La gobernanza de IA no define lo que el modelo puede hacer, sino lo que la organización permite. Es un asunto de gestión, no técnico.
01. Por qué hace falta
A medida que el uso de IA se reparte por departamentos, deja de poder seguirse quién envía qué datos a qué herramienta. La gobernanza es el marco que pone orden en esa dispersión.
02. Inventario
El primer paso es la lista de aplicaciones de IA en uso: qué proceso, qué modelo, qué datos, quién responde. Sin esa lista no cabe evaluación de riesgos.
03. Política de uso
Qué clase de datos puede ir a qué herramienta, qué decisiones pueden automatizarse, qué salidas requieren aprobación humana. La política debe ser corta y aplicable; un documento de treinta páginas que nadie lee no sirve.
04. Roles
Tiene que haber un responsable: una persona o comité a cargo del uso de IA, con representación legal, de seguridad de la información y de negocio. Una política sin dueño acaba pronto solo en el papel.
05. Clasificación de riesgo
Cada caso de uso debe clasificarse por impacto. Una herramienta de resumen para eficiencia interna no puede estar al mismo nivel de escrutinio que un sistema que influye en decisiones de contratación.
06. Revisión
Revise no una vez al año, sino cada vez que se añada una herramienta y cada vez que cambie la regulación. Este campo se mueve rápido en tecnología y en normativa.