Gerald Kierce, CEO y cofundador de Trustible – Serie de entrevistas

Gerald Kierce, CEO y cofundador de Trustible, es un líder en tecnología y política centrado en la operacionalización de la IA responsable. Lidera la misión de Trustible para ayudar a las organizaciones a construir confianza, gestionar riesgos y cumplir con las regulaciones de IA emergentes. Anteriormente, se desempeñó como Vicepresidente y Gerente General de Soluciones de IA en FiscalNote, donde supervisó productos de IA empresariales y ocupó puestos senior en desarrollo corporativo, producto, éxito del cliente y operaciones ejecutivas. Su carrera ha estado consistentemente en la intersección de la tecnología, la regulación y la ejecución empresarial escalable.

Trustible proporciona una plataforma de gobernanza de IA que ayuda a las organizaciones a inventariar sistemas de IA, evaluar y mitigar riesgos, y operacionalizar la cumplimiento a través de flujos de trabajo estructurados y documentación. Diseñada para equipos legales, de cumplimiento y de IA, la plataforma centraliza las actividades de gobernanza, alinea los casos de uso de IA con marcos regulatorios y permite una implementación más rápida y transparente de la IA responsable en toda la empresa.

Después de mudarte de marketing de productos y trabajo de Jefe de Estado Mayor a liderar soluciones de IA en FiscalNote antes de fundar Trustible, ¿qué viste en esos roles que te convenció de que la gobernanza de IA necesitaba una plataforma dedicada, y qué problema estabas decidido a resolver primero cuando lanzaste Trustible?

Tuve la suerte de tener muchos roles durante mis 8+ años en FiscalNote, donde comencé como un empleado temprano de Seed/Series A y me fui como un ejecutivo senior después de la IPO.

A lo largo del marketing de productos, el trabajo de Jefe de Estado Mayor y eventualmente liderar soluciones de IA en FiscalNote, seguí viendo el mismo problema surgir desde diferentes ángulos. La gobernanza de IA es fundamentalmente un problema sociotécnico, pero la mayoría de las organizaciones lo abordaban de manera fragmentada. Los equipos trataban el rendimiento de IA, la seguridad, la privacidad, la ética y las revisiones legales como pistas separadas, a menudo propiedad de diferentes funciones con poco espinazo operativo compartido que las uniera. Esas cinco dimensiones son absolutamente importantes, y necesitan ser abordadas de manera colaborativa. Pero donde las organizaciones estaban luchando era traducir esa intención sociotécnica en algo duradero una vez que la IA se movió hacia la toma de decisiones reales.

Al mismo tiempo, el entorno regulatorio alrededor de la IA estaba cambiando claramente. La Ley de IA de la UE y las normas relacionadas señalaron un cambio hacia la gobernanza de la IA como infraestructura regulada en lugar de tecnología experimental. Lo que se hizo evidente fue que muchas empresas estaban tratando de mapear expectativas políticas y regulatorias en sistemas de IA después de la implementación, en lugar de diseñar la gobernanza que podría operacionalizar continuamente la intención regulatoria en esas dimensiones sociotécnicas.

Mi experiencia en FiscalNote fue importante porque estábamos aplicando la IA al paisaje político, legal y regulatorio en sí. Estábamos ayudando a las organizaciones a entender cómo evolucionan las leyes, cómo se interpretan los requisitos y cómo las expectativas regulatorias se traducen en obligaciones operativas con el tiempo. Esa experiencia hizo claro que la gobernanza de IA efectiva requiere la misma disciplina al revés: aplicar el pensamiento político y regulatorio directamente a cómo se construyen, implementan, monitorean y adaptan los sistemas de IA a medida que cambian las condiciones.

Los clientes consistentemente describieron los mismos puntos dolorosos. No podían responder con confianza qué sistemas de IA estaban en producción, cuáles eran de alto riesgo bajo las regulaciones emergentes, quién era responsable cuando los sistemas cruzaban fronteras funcionales, o cómo demostrar la cumplimiento continuo a medida que los modelos, los datos, los proveedores y las regulaciones evolucionaban simultáneamente.

