, sino por calidad de gobernanza, por capacidad de articulación y por madurez institucional en torno a la IA. Ésa es una idea desarrollada en mis publicaciones anteriores: un país pequeño puede liderar no por tamaño, sino por calidad institucional, por seriedad de sus marcos de gobernanza y por capacidad de articular sector privado, sector público, academia y sociedad civil (ver Cómo desarrollar una IA responsable en Uruguay).

La creación del CEEIA refuerza precisamente esa lectura. No porque un Consejo Empresarial resuelva por sí solo todos los desafíos organizacionales, sino porque ayuda a construir lenguaje común, buenas prácticas, intercambio estructurado y cultura de gobernanza. En la invitación al reciente lanzamiento del CEEIA hablamos de diálogo, cooperación, construcción colectiva, objetivos y líneas de trabajo para 2026, y de una instancia de intercambio sobre desafíos y oportunidades de la IA para el desarrollo sostenible, la innovación y la gobernanza democrática (ver Lanzamiento del Consejo Empresarial sobre la Ética en la IA). Todos esos valores y principios están profundamente alineados con el espíritu de la Certificación del AI Officer.

Conclusiones

Si tuviera que resumir en una sola frase el mensaje esencial de este Módulo 3, diría que la Inteligencia Artificial madura cuando acepta entrar al mundo de la responsabilidad organizada, cuando acepta rendir cuentas. Mientras la IA sea sólo entusiasmo tecnológico, experimento desordenado o promesa de productividad, puede ser muy atractiva, incluso muy útil, pero no algo plenamente gobernable. La IA empieza a ser gobernada cuando la organización sabe qué Sistemas tiene, quién responde por ellos, con qué nivel de riesgo operan, con qué políticas se gobiernan, cómo se integran al control interno, cómo se reportan a la Alta Dirección y qué evidencias permiten justificar razonablemente sus decisiones.

Eso no es burocracia “vacía”, sino una forma de organizar y administrar poder tecnológico. Y me parece especialmente importante repetirlo en un momento histórico en el que el mercado sigue priorizando la velocidad, los modelos, los copilotos y los agentes. Todo eso puede ser muy valioso, pero ninguna organización seria debería permitir que la potencia de su inteligencia artificial crezca más rápido que su capacidad de controlarla, de documentarla y de responder por sus efectos.

El reto principal, como ya señalé anteriormente, no es técnico sino institucional (ver Cómo desarrollar una IA responsable en Uruguay). No gana la organización que prueba más herramientas: gana la organización que aprende antes que otras a gobernarlas. Porque la IA podrá ser cada vez más autónoma, más versátil y más influyente; pero la responsabilidad por sus consecuencias afortunadamente sigue siendo todavía profundamente humana.