La voz del experto: «COBIT como marco de gobernanza holística para una I.A. confiable y sostenible».

Redactado por Emilio Piñeiro, quien es -entre muchas cosas- es Especialista en Compliance | Proyectos Consultoría | Formador y Conferenciante | Divulgador, LION | Catalizador de la Transformación Organizacional y el Desarrollo del Liderazgo

Nuestro grupo de WHATSAPP:

https://chat.whatsapp.com/IqHOw6tWwY8Kre1M4UU1Hm

COBIT como marco de gobernanza holística para una IA confiable y sostenible

Introducción

La adopción de la inteligencia artificial (IA) se ha acelerado en todos los sectores, prometiendo eficiencia operativa, mejora en la toma de decisiones y nuevos modelos de negocio. Sin embargo, junto con sus beneficios, la IA conlleva riesgos y dilemas éticos que las organizaciones no pueden ignorar. Para cosechar las ventajas de la IA sin comprometer valores ni incurrir en sanciones, resulta esencial un robusto sistema de gobernanza.

Este sistema debe garantizar que la IA sea confiable (es decir, transparente, resiliente, ética, privada y segura) a lo largo de todo su ciclo de vida.

En respuesta a estos retos, han surgido diversos marcos y estándares de IA responsable: desde los principios voluntarios de la OCDE hasta normativas vinculantes como la propuesta UE AI Act, pasando por el marco de gestión de riesgos de IA de NIST y el nuevo estándar ISO/IEC 42001. No obstante, cada uno presenta limitaciones al aplicarse en la práctica empresarial.

En este artículo analizamos críticamente dichos riesgos y marcos, y exploramos cómo COBIT (tradicionalmente un marco de gobierno de TI de alcance empresarial) puede servir como una arquitectura integradora más holística y adaptable para la gobernanza de sistemas de IA. Asimismo, articulará la visión del autor, Emilio Piñeiro (Territorio Compliance) sobre liderazgo ético, accountability organizacional y cumplimiento normativo como pilares de una IA sostenible. Finalmente, se ofrecen conclusiones con recomendaciones prácticas para empresas que deseen incorporar IA en entornos regulados.

Riesgos específicos de la IA y la necesidad de una gobernanza confiable

La IA plantea desafíos únicos que demandan una gobernanza cuidadosa y especializada. A diferencia de los sistemas de TI tradicionales, los sistemas de IA pueden actuar con cierta autonomía y aprender de datos, lo que introduce preocupaciones éticas y riesgos técnicos de nueva índole. Por ejemplo, los modelos de machine learning pueden amplificar sesgos existentes en los datos de entrenamiento, reproduciendo o incluso exacerbando desigualdades históricas. Si no se mitigan, estos sesgos pueden llevar a decisiones discriminatorias con consecuencias legales y reputacionales graves (e.g. algoritmos de contratación o crédito que excluyan injustamente a ciertos grupos).

La opacidad de muchos algoritmos avanzados (“cajas negras”) dificulta la transparencia sobre cómo la IA toma decisiones, lo cual erosiona la rendición de cuentas (accountability) y la confianza de usuarios y reguladores.

Sin mecanismos de explicabilidad (explainable AI), resulta complejo asignar responsabilidad cuando una IA comete un error o causa un daño.

Además, el uso de datos masivos por parte de la IA genera importantes riesgos de privacidad y cumplimiento normativo. Un sistema de IA mal gobernado podría violar leyes de protección de datos (p. ej., GDPR) o exponer información sensible, incurriendo en sanciones y dañar la reputación de la empresa. Incluso herramientas populares de IA generativa han demostrado riesgos inadvertidos, como la posible filtración de secretos comerciales si se introducen en servicios como ChatGPT sin las debidas precauciones.

En el frente de la seguridad, la IA es susceptible a amenazas cibernéticas novedosas. Se han documentado ataques adversarios donde actores maliciosos manipulan datos de entrada para engañar a los modelos (por ejemplo, alterando píxeles en una imagen para que un sistema de visión confunda una señal de “Pare” con otra de velocidad). Estos ataques podrían tener consecuencias críticas en entornos como vehículos autónomos o diagnósticos médicos. También existen riesgos de envenenamiento de datos (data poisoning) durante el entrenamiento, e incluso ataques de model inversion que permiten extraer datos personales de un modelo entrenado.

A los riesgos técnicos se suman los organizacionales.