Cuando lanzamos Trustible, el primer problema que nos propusimos resolver fue convertir la gobernanza sociotécnica de la teoría en realidad operativa. Nos centramos en crear un sistema que conecte el comportamiento técnico, el contexto de riesgo del caso de uso, la propiedad y las expectativas regulatorias en un solo lugar. Trustible se creó para dar a las organizaciones un sistema de registro vivo para la IA, con visibilidad y responsabilidad continuas, para que la gobernanza pueda mantener el ritmo con el cambio tecnológico y la evolución regulatoria en lugar de quedarse atrás.

Desde la primera línea, ¿qué has aprendido en el último año sobre por qué los programas de gobernanza se estancan una vez que la IA se mueve hacia decisiones, flujos de trabajo y experiencias de cliente reales?

Una vez que la IA se mueve fuera de la experimentación y hacia flujos de trabajo reales, la gobernanza tiende a estancarse por razones muy prácticas en lugar de filosóficas. La mayoría de las organizaciones simplemente no saben cómo evaluar el riesgo de IA de una manera que se ajuste a cómo se están utilizando los sistemas. Pueden evaluar modelos en abstracto, pero luchan por evaluar el riesgo a nivel de caso de uso, donde el contexto, el impacto y las decisiones posteriores importan mucho más que las métricas técnicas solas.

Este problema se vuelve aún más pronunciado con la IA generativa. Un solo modelo de base puede usarse para el soporte al cliente, la investigación interna, el soporte de decisiones o la generación de contenido, cada uno con perfiles de riesgo muy diferentes. Sin una forma estructurada de evaluar y comparar esos usos, los equipos o sobreactúan con la precaución o avanzan sin confianza real.

La IA de terceros complica aún más las cosas. Las organizaciones confían mucho en los proveedores y las capacidades de IA integradas, pero carecen de métodos consistentes para evaluar esos sistemas, comprender los controles de arriba y determinar cómo el riesgo del proveedor se traduce en su propia exposición operativa y regulatoria. Como resultado, las revisiones se vuelven subjetivas y lentas.

Estos desafíos se ven amplificados por las brechas en la experiencia y la propiedad. Las responsabilidades de gobernanza a menudo se distribuyen entre los equipos legales, de cumplimiento, de seguridad, de datos y de productos sin un marco compartido o un propietario claramente responsable una vez que los sistemas llegan a la producción. Combinado con herramientas inadecuadas como hojas de cálculo, repositorios de documentos o plataformas de GRC heredadas, los equipos de gobernanza pierden visibilidad sobre qué está cambiando y por qué importa.

En su núcleo, la gobernanza se estanca porque las organizaciones están aplicando viejos libros de juego diseñados para sistemas estáticos a sistemas de IA dinámicos. La IA requiere una evaluación continua del riesgo, una propiedad clara vinculada a los resultados y herramientas que reflejen cómo los sistemas se comportan realmente en la producción en lugar de cómo se aprobaron en papel.

Finalmente, la propiedad a menudo no se resuelve. En muchas organizaciones, no hay un propietario claramente responsable de un sistema de IA una vez que cruza desde la experimentación hacia la producción. Sin un propietario de negocios claramente responsable de los resultados, la gobernanza se vuelve consultiva y el progreso se desacelera.

El hilo común es que las organizaciones están aplicando viejos libros de juego de gobernanza a una tecnología fundamentalmente nueva. Esos libros de juego se construyeron para sistemas estáticos y revisiones periódicas. La IA requiere una evaluación continua del riesgo, una propiedad más clara y herramientas que conecten la gobernanza directamente a cómo los sistemas operan en realidad en la producción.

¿Cómo defines la gobernanza de IA del año dos, y qué cambia cuando una organización pasa de la adopción inicial a la monitorización continua, la gestión del desvío y la cumplimiento continuo?

La gobernanza de IA del año dos es el momento en que la IA deja de ser tratada como una serie de proyectos y comienza a ser tratada como infraestructura subyacente para la toma de decisiones. Lo que quiero decir con esto es que, en el primer año, la gobernanza de IA es en gran medida sobre la habilitación. Los equipos se centran en aprobar casos de uso, documentar modelos y establecer procesos de revisión para que la IA pueda avanzar de manera responsable.

A medida que los sistemas de IA se escalan y se integran en procesos comerciales básicos, el enfoque cambia. La pregunta ya no es si algo debe implementarse, sino si puede operarse de manera segura y confiable con el tiempo a medida que cambian los datos, los usuarios, los proveedores y las regulaciones. La gobernanza de IA se vuelve continua en lugar de episódica, desencadenada por cambios reales en el comportamiento o el contexto en lugar de revisiones basadas en el calendario.

