Gobierno corporativo de IA: el rol de juntas, consejos o directorios

La política de uso de IA es una decisión de gobierno corporativo y no un tema exclusivo del área jurídica o de tecnología, ya que define qué tareas pueden ejecutarse con apoyo de la tecnología, qué datos nunca deben ingresar a herramientas externas y quién aprueba cada uso. Por eso su aprobación corresponde a las juntas, consejos, directorios y comités, mientras que la operación diaria recae en el secretario de gobierno corporativo.

Ese documento también establece la línea de responsabilidad de la organización, puesto que cuando un sistema automatizado genera un error, es la política la que determina quién responde.

La junta, el consejo o el directorio aprueba el marco y supervisa su aplicación, mientras que el secretario del consejo, la junta o el directorio se encarga de la homologación de herramientas, del control de accesos y del mantenimiento de los registros, de modo que muchas veces responde por una política que no ayudó a aprobar.

El nivel de exposición depende del tipo de información en juego, algo que un miembro del consejo, la junta o el directorio conoce bien, además, ese material abarca desde los asuntos de la reunión hasta las deliberaciones confidenciales, de ahí que sea justamente ese contenido el que concentra el mayor riesgo cuando una herramienta de IA se usa sin criterio.

¿Qué es una política de uso de IA?

Una política de uso de IA es el conjunto de reglas que orienta el uso de herramientas de inteligencia artificial en el trabajo, por ejemplo, para el secretario del consejo, la junta o el directorio, el documento necesita cubrir dos usos distintos, esto es, el de la propia secretaría del órgano, en la preparación de actas y agendas, y el de los miembros de juntas, consejos, directorios o comités, en el manejo de los materiales del órgano de gobierno corporativo.

El alcance mínimo reúne el objetivo, los usos permitidos, los usos prohibidos, las herramientas aprobadas y la designación de un responsable. Los documentos extensos y de baja aplicabilidad suelen registrar poca adhesión, y esa falta de uso termina por vaciar la propia función de la política.

¿Por qué la política de uso de IA es una decisión de gobierno corporativo?

La política de uso de IA es una decisión de gobierno corporativo porque define la responsabilidad legal por el uso de la tecnología, donde la aprobación corresponde a la junta, el consejo o el directorio, mientras que la ejecución recae en el secretario del órgano, división que determina quién rinde cuentas ante un incidente.

Aun así, menos de una cuarta parte de las empresas mantiene una política de IA estructurada y aprobada por su junta, consejo o directorio, según un relevamiento de McKinsey, lo que revela una distancia todavía amplia entre el discurso sobre inteligencia artificial y las reglas efectivas.

Cuando un miembro del gobierno corporativo ingresa el material de una reunión en una herramienta de IA gratuita para resumirlo, la responsabilidad frente a la autoridad de protección de datos recae sobre la organización, aunque la acción haya partido de una sola persona. Reconstruir lo ocurrido, identificar los datos expuestos y comprobar que existía una regla queda a cargo del área de gobierno.

Ese uso no autorizado se conoce como shadow AI, es decir, el empleo de herramientas de IA sin aprobación ni control de la organización, y suele intensificarse cuando la política intenta prohibir todo uso, dado que la práctica migra a cuentas personales y se sale por completo del alcance de los registros corporativos.

El marco legal cambia según el país, y en la región todavía no existe una ley única de IA, por ejemplo, Perú y El Salvador ya cuentan con legislación específica en vigor, mientras que Colombia, Chile, México y Brasil avanzan proyectos basados en niveles de riesgo, inspirados en el AI Act de la Unión Europea. Ese panorama regulatorio de IA y protección de datos en la región evoluciona con rapidez, por lo que conviene seguirlo de cerca.

En paralelo, las leyes de protección de datos de cada país ya se aplican a cualquier tratamiento de datos personales por estas herramientas. La Ley 1581 en Colombia, la LFPDPPP en México y la Ley 21.719 en Chile, que entra en vigencia en diciembre de 2026, reconocen además el derecho a la revisión humana de decisiones tomadas solo por sistemas automatizados.

La norma ISO/IEC 42001, de alcance internacional, ofrece un referencial de gestión para sistemas de inteligencia artificial, lo que la vuelve una referencia neutra más allá de las diferencias entre jurisdicciones.

¿Toda empresa está obligada a tener una política de uso de IA?

En la mayoría de los países de la región todavía no existe una obligación legal específica que imponga a toda empresa adoptar una política de uso de IA.

Las leyes de protección de datos, ya alcanzan cualquier tratamiento de datos personales por estas herramientas, y los proyectos de ley de IA en trámite avanzan hacia exigencias directas, de modo que la ausencia de una política no elimina la responsabilidad de la organización y reduce su capacidad de defensa ante un incidente.

El papel del gobierno corporativo no termina con la aprobación del documento, en tanto la forma en que la junta, el consejo o el directorio supervisa a la dirección cambia cuando la IA entra en la agenda, un tema que desarrollamos en cómo la inteligencia artificial cambia la supervisión de juntas, consejos y directorios. En el caso puntual de la política, la competencia para aprobar define la responsabilidad, mientras que la competencia para operar define la efectividad.

Las secciones que toda política de uso de IA necesita

Toda política de uso de IA necesita expresar, en un lenguaje accesible para cualquier colaborador, qué está permitido y qué está prohibido, por esta razón, la tabla reúne las secciones esenciales y un ejemplo de cláusula para cada una, en un formato que se adapta a la estructura de gobierno de cada organización.