Muchas empresas carecen de una definición clara de responsabilidades en torno a la IA: ¿quién “gobierna” la IA dentro de la organización? La ausencia de un dueño claro de la gobernanza de IA puede derivar en una supervisión fragmentada y en dificultad para alinear los sistemas de IA con la estrategia general del negocio. Un caso ilustrativo ocurrió en Air Canada, donde un chatbot de IA proporcionó información errónea a un cliente sobre tarifas por duelo. La aerolínea inicialmente se desentendió argumentando que el chatbot era una entidad separada, pero un tribunal rechazó esta excusa y la responsabilizó legalmente del resultado. El incidente evidenció graves fallos de accountability en la gobernanza de IA de la empresa. Sin una estructura de gobierno, las empresas arriesgan no solo pérdidas operativas o demandas, sino también la confianza de sus clientes y stakeholders.

Tenemos que tener en cuenta que los sistemas de IA traen aparejado un perfil de riesgo multidimensional (ético, técnico, legal, reputacional) que excede al de la TI tradicional. Esto exige marcos de gobernanza específicos que incorporen principios de IA confiable en cada etapa: desde el diseño y desarrollo (p. ej., garantizar calidad y diversidad de datos para evitar sesgos) hasta el despliegue y uso (asegurando ciberseguridad, privacidad y supervisión humana donde proceda).

La pregunta es cómo lograr esta gobernanza integral de forma efectiva, y ahí es donde evaluamos los marcos existentes y la propuesta de COBIT.

Limitaciones de los marcos existentes (OCDE, NIST, ISO 42001, EU AI Act)

Distintas organizaciones y gobiernos han propuesto marcos de referencia para orientar el desarrollo y uso responsable de la IA.

Aunque constituyen avances valiosos, cada enfoque tiene limitaciones cuando se trata de implementarlos como sistema de gobernanza completo dentro de una empresa:

• Principios de IA de la OCDE (2019): La Organización para la Cooperación y el Desarrollo Económicos emitió una serie de principios para una IA fiable, centrados en valores como los derechos humanos, la equidad, la transparencia, la robustez y la rendición de cuentas. Son la primera iniciativa intergubernamental en IA y han servido de base para otras directrices, promoviendo el uso de IA innovador y a la vez confiable. Sin embargo, se trata de lineamientos genéricos y voluntarios: la OCDE provee recomendaciones de alto nivel (incluso dirigidas a formuladores de políticas públicas), pero no mecanismos de aplicación vinculante ni detalles sobre cómo operativizar esos valores en la gestión diaria. Por tanto, la adopción depende del compromiso voluntario de las organizaciones, pudiendo quedar en declaraciones de buena intención sin cambios reales si no hay exigencias externas.
• Marco de Gestión de Riesgos de IA del NIST (AI RMF 1.0, 2023): El Instituto Nacional de Estándares y Tecnología de EE. UU. publicó un marco para gestionar los riesgos de la IA de forma estructurada. El NIST AI RMF define funciones como gobernar, mapear, medir y gestionar los riesgos a lo largo del ciclo de vida de los sistemas inteligentes. Hace hincapié en promover la IA confiable, abordando aspectos como sesgos, explicabilidad, robustez y seguridad. Aporta directrices prácticas y adaptables, por ejemplo, instando a la documentación de los contextos de uso de la IA, métricas para evaluar su desempeño, controles para mitigar riesgos identificados y monitoreo continuo de los sistemas. Su principal limitación es que se trata de un marco voluntario y orientativo, no de una obligación legal. NIST provee best practices flexibles que cada organización puede adoptar según sus necesidades, pero no establece requisitos prescriptivos ni certificables. Por tanto, la eficacia depende de la voluntad de la empresa en aplicarlo rigurosamente. Además, aunque cubre riesgos técnicos detalladamente, no aborda por sí mismo la gobernanza corporativa integral (p. ej., estructuras de gobierno o alineación estratégica más allá del riesgo).
• ISO/IEC 42001 (2023): Es el nuevo estándar internacional para un Sistema de Gestión de la IA (Artificial Intelligence Management System, AIMS). Publicado a fines de 2023, ISO 42001 establece requisitos para implementar, mantener y mejorar continuamente un marco organizacional que asegure un desarrollo, despliegue y operación responsables de la IA. Incluye controles y procesos formales de gestión de riesgos de IA, evaluación de impactos, gobierno de datos, transparencia, calidad y supervisión de terceros. En esencia, proporciona una estructura similar a ISO 9001 (calidad) o ISO 27001 (seguridad de la información), pero enfocada en IA: con ciclo de mejora continua (planificar-hacer-verificar-actuar), involucramiento de la alta dirección y cultura de mejora permanente en el uso ético de IA. La ventaja es que alinea la gestión de la IA con estándares globales y facilita demostrar cumplimiento (por ejemplo, se ve como herramienta para cumplir los requisitos del AI Act europeo). No obstante, al ser un sistema de gestión formal, requiere madurez y recursos significativos para su implementación y certificación. Su carácter estructurado, si bien robusto, podría percibirse como poco flexible ante tecnologías emergentes o cambios rápidos. Las organizaciones ágiles podrían verlo pesado, y su adopción aún es incipiente al ser tan reciente.
• Reglamento de IA de la Unión Europea (AI Act): La UE está ultimando un marco regulatorio vinculante para la IA, pionero a nivel mundial. El AI Act propone una clasificación de sistemas de IA por niveles de riesgo – inaceptable, alto, limitado, mínimo – aplicando restricciones o requisitos proporcionales a cada nivel.