El riesgo también se vuelve dinámico. En lugar de asignar una calificación de riesgo estática en el lanzamiento, las organizaciones necesitan comprender cómo evoluciona el riesgo a medida que los modelos se desvían, los alcances se expanden o nuevos actores interactúan con el sistema. El cumplimiento sigue el mismo cambio. Los requisitos regulatorios se mueven de ser mapeados a políticas a ser aplicados a través de controles en vivo, señales de monitoreo y evidencia capturada continuamente.

Otro aspecto clave de la gobernanza de IA del año dos es la introducción de la gestión real de incidentes de IA. Las organizaciones necesitan saber qué sistemas están siendo monitoreados, priorizarlos según el riesgo inherente, integrar los datos adecuados para superficiar señales significativas y definir criterios de alerta y escalada claros. Esto permite a los equipos intervenir temprano, antes de que los problemas se conviertan en incidentes.

Con sistemas fragmentados y recursos limitados, ¿cuáles son las primeras capacidades de gobernanza que crees que las empresas deberían estandarizar en toda la organización?

Cuando los recursos son limitados, las organizaciones necesitan ser deliberadas sobre dónde comienzan, porque las primeras elecciones establecen la trayectoria para todo lo que sigue. La primera prioridad es obtener visibilidad confiable en dónde realmente existe la IA en el negocio. Muchos equipos creen que tienen solo un puñado de sistemas de IA, solo para descubrir IA de sombra, capacidades de proveedores integradas y casos de uso escalados silenciosamente que nunca fueron revisados formalmente. Sin una visión viva de qué está en producción, las discusiones de gobernanza siguen siendo teóricas y desconectadas de la realidad.

Una vez que existe la visibilidad a través de su inventario de IA, se trata de impulsar la responsabilidad en los casos de uso de IA. La gobernanza se desmorona rápidamente cuando la responsabilidad se distribuye entre comités o funciones. Las organizaciones necesitan asignar claramente quién es responsable de los resultados cuando un sistema de IA toma o influye en decisiones, no solo quién lo construyó o revisó inicialmente. Esta claridad se vuelve especialmente importante cuando ocurren incidentes o cuando los modelos evolucionan más allá de su alcance original.

Desde allí, los equipos necesitan una forma práctica de razonar sobre el riesgo. Esto significa establecer un enfoque compartido para la clasificación del riesgo que funcione en sistemas internos, casos de uso de IA generativa y proveedores de terceros. Sin una lente de riesgo común, las organizaciones o sobreactúan con sistemas de bajo impacto o monitorean los que importan más.

Finalmente, la gobernanza debe generar evidencia como subproducto de las operaciones normales. A menudo nos gusta hablar de “Decirlo, Hacerlo, Probarlo” como una forma de demostrar confiabilidad en su gobernanza de IA. Capturar aprobaciones, cambios y señales de monitoreo a medida que los sistemas funcionan permite a las organizaciones responder a auditorías, incidentes, solicitudes de clientes y preguntas regulatorias con confianza en lugar de reconstrucción. Estos fundamentos no necesitan ser perfectos al principio, pero deben ser coherentes y repetibles si la gobernanza va a escalar.

¿Por qué crees que la gobernanza de IA necesita ser tratada con la misma seriedad que la ciberseguridad o la GRC, y dónde los líderes subestiman más la carga de trabajo operativa?

La gobernanza de IA conlleva un riesgo sistémico comparable a la ciberseguridad y la GRC, pero con una complejidad agregada. Al igual que los fallos de ciberseguridad, los fallos de IA pueden propagarse rápidamente e invisiblemente a lo largo de una organización. Al igual que la GRC, la IA se cruza con obligaciones legales, éticas y operativas. A diferencia de cualquiera de ellas, los sistemas de IA pueden cambiar de comportamiento con el tiempo sin acción humana explícita.

Dónde los líderes tienden a subestimar la carga de trabajo es en las demandas operativas continuas. El monitoreo es continuo en lugar de periódico. La coordinación abarca equipos de producto, datos, TI, legales, cumplimiento y compras. La gestión del cambio es constante porque los modelos, los proveedores, los casos de uso y las regulaciones evolucionan simultáneamente.

