Gobernanza de IA: checklist para el directorio y el CIO

¿Qué es la gobernanza de IA y por qué es tema de directorio?

La gobernanza de IA responde a tres preguntas: qué está haciendo la IA en la empresa, bajo qué reglas y quién responde por ella. Cuando la IA solo sugería textos, esas preguntas parecían un detalle técnico. Cuando empieza a operar procesos, manejar datos de clientes e influir en decisiones, se convierten en temas de riesgo, reputación y resultados.

Por eso el asunto llega al directorio. El directorio no necesita entender cada modelo, pero sí saber si la empresa tiene visibilidad sobre sus usos de IA, si los riesgos relevantes están mapeados y si alguien responde por ellos. Es el mismo papel que ya cumple en seguridad de la información y protección de datos.

También está el entorno regulatorio. En Brasil, la LGPD, ley general de protección de datos, está vigente con la ANPD como autoridad, y los sectores regulados siguen reglas de organismos como Bacen, CVM, ANS y Anvisa. El PL 2.338/2023, el proyecto de ley del marco legal de la IA en Brasil, fue aprobado por el Senado el 10 de diciembre de 2024 y, hasta octubre de 2026, seguía en análisis en una comisión especial de la Cámara de Diputados, con la votación pospuesta para después de las elecciones. El texto puede cambiar, pero la dirección es un enfoque basado en riesgo, con supervisión humana, transparencia y registros.

Lista de verificación de gobernanza de IA para el directorio

1 · ¿Tenemos un inventario de los usos de IA? El directorio debe recibir una visión consolidada de dónde se usa la IA, para qué sirve y qué áreas son dueñas de cada uso.

2 · ¿Sabemos cuáles son los usos más sensibles? Solicite una clasificación de riesgo que destaque los usos que afectan decisiones sobre personas, datos sensibles o procesos críticos.

3 · ¿Quién responde por la IA? Debe haber responsables designados, con roles claros entre negocio, TI, jurídico, seguridad y privacidad.

4 · ¿Cómo medimos valor y riesgo? La gobernanza debe mostrar tanto los resultados que entrega la IA como los incidentes, excepciones y revisiones, con informes periódicos al directorio.

Lista de verificación de gobernanza de IA para el CIO

1 · Acceso mínimo. Cada agente o herramienta de IA debe acceder solo a los datos y sistemas necesarios para la tarea, siguiendo los mismos permisos que aplican a las personas.

2 · Datos dentro del perímetro. Defina en qué entornos la IA puede procesar datos de la empresa, bajo qué contratos, y ofrezca alternativas corporativas para que nadie tenga que usar herramientas por su cuenta.

3 · Pista de auditoría. Registre qué datos consultó la IA, qué regla aplicó, cuál fue el resultado y quién lo aprobó. Sin registro, no hay forma de explicar una decisión.

4 · Supervisión humana. Defina en qué decisiones la IA actúa sola, en cuáles sugiere y una persona decide, y cómo funciona la revisión cuando alguien la cuestiona, incluida la revisión de decisiones automatizadas prevista en la LGPD (artículo 20).

5 · Proveedores y contratos. Revise con el área jurídica qué ofrece cada proveedor de IA en registros, protección de datos y transparencia, y quién conserva el contexto y las reglas construidas en la operación.

¿Cómo empezar la gobernanza de IA sin frenar la innovación?

El error más común es intentar escribir la política perfecta antes de saber qué existe. Empiece por el inventario y por los usos más sensibles. Una gobernanza proporcional al riesgo permite que los usos simples avancen rápido y que los críticos reciban más control.

También ayuda poner la gobernanza dentro de la operación y no al lado de ella. Cuando las reglas, los permisos y los registros forman parte del propio flujo de trabajo, el equipo no tiene que llenar controles por separado. La gobernanza deja de ser un freno y se convierte en la forma normal de trabajar.

Por último, trate la gobernanza como algo vivo. La regulación aún está en discusión, los usos de IA cambian y la empresa aprende. Revise con frecuencia el inventario y la clasificación de riesgo y ajuste con el equipo jurídico cuando se apruebe la ley.

Una buena regla práctica es separar tres niveles. Los usos de bajo riesgo, como resumir documentos internos, avanzan con orientación general. Los usos de riesgo moderado, como apoyar la atención al cliente, requieren reglas de acceso y registro. Los usos sensibles, que influyen en decisiones sobre personas o procesos críticos, exigen supervisión humana definida, revisión periódica y seguimiento del área jurídica. Así, el esfuerzo de control se concentra donde realmente está el riesgo.

Cómo Semantix integra la gobernanza en la operación

En Semantix, los agentes de IA se encargan del volumen y los especialistas del criterio, y usted elige hasta dónde llega Semantix: la plataforma, la construcción con su equipo o la operación con resultados en el contrato. Safetix, parte de Semantix AI Suite, gobierna esa operación: aplica reglas y permisos, da acceso solo a lo necesario y rastrea cada ejecución, con las aprobaciones humanas registradas. Los datos personales se enmascaran antes de llegar al modelo, y el cliente elige dónde se ejecutan los modelos, incluso en Brasil o en un entorno propio.

Operamos con certificaciones ISO 27001, ISO 27701, PCI-DSS y SOC 2 Type II y seguimos las discusiones de ABRIA y del PL 2.338/2023. Para quienes están diseñando su estrategia, el punto de partida es un diagnóstico que muestra dónde están los riesgos y el valor de la IA en su operación.

Así es como Semantix, The Enterprise AI Company, construye empresas que aprenden.