Por ejemplo, se prohibirían usos de riesgo inaceptable (como sistemas de “puntuación social” al estilo chino), mientras que los sistemas de alto riesgo (ej. IA en reclutamiento, sanidad, finanzas, infraestructura crítica) deberán cumplir obligaciones estrictas de transparencia, trazabilidad, gestión de datos de alta calidad, supervisión humana, entre otras. El reglamento contempla exigencias de conformidad ex ante (evaluaciones de conformidad antes de lanzar el sistema) y sanciones severas por incumplimiento, con multas que podrían alcanzar porcentajes significativos de la facturación, similares a las del GDPR. La fortaleza del AI Act es brindar un marco legal uniforme y exigible en la UE, forzando a las empresas a tomarse en serio la gestión de riesgos de IA. Empero, presenta limitaciones: su enfoque prescriptivo puede resultar inflexible frente a innovaciones tecnológicas futuras (las leyes suelen rezagarse respecto al avance tecnológico). Cubre principalmente aplicaciones de alto riesgo, por lo que ciertas implementaciones de IA (p. ej. de riesgo limitado) quedarían sujetas solo a autorregulación. Además, las organizaciones globales deberán lidiar con un mosaico regulatorio, pues fuera de la UE pueden regir otros enfoques o ausencia de regulación. La falta de coordinación internacional conlleva normas incongruentes según la jurisdicción, lo que dificulta a empresas multinacionales cumplir requisitos diversos y potencialmente conflictivos.

En síntesis, los marcos actuales ofrecen piezas del rompecabezas de la gobernanza de IA: valores éticos (OCDE), enfoque de riesgo (NIST), sistema de gestión certificable (ISO), obligaciones legales según riesgo (UE). Cada uno aborda aspectos cruciales –desde promover la transparencia y equidad hasta asegurar la seguridad o el cumplimiento normativo– pero ninguno por sí solo proporciona una solución integral. Las organizaciones corren el riesgo de adoptar un enfoque fragmentado: por ejemplo, seguir principios éticos sin mecanismos de aseguramiento, o implantar controles técnicos sin una cultura organizacional que los sustente. Existe, por tanto, la necesidad de integrar estos principios y requisitos en un marco unificado dentro de la empresa, que sea a la vez holístico y adaptable.

COBIT como estructura de gobernanza holística y adaptable para IA

COBIT (Control Objectives for Information and Related Technologies) es un marco reconocido internacionalmente para la gobernanza y gestión de las TI en la empresa. Desarrollado por ISACA, COBIT ha evolucionado (versión 2019, sucesora de COBIT 5) para ofrecer un conjunto integral de dominios y procesos que cubren todo el ciclo de vida de la tecnología en la organización. Se estructura en cinco dominios –Evaluar/Dirigir/Monitorizar (EDM), Alinear/Planear/Organizar (APO), Construir/Adquirir/Implementar (BAI), Entregar/Servir/Soportar (DSS) y Monitorizar/Evaluar/Valorar (MEA)– abarcando 40 objetivos de control que van desde la planificación estratégica de TI hasta la entrega de servicios, seguridad, cumplimiento y mejora continua. Esta amplitud permite que COBIT cubra todas las áreas de gobierno de TI de la empresa: al más alto nivel, asegura que las iniciativas tecnológicas se alineen con los objetivos del negocio (dominio EDM) y que la dirección defina un marco de gobernanza con roles y responsabilidades claros; a niveles operativos, garantiza que se gestionen apropiadamente los riesgos, la calidad de los datos, la seguridad de la información, la continuidad del servicio, etc., y que se evalúe continuamente el desempeño y la conformidad (dominio MEA).

