LÃderes de opiniÃģn
Por quÃĐ la gobernanza de la IA sigue fallando
AÃąade Unite.AI a tus fuentes preferidas en Google
El problema no es que las organizaciones no tengan polÃticas de IA. Es que esas polÃticas no hacen nada en realidad.
En algÚn lugar entre el PDF con formato ordenado y el modelo desplegado, la intenciÃģn se evapora. Los equipos improvisan. Las excepciones se acumulan. La gobernanza se convierte de un sistema en una negociaciÃģn â y en industrias reguladas como la atenciÃģn mÃĐdica y las ciencias de la vida, esa brecha no es solo vergonzosa. Es una responsabilidad operativa.
La soluciÃģn no es mÃĄs documentaciÃģn. Es tratar la gobernanza como software.
La brecha de gobernanza ya es medible
La adopciÃģn de la IA ha acelerado dramÃĄticamente mientras que la infraestructura de gobernanza no ha mantenido el ritmo. Un estudio de septiembre de 2025 de Ernst & Young encontrÃģ que solo el 10% de las empresas estÃĄn completamente preparadas para auditar sistemas de IA. Al mismo tiempo, una nueva investigaciÃģn de Ponemon encontrÃģ que el 92% de las organizaciones dicen que la IA generativa ha cambiado la forma en que los empleados acceden y comparten informaciÃģn, pero solo el 18% ha integrado completamente la gobernanza de la IA en los programas de riesgos internos.
El patrÃģn es consistente: la IA ya estÃĄ integrada en el trabajo diario. La supervisiÃģn todavÃa estÃĄ atrÃĄs. Y cuanto mÃĄs tiempo la gobernanza permanece en forma de documento, peor se vuelve la brecha.
Gobernanza que se entrega
El concepto es deceptivamente simple: si un requisito de gobernanza no puede fallar una compilaciÃģn, no puede proteger la producciÃģn.
La gobernanza real tiene entradas, salidas, puntos de aplicaciÃģn y resultados observables. Se ejecuta continuamente â no trimestralmente. Y, crÃticamente, produce evidencia como subproducto del trabajo, no como un ritual de cumplimiento separado agregado despuÃĐs.
El modelo operativo se ve asÃ:
PolÃtica â Controles â Evidencia â MÃĐtricas
Las polÃticas definen la intenciÃģn. Los controles aplican el comportamiento. La evidencia prueba la ejecuciÃģn. Las mÃĐtricas validan los resultados. Esta no es una idea nueva â es exactamente cÃģmo funcionan los sistemas de seguridad y cumplimiento maduros. El cambio es aplicar la misma lÃģgica a la IA.
Los controles no son sugerencias. La evidencia no es documentaciÃģn. Y si un control requiere esfuerzo manual para producir evidencia, no es un control. Es una esperanza.
Niveles de riesgo, no teatro de riesgo
No todos los sistemas de IA merecen el mismo escrutinio. Tratar a una herramienta interna de bajo riesgo con el mismo rigor que un modelo de apoyo a la toma de decisiones clÃnicas es cÃģmo las organizaciones se detienen o se exponen innecesariamente.
El Marco de gestiÃģn de riesgos de la IA de NIST, lanzado en 2023, proporciona una estructura fundamental para pensar en esto â asignando el riesgo de la IA en cuatro funciones: Gobernar, Mapear, Medir y Administrar. Un modelo de gobernanza empresarial funcional se basa en esta lÃģgica con niveles de riesgo prÃĄcticos:
| Nivel | Alcance | Controles |
| MÃnimo | Herramientas internas, sin datos sensibles | Registro, controles ligeros |
| Limitado | De cara al usuario, riesgo moderado | DocumentaciÃģn, revisiÃģn de recordatorios, pruebas de seguridad |
| Alto | Decisiones reguladas o de alto impacto | EvaluaciÃģn de riesgos formal, registro de auditorÃa, control estricto de cambios |
| Prohibido | Casos de uso inaceptables | Bloqueado en el diseÃąo y la implementaciÃģn |
Lo que esto les da a los equipos de ingenierÃa es algo que rara vez obtienen de los procesos de gobernanza: claridad. No âÂŋquÃĐ debemos hacer?â sino âÂŋcuÃĄl es este nivel y quÃĐ desencadena?â
La buena gobernanza elimina la ambigÞedad. La gran gobernanza elimina el debate.
PolÃtica como cÃģdigo: de asesorÃa a ejecutable
Las polÃticas escritas en documentos son asesorÃas. Las polÃticas codificadas en pipelines son aplicables.
