La brecha cada vez mayor entre la política sobre IA y su aplicación en el mundo real

La IA no tiene un único reglamento

La IA se está implementando en distintos sectores y aplicaciones más rápido de lo que pueden madurar las políticas y los marcos de gobernanza necesarios para supervisarla. Históricamente, las aplicaciones de IA se regían en gran medida por las normativas vigentes de protección al consumidor, privacidad y sectores específicos, además de las políticas internas de las propias empresas. Ahora los gobiernos están introduciendo requisitos específicos para la IA, pero estos siguen estando fragmentados y, a menudo, ofrecen poca orientación sobre cómo deberían funcionar realmente los sistemas. Por ello, las empresas deben conciliar los requisitos externos con su propia tolerancia al riesgo, sus objetivos de producto y sus realidades operativas.

La UE ya está aplicando activamente algunas disposiciones de la Ley de IA, mientras que la política federal de EE. UU. favorece explícitamente un marco nacional menos oneroso. La Executive Order 14365 busca limitar los requisitos estatales contradictorios, aun cuando los estados introdujeron más de 1.000 medidas relacionadas con la IA en 2025. Cada una de estas autoridades plantea un rumbo distinto, y son las empresas que desarrollan e implementan los sistemas las que deben conciliarlos.

Pero establecer requisitos regulatorios es solo una parte del desafío. A medida que la IA se implementa en más aplicaciones y contextos, las empresas deben traducir los requisitos generales y las políticas internas en controles operativos y decisiones individuales de IA. Ningún marco regulatorio puede anticipar todas las aplicaciones, todos los contextos ni todas las disyuntivas. Por ello, las organizaciones deben trazar un recorrido desde los requisitos que las rigen y sus políticas internas hasta el comportamiento del sistema, los resultados medibles y las auditorías o revisiones. El Marco de Gestión de Riesgos de IA del NIST adopta una perspectiva similar: hace hincapié en la medición y la gestión continuas, en lugar de tratar la gobernanza como un ejercicio de cumplimiento aislado. Los requisitos se transmiten hacia abajo y las pruebas vuelven hacia arriba: los reguladores y directivos pueden definir los resultados deseados, pero las organizaciones deben demostrar si sus sistemas realmente los están produciendo.

Esto hace que gran parte de la responsabilidad práctica de la gobernanza de la IA recaiga en las organizaciones que implementan estos sistemas.

La gobernanza se complica en la fase de implementación

Por lo general, las normativas y los marcos de gobernanza definen principios, obligaciones y resultados deseados. Sin embargo, los sistemas en producción deben traducirlos en decisiones concretas, y es en esa traducción donde la gobernanza se vuelve complicada. Una política puede establecer que se evite la discriminación, se proteja a los usuarios, se ofrezca transparencia o se permita una revisión humana significativa; aun así, un sistema operativo debe responder preguntas mucho más específicas: ¿en qué umbral actúa?, ¿en qué pruebas se basa y con qué grado de confianza?, ¿cuándo se requiere una revisión humana?, ¿qué se registra? y ¿qué ocurre cuando el sistema no está seguro?

Los reguladores ya esperan respuestas a esas preguntas. La FTC, el DOJ, la CFPB y la EEOC afirmaron conjuntamente que harán cumplir sus facultades vigentes respecto de los sistemas automatizados, lo que significa que, tarde o temprano, alguien pedirá a una empresa que explique cómo toma decisiones su sistema.

Pensemos en una plataforma con una política clara contra el acoso. Un mensaje con lenguaje soez puede ser una broma inofensiva entre amigos, mientras que otro aparentemente inocuo puede formar parte de una campaña sostenida para acosar a otro usuario. El sistema debe determinar qué contexto puede utilizar de forma fiable, cuántas pruebas bastan para intervenir y qué intervención es adecuada: bloquear el mensaje, advertir al remitente, remitir el caso a una revisión humana o no hacer nada. Bajar los umbrales de detección puede permitir identificar más conductas dañinas, pero también silenciar conversaciones legítimas. Exigir una revisión humana puede mejorar el criterio, pero retrasar la intervención. Ninguna de estas decisiones está especificada en una política general que prohíba el acoso; sin embargo, en conjunto determinan cómo se hace cumplir realmente esa política.