En esencia, utilizar un framework de trabajo como COBIT provee un modelo unificado de control sobre la tecnología, buscando optimizar el valor generado por las TI, gestionar eficazmente los riesgos y asegurar la alineación con la estrategia empresarial.

¿Por qué COBIT puede ser eficaz para gobernar la IA?

Primero, porque es holístico: no se centra solo en riesgos técnicos o en políticas de cumplimiento aisladas, sino que integra todos esos aspectos bajo una misma estructura. Su premisa central es alinear las TI (incluyendo la IA) con los objetivos estratégicos y las necesidades de los stakeholders, asegurando que se optimice el uso de recursos y se mitigue el riesgo dentro del apetito de la organización. Esto responde precisamente a las brechas identificadas en la sección anterior: COBIT enfatiza la accountability y la responsabilidad en la gestión de TI, evitando los vacíos de propiedad que a menudo afectan la gobernanza de IA. Por diseño, asigna responsabilidades claras a comités, dueños de procesos y otras estructuras, lo que se traduce en que cada iniciativa de IA tendría un responsable definido y un modelo de rendición de cuentas establecido. De esta manera, nos ayuda a subsanar el “nadie al volante” que suele ocurrir con proyectos de IA dispersos por la organización.

Segundo, COBIT es adaptable y puede incorporar otros marcos. Al no ser una norma rígida, sino un marco de control basado en principios y objetivos, las organizaciones pueden personalizarlo para integrar requisitos específicos de otros estándares o legislaciones. Por ejemplo, COBIT contiene objetivos relacionados con cumplimiento externo (p. ej. MEA03 Asegurar el Cumplimiento con Requerimientos Externos) que permiten encajar las obligaciones del AI Act u otras normativas dentro del esquema de controles de la empresa. Igualmente, sus objetivos de gestión de riesgos (APO12 Gestionar Riesgos, EDM03 Asegurar la Optimización del Riesgo) pueden ampliarse para incluir metodologías como NIST AI RMF en la identificación y tratamiento de riesgos específicos de IA. De esta forma, COBIT actúa como un marco paraguas bajo el cual se alinean y orquestan las distintas guías y estándares de IA, garantizando coherencia y evitando duplicidades o lagunas.

Figura 1: Elementos clave de una IA confiable (transparencia, resiliencia, ética, seguridad, privacidad, entre otros) que todo sistema de gobernanza de IA debe abarcar. Los principios de IA confiable pueden integrarse en COBIT de forma sistemática. COBIT ya contempla en sus procesos muchas de las capacidades necesarias para lograr una IA transparente, segura, imparcial, etc. Por ejemplo, para asegurar la transparencia y la explicabilidad, COBIT exige documentar los procesos y decisiones de TI de forma clara para los stakeholders, y en el dominio de evaluación (EDM) pide establecer un marco de gobierno que aclare las responsabilidades y haga visible la toma de decisiones. Esto se alinea con la necesidad de asignar responsables de los sistemas de IA y proveer evidencia explicativa de su funcionamiento (p. ej., mantener registros de datos de entrenamiento, algoritmos y criterios de decisión para auditorías). En cuanto a la resiliencia, COBIT incorpora prácticas de gestión de cambios y continuidad del negocio (BAI06 Gestionar Cambios, DSS04 Gestionar Continuidad) que ayudan a que los sistemas de IA se adapten a cambios inesperados o perturbaciones sin fallos catastróficos. Un sistema de IA resiliente puede resistir ataques o variaciones en los datos, y COBIT refuerza esto exigiendo procedimientos formales para actualizar modelos, parches de seguridad y planes de recuperación ante incidentes.

La ética y la equidad también encuentran cabida en COBIT a través de la dirección estratégica y los valores corporativos: el proceso EDM01 (Asegurar el Establecimiento del Marco de Gobierno) establece que la alta dirección defina principios y políticas que guíen el uso de la tecnología alineados con los objetivos de la empresa y con valores éticos. Esto implica que, bajo COBIT, la organización puede introducir lineamientos específicos para desarrollo y uso ético de IA (p. ej., prohibiendo ciertos usos, requiriendo evaluaciones éticas antes del despliegue, fomentando la equidad y no discriminación en los modelos). Asimismo, COBIT requiere (APO01 Marco de Gestión de I&T) que la estrategia tecnológica, incluida la IA, adhiera a estándares éticos y considere el impacto en la sociedad y el medio ambiente. De esta manera, aspectos como la no discriminación, la inclusividad y la responsabilidad social en IA pueden incorporarse dentro del sistema de gobierno de TI de forma tangible y medible.