De la misma manera que la infraestructura se valida antes de la implementaciÃģn, los sistemas de IA pueden estar sujetos a controles automatizados que verifican si un caso de uso estÃĄ registrado, si existe la documentaciÃģn requerida, si los resultados de la evaluaciÃģn cumplen con los umbrales definidos y si el acceso a datos sensibles sigue el principio de privilegios mÃnimos. Estos controles se ejecutan en CI/CD. No esperan a un comitÃĐ. No dependen de la memoria o la buena voluntad de nadie.
Open Policy Agent â un proyecto graduado de la FundaciÃģn de ComputaciÃģn Nativa en la Nube â demuestra exactamente cÃģmo las reglas pueden ser versionadas, revisadas y aplicadas consistentemente en los ecosistemas de ingenierÃa. El patrÃģn es entendido. La brecha es que los equipos de IA no estÃĄn aplicando esto.
El sistema de IA mÃĄs seguro no es el que tiene las mejores polÃticas. Es el que tÃĐcnicamente no puede romperlas.
Controles especÃficos de LLM: donde se vuelve interesante
La IA generativa introduce una categorÃa de riesgo que los marcos de gobernanza tradicionales no estaban diseÃąados para â inyecciÃģn de recordatorios, manipulaciÃģn de salidas, mal uso de herramientas. Estos no son casos de borde. Son propiedades estructurales de cÃģmo funcionan los LLM, y como la cobertura de Unite.AI sobre la gobernanza de la IA agente ha seÃąalado, la brecha de gobernanza se vuelve aÚn mÃĄs pronunciada a medida que los sistemas de IA pasan de responder preguntas a tomar acciones.
La gobernanza efectiva para los sistemas GenAI requiere controles construidos especÃficamente para el comportamiento de LLM: separaciÃģn estricta de instrucciones del sistema y entrada del usuario, acceso controlado a herramientas y listas de permitidos, validaciÃģn de salidas antes de la ejecuciÃģn, salvaguardias contra la exfiltraciÃģn de datos y valores predeterminados seguros para una falla sin problemas.
Estos se asignan directamente a las clases de vulnerabilidad documentadas en el OWASP Top 10 para aplicaciones de LLM â un marco comunitario impulsado por mÃĄs de 600 expertos contribuyentes en 18 paÃses. La gobernanza de LLM es menos sobre lo que conoce el modelo y mÃĄs sobre lo que el sistema permite que haga.
La evidencia es infraestructura, no papeleo
Los auditores no confÃan en la intenciÃģn. ConfÃan en los registros.
En un sistema donde la gobernanza se entrega, la evidencia se genera automÃĄticamente: tarjetas de modelo que describen el uso y las limitaciones previstas, documentaciÃģn de datos que cubre la procedencia, informes de evaluaciÃģn que muestran el rendimiento y los riesgos conocidos, registros que capturan decisiones y cambios. Estos artefactos no existen para auditorÃas. Existen porque el sistema requiere que existan para funcionar.
La posiciÃģn de auditorÃa mÃĄs fuerte es cuando la evidencia ya existe antes de que nadie la solicite. Esto no es teÃģrico â los reguladores ya estÃĄn moviÃĐndose en esta direcciÃģn. Como un anÃĄlisis reciente sobre la gobernanza de la IA defensible seÃąala, las preguntas que los reguladores pronto harÃĄn ya no son solo âÂŋlo mantuviste?â sino âÂŋpuedes probar quÃĐ sucediÃģ, bajo quÃĐ polÃtica, utilizando quÃĐ datos y con quÃĐ autoridad?â
El argumento real: la gobernanza como acelerante
El mito persistente es que la gobernanza y la velocidad estÃĄn en oposiciÃģn. En la prÃĄctica, la gobernanza mal diseÃąada ralentiza a los equipos. La gobernanza bien diseÃąada elimina la fricciÃģn.
Cuando los controles estÃĄn estandarizados, las comprobaciones estÃĄn automatizadas y las expectativas estÃĄn codificadas, los equipos dejan de negociar y comienzan a construir. Los lanzamientos se vuelven mÃĄs predecibles. Las decisiones dejan de requerir hÃĐroes de un pequeÃąo grupo de especialistas que han memorizado los documentos de polÃtica.
La gobernanza se escala cuando es infraestructura. No se escala cuando es una sensaciÃģn.
El objetivo nunca fue el control por su propio sake. Es el impulso sin caos â y las organizaciones que estÃĄn haciendo esto bien no son las que tienen el PDF mÃĄs completo. Son las que hicieron que el comportamiento correcto fuera el camino mÃĄs fÃĄcil.