Ningún documento normativo resuelve de antemano esas disyuntivas, así que alguien dentro de la empresa debe tomar esas decisiones, documentarlas y revisarlas. En la práctica, esa persona está redactando políticas, lo diga o no el organigrama.

Qué exige realmente una IA responsable

Si quienes implementan un sistema son, en la práctica, quienes redactan las políticas, la IA responsable no puede limitarse a una declaración de intenciones: debe reflejarse en el comportamiento cotidiano del sistema. Esto implica gestionar el uso, la medición y la corrección de la IA a lo largo del tiempo, no solo aprobar una política o superar una evaluación inicial. En la práctica, hay tres ideas fundamentales, cada una derivada de las disyuntivas anteriores:

• La gobernanza debe ser proporcional a las consecuencias. Un sistema de IA que recomienda textos, aprueba un préstamo, señala una amenaza a la seguridad o respalda una decisión médica entraña riesgos muy distintos. Las organizaciones deben determinar en qué casos se justifican controles, revisiones y supervisión más estrictos, según las posibles consecuencias.
• La precisión por sí sola no basta. Los distintos errores tienen costos diferentes. Un falso positivo en la moderación puede silenciar expresiones legítimas, mientras que un error en los ámbitos de los préstamos, la atención médica o la seguridad puede tener consecuencias mucho más graves. La gobernanza debe reflejar el impacto real de una decisión, no solo el rendimiento del modelo.
• La evaluación y la retroalimentación continuas son esenciales. Las anulaciones, las apelaciones, los incidentes, los casos límite y los resultados posteriores deben alimentar la evaluación continua.

Un marco práctico para la gobernanza interna de la IA

Para llevar estos principios a la práctica, la gobernanza debe integrarse en el diseño, la implementación y la gestión de los sistemas de IA. Hay cuatro prácticas especialmente importantes:

• Incorporar los requisitos de gobernanza como requisitos del producto y del sistema desde el principio. Los controles de cumplimiento que se añaden después de la implementación suelen ser costosos y frágiles. Es mucho más fácil diseñar desde el inicio la privacidad, la transparencia, la auditabilidad y los mecanismos de revisión que incorporarlos posteriormente.
• Establecer una cadena auditable desde la política hasta la decisión. Las organizaciones deben poder vincular el requisito normativo o la política interna con el control aplicado y la decisión resultante. También necesitan las pruebas necesarias para evaluarla.
• Asignar responsabilidades y rendición de cuentas claras. Definir quién es responsable de la política, quién determina el nivel de riesgo aceptable y quién supervisa el desempeño. También debe haber alguien con autoridad para intervenir cuando el sistema se comporte fuera de esos límites.
• Crear una infraestructura de gobernanza compartida y adaptable. Los controles de datos, los registros de auditoría, las políticas configurables, los flujos de trabajo de revisión y la medición deben responder a distintos requisitos normativos y casos de uso. Los controles y umbrales deben poder adaptarse según la jurisdicción, la aplicación y el riesgo, para que las organizaciones respondan a los requisitos cambiantes sin reconstruir sus sistemas.

La gobernanza debe funcionar en la práctica

La regulación puede definir obligaciones y principios, pero las empresas aún tienen que traducirlos en sistemas que tomen decisiones reales a gran escala. Por eso, la gobernanza interna es una responsabilidad operativa, no solo un ejercicio de cumplimiento. Todas las empresas que implementan IA a gran escala ya están formulando políticas mediante sus umbrales, sus reglas de revisión y sus vías de escalamiento; la única cuestión pendiente es si lo hacen deliberadamente.

Los organismos reguladores seguirán definiendo los resultados que buscan y no siempre estarán de acuerdo, así que las empresas tienen que decidir cómo convertir esas expectativas en controles y demostrar con pruebas que estos funcionan. Las empresas que ahora establezcan responsabilidades claras, controles medibles, auditabilidad e infraestructura adaptable estarán mejor preparadas a medida que la regulación siga evolucionando.

He visto este problema desde varias perspectivas: en entornos de ciberseguridad, al crear modelos de riesgo y ahora al operar sistemas de IA a gran escala. En todos esos ámbitos, la lección es similar: un marco solo funciona si puede traducirse en decisiones claras, medirse en la práctica y mejorarse cuando la realidad deja al descubierto sus deficiencias.