En materia de seguridad de la IA, COBIT cuenta con múltiples controles: por ejemplo, DSS05 (Gestionar Servicios de Seguridad) y BAI09 (Gestionar Activos) exigen implementar salvaguardas para proteger la infraestructura y datos de TI. Aplicado a IA, esto se traduce en asegurar la integridad de los modelos (protegiendo tanto los datos de entrenamiento como los algoritmos y salidas) y blindar los sistemas contra accesos no autorizados o manipulación. COBIT promueve también la privacidad y calidad de los datos mediante procesos como APO14 (Gestionar Datos) y APO11 (Gestionar Calidad): se establecen criterios de calidad de datos, propiedad sobre ellos y revisiones periódicas para garantizar que los conjuntos de datos sean apropiados, exactos y libres de sesgos significativos. Estas prácticas ayudan a mitigar sesgos y a cumplir con regulaciones de datos personales, ya que COBIT integra explícitamente objetivos de cumplimiento normativo y políticas de datos que apoyan la privacidad por diseño.

En suma, COBIT ofrece un enfoque holístico y flexible para la gobernanza de IA porque cubre de manera transversal todos los principios de IA confiable, al mismo tiempo que mantiene la alineación con la estrategia y desempeño del negocio. Un gobierno de IA basado en COBIT puede abarcar desde los más altos niveles (estableciendo la visión, apetito de riesgo y ética corporativa respecto a IA) hasta los procesos operativos (implementando controles técnicos específicos en desarrollo, seguridad, monitoreo y mantenimiento de los sistemas inteligentes. Esto permite crear un ecosistema de control donde la IA se desarrolla y utiliza de forma responsable, pero sin sofocar la innovación: COBIT es suficientemente adaptable para incorporar nuevas métricas, riesgos emergentes o requisitos regulatorios en sus procesos a medida que la tecnología evoluciona. De hecho, su enfoque de mejora continua (dominio MEA) garantiza que el gobierno de IA no quede estático, sino que periódicamente se evalúen el desempeño y la conformidad de los sistemas de IA, introduciendo ajustes cuando sea necesario.

Liderazgo ético, #EcosistemaCompliance y sostenibilidad en la IA

Ningún marco de gobernanza tendrá éxito sin una cultura corporativa que lo respalde. Aquí es donde cobran protagonismo los principios defendidos por Emilio Piñeiro a través de Territorio Compliance y el concepto de #EcosistemaCompliance. Su visión subraya que la gobernanza de IA debe inscribirse en un esfuerzo más amplio de cumplimiento y ética transversal en la organización, involucrando a todas las áreas y liderado desde la alta dirección. Piñeiro plantea que el desafío de la IA no es meramente técnico, sino fundamentalmente organizacional y ético: “La ética aplicada a la IA no es un lujo. Es el único camino hacia una innovación legítima.”. Recuerda que implica…”si desplegamos IA sin consideraciones éticas profundas equivale a construir sobre arena; la innovación solo será sostenible si se cimenta en valores”.

Un elemento central es el liderazgo ético.

La dirección de la empresa debe impulsar con el ejemplo una transformación con propósito, donde la IA se incorpore para crear valor sin comprometer la integridad. Esto significa establecer una visión clara sobre qué usos de IA son aceptables o deseables, y cuáles no, más allá de simplemente “lo que es legal”. Por ejemplo, puede implicar renunciar a aplicar una IA si esta no encaja con los principios de la organización, aunque pudiera ser rentable a corto plazo. La alta dirección debe asimismo asignar responsabilidades concretas en materia de IA (p. ej., comités de ética de IA, nombrar un responsable de gobernanza de IA o incluir el ámbito de IA en las funciones del compliance officer). En palabras de Piñeiro, “liderar con IA no significa delegarlo todo a los algoritmos, sino asumir la responsabilidad de guiar lo que los algoritmos harán.”. Esto resalta la importancia de la accountability organizacional: aunque la IA automatice decisiones, la organización (y sus líderes) siguen siendo responsables últimas de los resultados. Un sistema de IA sin gobernanza ni supervisión humana no es una innovación, es una amenaza, porque actúa sin control ni alineamiento con los valores corporativos.