Las organizaciones que tratan la gobernanza de IA como un ejercicio de cumplimiento de una sola vez inevitablemente luchan. Aquellas que se acercan a ella como infraestructura operativa, similar a la seguridad o la ingeniería de confiabilidad, están mucho mejor posicionadas para escalar la IA de manera segura y sostenible.

A medida que los estados de EE. UU. impulsan normas de IA mientras la política federal sigue siendo controvertida, ¿cómo deberían diseñar las empresas la gobernanza para mantenerse resilientes a través de la incertidumbre regulatoria?

El entorno regulatorio para la IA es incierto y en evolución. Los programas de gobernanza más resilientes se construyen alrededor de los requisitos en lugar de regulaciones individuales. En lugar de reaccionar a cada nueva ley con procesos personalizados, las organizaciones deben centrarse en las expectativas comunes que aparecen en todas las jurisdicciones, como el inventario, la transparencia, la responsabilidad, la evaluación del riesgo, la supervisión humana y la documentación.

Cuando los sistemas de gobernanza son modulares, los nuevos requisitos regulatorios pueden mapearse en controles existentes en lugar de forzar a los equipos a reinventar su enfoque cada vez que el panorama cambia. Esto reduce la fricción y ayuda a la gobernanza a mantener el ritmo con el cambio de política.

El objetivo no es optimizar para el cumplimiento con las reglas de hoy, sino adaptarse a medida que las expectativas evolucionan.

Mirando hacia 2026, ¿qué capacidades de gobernanza de IA esperas que se vuelvan imprescindibles a medida que las organizaciones escalan la IA en más unidades comerciales?

A medida que la IA se mueve desde pilotos aislados a sistemas que moldean decisiones del mundo real, las expectativas de gobernanza están cambiando tan rápido. Para 2026, las organizaciones ya no podrán confiar en los libros de juego que funcionaron en 2024 y 2025, cuando la supervisión de IA a menudo era manual, episódica y centrada en revisiones individuales. El monitoreo continuo se convertirá en la norma, porque la documentación estática y las evaluaciones de un momento en el tiempo no satisfarán a los reguladores, las juntas, los empleados o los clientes en un entorno de IA dinámico.

A medida que la IA se integra en más equipos y flujos de trabajo, las organizaciones también necesitarán una gobernanza coherente en cadenas de suministro de IA cada vez más complejas. Los modelos internos, los proveedores de terceros, las características de IA integradas y los componentes autónomos todos necesitarán ser gobernados a través de la misma lente, en lugar de tratar la IA de proveedores como un punto ciego o asumir que la responsabilidad termina en la compra.

La evidencia lista para auditoría necesitará estar disponible a pedido a medida que se endurece la aplicación regulatoria y aumentan las expectativas públicas de transparencia. Esto significa capturar la actividad de gobernanza a medida que los sistemas de IA se diseñan, implementan y monitorean, en lugar de reconstruir decisiones después de un incidente o solicitud de auditoría.

Finalmente, la gobernanza necesitará estar integrada en todo el ciclo de vida de la IA. La supervisión no será una revisión legal en la implementación, sino una capacidad operativa integrada en los flujos de trabajo de SDLC, MLOps y compras para terceros. Las organizaciones que construyan estas capacidades estarán mejor posicionadas para adaptarse a la incertidumbre regulatoria, responder a incidentes y escalar la IA más rápido y de manera más segura a medida que las expectativas continúan evolucionando.

Si estuvieras asesorando a una empresa que ya tiene IA en producción pero no tiene un programa de gobernanza formal, ¿cómo sería un primer período de 90 días realista?

Los primeros 30 días deben centrarse en obtener visibilidad básica. Eso significa identificar qué sistemas de IA están en producción, comprender dónde influyen en decisiones reales y asignar propiedad clara.

La siguiente fase se trata de establecer controles básicos. Las organizaciones deben definir cómo clasifican el riesgo, introducir puntos de aprobación para sistemas de mayor riesgo y comenzar a monitorear las áreas que más importan.

En el tramo final, la gobernanza necesita moverse de la configuración a la operación. El monitoreo debe integrarse en flujos de trabajo existentes, los caminos de escalada deben definirse claramente y la evidencia debe comenzar a acumularse naturalmente a medida que los sistemas funcionan.

El objetivo durante los primeros 90 días no es la perfección. Es el impulso. Un programa de gobernanza que funciona imperfectamente en la práctica es mucho más valioso que uno que existe solo en papel.”

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Trustible.