El enfoque de Territorio Compliance aboga por democratizar el cumplimiento en todos sus ámbitos –un verdadero ecosistema de compliance. En el contexto de IA, esto se traduce en fomentar la colaboración interdisciplinaria: expertos en datos e IA trabajando junto con profesionales de cumplimiento normativo, de seguridad de la información, de recursos humanos, legales y de negocio. Solo sentando a todas las partes implicadas en la misma mesa se puede gobernar la IA “desde la integridad” y de forma estructural, como señala Piñeiro. Es vital integrar la ciberseguridad, la privacidad, la ética y la cultura organizacional en el diseño y despliegue de la IA desde el inicio, y no como parches posteriores. Por ejemplo, antes de lanzar un proyecto de IA, se debería realizar una evaluación de impacto ética y legal (similar a las DPIA de protección de datos), con la participación del departamento legal/compliance; del mismo modo, seguridad informática debería probar la robustez del modelo ante posibles ataques adversarios; recursos humanos y formación tendrían que preparar a los empleados para convivir y colaborar con sistemas de IA, etc. Esta integración multidisciplinar es el corazón del #EcosistemaCompliance: el cumplimiento y la ética dejan de ser responsabilidad exclusiva de una unidad, para convertirse en un compromiso compartido por todas las áreas.

Otra pieza clave es la formación y sensibilización. Una gobernanza efectiva crea empresas “más conscientes, más responsables, más resilientes y, sobre todo, más humanas”. Para ello, se debe educar a todos los niveles (desde el consejo de administración hasta los desarrolladores y usuarios finales) en los riesgos de la IA, sus implicaciones éticas y los protocolos de cumplimiento asociados. Por ejemplo, Piñeiro propone capacitación obligatoria en IA ética para todos los implicados, acompañada de campañas de sensibilización con casos reales. Este tipo de iniciativas cultivan una cultura de cumplimiento en torno a la IA, donde los empleados entienden que seguir las directrices éticas y de seguridad no es un obstáculo, sino parte intrínseca del proceso de innovación. Asimismo, se deben establecer canales de reporte e incidentes específicos para IA (similar a canales de denuncias de compliance) donde cualquier empleado pueda alertar sobre sesgos detectados, fallos sistémicos o usos indebidos de IA sin temor.

La organización ha de reaccionar con rapidez ante estos reportes, investigando y corrigiendo desviaciones. Solo con mecanismos de escucha y mejora continua se puede mantener el control sobre tecnologías tan dinámicas.

En definitiva, la visión de Territorio Compliance enfatiza que la gobernanza de IA sostenible requiere tres ingredientes: liderazgo ético (tone at the top y ejemplo desde la dirección), accountability clara (responsables designados y compromiso de asumir consecuencias) y un enfoque de cumplimiento normativo proactivo (anticiparse a las regulaciones, ir más allá del mínimo legal y verlo como oportunidad de excelencia). Aplicado junto con un marco como COBIT, esto asegura no solo el cumplimiento de leyes y estándares, sino también la perdurabilidad de la innovación en IA. Como bien resume Emilio Piñeiro, “una política [de IA] sin ejecución no es ética: es postureo” – de nada sirve tener principios en papel si no se traducen en acciones concretas.

COBIT nos puede proporcionar esas acciones concretas (controles, procesos, métricas), mientras que el liderazgo ético y el Ecosistema Compliance proporcionan la convicción y el contexto cultural para ejecutarlas con rigor. La confluencia de ambos enfoques permitirá que la IA se incorpore de forma segura y responsable, generando valor a largo plazo sin sacrificar la confianza de la sociedad.

Conclusiones y recomendaciones

La incorporación de inteligencia artificial en entornos empresariales regulados exige mucho más que desplegar algoritmos sofisticados; requiere un marco de gobernanza integral que integre principios de IA confiable, gestión de riesgos, cumplimiento normativo y una fuerte cultura ética. Hemos analizado cómo los marcos existentes aportan piezas valiosas pero parciales, y cómo COBIT se perfila como una estructura unificadora capaz de rellenar los vacíos al abarcar la estrategia, los procesos y los controles necesarios de punta a punta. Al complementarlo con un liderazgo ético y un ecosistema de cumplimiento transversal, las organizaciones pueden gobernar la IA de forma sostenible, minimizando riesgos como sesgos, falta de accountability o ciberataques, a la vez que potencian la innovación responsable.

A modo de cierre, presentamos algunas recomendaciones prácticas para empresas que busquen incorporar IA en entornos regulados de manera exitosa y conforme a las mejores prácticas:

• Definir un marco interno de gobernanza de IA: Desarrolle una política corporativa de IA ética y establezca un marco de controles alineado con estándares reconocidos. COBIT puede servir de base para estructurar este sistema, incorporando requisitos de ISO 42001, NIST AI RMF u otros según aplique. El marco debe estar aprobado por la alta dirección e integrado en la gobernanza corporativa (no separado del gobierno de TI).
• Alinear la IA con la estrategia y valores corporativos: Antes de emprender cualquier proyecto de IA, pregúntese “¿Por qué implementamos esta IA y qué problema resuelve?”. Asegure que cada caso de uso esté justificado por objetivos de negocio concretos y que respete los valores éticos de la organización. Evite adoptar IA por moda o presión competitiva sin este filtro. La IA debe servir a la estrategia, y no al revés, tal como enfatiza COBIT con su principio de alineación estratégica.
• Establecer responsabilidad y supervisión desde el inicio: Asigne roles claros para la gobernanza de cada sistema de IA (ej.: un product owner o responsable de negocio, un responsable técnico, un referente de compliance) y defina comités o instancias de decisión para IA. Este framework de accountability debe incluir quién aprueba el despliegue de un modelo, quién responde si hay un error y quién revisa su desempeño. Considere formar un Comité de Ética y Cumplimiento de IA multidisciplinar que se reúna periódicamente para supervisar el portafolio de iniciativas de IA.
• Gestionar proactivamente los riesgos de IA: Implemente un proceso de evaluación de riesgos e impactos de IA antes y durante el ciclo de vida del sistema. Teniendo en cuenta que incluye realizar pruebas para identificar sesgos en datos/modelos, análisis de posibles impactos éticos (¿podría el sistema causar daño o discriminación inadvertida?), evaluaciones de privacidad (p. ej. una DPIA si trata datos personales) y análisis de amenazas de ciberseguridad (amenazas adversarias, vulnerabilidades en APIs, etc.); cada riesgo identificado debe tener planes de mitigación asignados, usando controles técnicos (p. ej. técnicas de fairness, cifrado de datos, rate limiting en modelos generativos) y procedimentales (p. ej. revisión humana de decisiones críticas, auditorías regulares). Priorice la mitigación de riesgos conforme al apetito de riesgo de su empresa, recordando que algunos usos de IA tal vez no sean tolerables si el riesgo residual es demasiado alto.
• Garantizar transparencia y calidad en los sistemas de IA: Exija que los modelos sean lo más explicables posible. Documente las decisiones de diseño, las variables utilizadas y provea información comprensible a usuarios y clientes sobre el funcionamiento básico del sistema (especialmente si es de alto impacto, conforme sugiere el EU AI Act). Mantenga registros de auditoría de las recomendaciones o decisiones tomadas por IA para posibilitar revisiones a posteriori. Asimismo, establezca criterios de calidad de datos y valide los conjuntos de entrenamiento y prueba: elimine sesgos conocidos, asegure diversidad representativa y actualice los datos regularmente para evitar deriva (data drift). La transparencia también aplica internamente: los equipos deben conocer las limitaciones del modelo y tener canales para reportar resultados extraños.
• Implementar controles de seguridad y privacidad desde el diseño: Adopte el enfoque de “seguridad por diseño” en IA. Proteja los datos usados por el modelo (enmascaramiento/anonimización si es posible, controles de acceso estrictos a datos sensibles) y aplique técnicas de privacidad diferencial u otras para minimizar la exposición de información personal. Prepárese contra ataques adversarios incorporando tests de penetración específicos para IA –por ejemplo, intentando engañar al modelo con inputs manipulados– e integrando contramedidas (filtros de entrada, modelos de detección de ataques). Controle las versiones de los modelos y establezca procedimientos de actualización segura (gestión de cambios) para cerrar vulnerabilidades conforme se descubran. No olvide incluir los sistemas de IA en su monitoreo de seguridad continuo (SOC): deben generar alertas si se detectan comportamientos anómalos o accesos no autorizados. En cuanto a resiliencia, planifique respuestas ante fallos de la IA: ¿qué hacer si el modelo principal deja de funcionar o da resultados incorrectos? Contar con backups, posibilidad de fallback a procesos humanos, etc., incrementa la robustez global.
• Fomentar una cultura de cumplimiento y formación continua: Asegure que todos los involucrados en el ciclo de IA reciben formación en ética, riesgos y cumplimiento relacionados con IA. Incluya casos prácticos de sesgos algorítmicos, implicaciones legales (p. ej. explicabilidad bajo el marco del AI Act) y procedimientos internos a seguir. Esta sensibilización debe extenderse también a la alta dirección y consejo, para que comprendan las oportunidades y riesgos de la IA y respalden los esfuerzos de gobernanza. Incorpore objetivos de cumplimiento de IA en las evaluaciones de desempeño de equipos clave, de modo que haya incentivos claros para respetar las políticas. Celebre los logros (por ejemplo, proyectos de IA auditados sin hallazgos de sesgo, o certificaciones logradas como ISO 42001) como victorias corporativas, reforzando el mensaje de que una IA confiable es parte del éxito del negocio, no un obstáculo. Por último, mantenga actualizados a los equipos con las últimas tendencias y cambios regulatorios en IA – la tecnología evoluciona rápidamente y el marco de gobernanza debe evolucionar en paralelo.

Implementando estas acciones, las organizaciones estarán mejor preparadas para integrar la inteligencia artificial de forma responsable, cumpliendo con la regulación vigente y ganándose la confianza de clientes, reguladores y de la sociedad en general. Un gobierno de IA robusto y ético no solo evita escollos legales o reputacionales, sino que se convierte en una ventaja competitiva: las empresas que demuestren que su IA es digna de confianza y aporta valor real tendrán mayores oportunidades en un mercado cada vez más exigente con el uso correcto de la tecnología.

Bibliografía orientativa

• OCDE (2019). Principios sobre Inteligencia Artificial. Recomiendan una IA innovadora y confiable que respete los derechos humanos y valores democráticos. Lineamientos voluntarios que enfatizan transparencia, responsabilidad, inclusión, crecimiento sostenido y bienestar.
• NIST (2023). Artificial Intelligence Risk Management Framework 1.0. Marco del Instituto Nacional de Estándares y Tecnología (EE. UU.) para gestionar riesgos de IA de forma estructurada. Fomenta la IA confiable abordando sesgos, explicabilidad, robustez, seguridad, con funciones de gobernanza, mapeo, medición y gestión del riesgo. Es de adopción voluntaria y adaptable a múltiples sectores.
• ISO/IEC (2023). ISO/IEC 42001:2023 – Artificial intelligence — Management system. Primer estándar internacional para sistemas de gestión de IA (AIMS). Establece requisitos para gobernar la IA con un enfoque de mejora continua, cubriendo evaluación de riesgos, transparencia y gobierno de datos. Ayuda a lograr IA ética, cumplimiento normativo y confianza de stakeholders mediante certificación.
• Unión Europea (2024). Reglamento (Acta) de Inteligencia Artificial (AI Act). Marco legal propuesto por la UE que clasifica los sistemas de IA por nivel de riesgo y establece obligaciones estrictas para usos de alto riesgo (gestión de datos, trazabilidad, supervisión humana, etc.). Busca asegurar una IA segura y ética dentro del mercado único europeo, con multas severas por incumplimiento.
• ISACA (2019). COBIT 2019: Framework for the Governance and Management of Enterprise IT. Marco de ISACA para la gobernanza empresarial de TI, incluyendo 5 dominios y 40 objetivos de control que abarcan desde la estrategia hasta la monitorización. Proporciona un enfoque holístico para alinear TI con el negocio, gestionar riesgos y asegurar la optimización de recursos.
• ISACA (2025). White Paper: Leveraging COBIT for Effective AI System Governance. Documento técnico que explora cómo COBIT puede adaptarse para gobernar sistemas de IA de forma responsable. Destaca la integración de principios de IA confiable (ética, transparencia, responsabilidad, privacidad, seguridad) mediante los objetivos de COBITisaca.orgisaca.org, y casos de uso de COBIT para mitigar riesgos de sesgo, “caja negra” y ataques adversarios en IA.
• Piñeiro, Emilio (2025). Defensa Adversaria de la IA: Estrategia, Riesgos y Compliance en la Era de la Inteligencia Artificial. Ed. Territorio Compliance & EmPrendizaje. Obra que aborda la gobernanza de la IA desde la perspectiva de compliance, traduciendo marcos como el NIST AI RMF al contexto empresarial hispano. Plantea la necesidad de liderazgo ético, colaboración interdisciplinaria y cumplimiento normativo para “gobernar la IA desde la integridad”, proporcionando herramientas prácticas y una visión humanista para alinear la IA con valores y regulaciones

Perfil de LinkedIn para contacto:

https://www.linkedin.com/in/emilio-p-consultoria-compliance

No te pierdas, tampoco, nuestro exclusivo grupo de WHATSAPP donde discutimos de todas estas cuestiones:

https://lnkd.in/dSVv49Vi