Sección	Qué responde	Ejemplo de cláusula
Objetivo	Por qué existe la política	"Queremos que el equipo use IA con seguridad y resultados."
Usos permitidos	Qué está habilitado	"Generar borradores de acta y agenda a partir de contenido sin datos sensibles."
Usos prohibidos	Qué nunca se puede	"Ingresar material del gobierno corporativo o datos de clientes en herramientas no homologadas."
Herramientas homologadas	Qué herramientas aprobó la empresa	"Solo las herramientas de esta lista, y fuera de ella, solicitar aprobación previa."
Tratamiento de datos	Qué datos nunca entran en un prompt	"No ingresar materiales del órgano, deliberaciones ni datos de clientes en herramientas externas."
Responsable y dudas	A quién recurrir	"Ante cualquier duda, consultar al responsable de IA antes de usarla."
Revisión	Cuándo se actualiza el documento	"Revisión anual como mínimo, o ante cada nueva herramienta relevante."

La distinción relevante está entre prohibir una herramienta y prohibir un comportamiento. Una cláusula que prohíbe ingresar material del gobierno corporativo en herramientas no homologadas sigue siendo válida frente a cualquier herramienta nueva, mientras que la prohibición nominal de un producto específico pierde efecto con cada lanzamiento del mercado.

Para llevar estos criterios a la práctica, el e-book Gobierno corporativo con inteligencia artificial reúne lo que un órgano necesita para supervisar el uso de IA sin frenar al equipo.

Matriz de decisión: qué se permite, qué requiere aprobación y qué está prohibido

La matriz de decisión cruza el tipo de dato con el tipo de uso e indica, sin margen de interpretación, qué está permitido, qué exige aprobación y qué está prohibido, en una lógica que reproduce el escalonamiento de riesgo que adoptan los proyectos regulatorios de la región, los cuales reservan un tratamiento más estricto a los usos de alto riesgo.

Tipo de dato	Texto sin datos de la empresa	Análisis de datos internos	Decisión que afecta a personas
Dato público	Habilitado	Habilitado	Revisión humana
Dato interno no sensible	Habilitado	Solo herramienta homologada	Revisión humana obligatoria
Dato personal (ley de datos)	Solo herramienta homologada	Homologada + base legal	Revisión humana obligatoria
Dato sensible o estratégico	Prohibido en herramienta externa	Solo entorno homologado y aislado	Prohibido

La línea de mayor atención es la de los datos estratégicos, puesto que el material del gobierno corporativo constituye, por definición, información estratégica, y su procesamiento en herramientas gratuitas es justamente la hipótesis que la matriz prohíbe.

En la última columna, cualquier decisión que afecte a una persona, como la concesión de crédito, un ascenso o una desvinculación, exige revisión humana, en línea con el derecho que reconocen las leyes de protección de datos de la región.

Un punto que suele pasar inadvertido es el uso de cuentas personales pagas, dado que la versión de un asistente que el propio colaborador contrata, al alimentarse con datos de la organización, también configura shadow AI y saca la información del entorno controlado por la empresa, por eso la política necesita tratar esa hipótesis de forma expresa.

Las preguntas difíciles que la mayoría de las políticas ignora

La mayor parte de las políticas de uso de IA se queda en la superficie, y las preguntas que siguen aparecen cuando la tecnología alcanza el trabajo del gobierno corporativo y de los comités, donde una política genérica se muestra insuficiente.

¿Un acta generada con apoyo de IA tiene validez?

Un acta generada con apoyo de IA tiene la misma validez que cualquier otra, siempre que un responsable humano la revise, la corrija y la firme. La herramienta produce un borrador a partir de la transcripción, pero la responsabilidad por el contenido sigue en manos de quien firma, por regla el propio secretario del consejo o del directorio, además, la política debe establecer que el texto generado es un borrador y que la revisión humana quede registrada antes de la versión final, algo que conviene alinear con cómo redactar un acta de directorio válida.

¿Quién responde cuando una decisión apoyada por IA sale mal?

Cuando una decisión apoyada por IA sale mal, la responsabilidad sigue en manos de quien tenía el deber de decidir, porque la herramienta no asume obligación alguna. El deber de diligencia de un miembro del gobierno corporativo no se extingue por la presencia de un modelo en el proceso, y aceptar un resultado de IA sin verificar los datos equivale a aprobar el material de la dirección sin analizarlo, por eso la política debe exigir, para todo uso de IA en una decisión relevante, la designación de un responsable y el registro de la verificación de los datos.

¿Y si un miembro llega a una conclusión distinta de la dirección usando IA?

Ese es el escenario que la política necesita anticipar, dado que, con acceso a herramientas de IA y a los datos de la organización, un miembro de la junta, el consejo o el directorio puede conducir su propio análisis y diferir de lo que presentó la dirección, algo legítimo en el ejercicio de la supervisión. La brecha frecuente está en definir a qué datos accede el órgano y cuáles quedan restringidos a la gestión, una frontera que conviene establecer con apoyo jurídico y dejar registrada en la propia política.

Cómo garantizar que la política de uso de IA se cumpla

La política de uso de IA solo produce efecto cuando la organización logra comprobar su cumplimiento, puesto que sin esa comprobación el documento se queda en lo formal mientras la práctica diaria sigue sin control, demostrar ese cumplimiento, cuando es solicitado, le corresponde al secretario del gobierno corporativo.

La trazabilidad es la base de ese cumplimiento, aunque la mayoría de las organizaciones todavía no la estructuró, y un buen punto de partida es un inventario en el que cada herramienta de IA en uso tenga un responsable designado, un área vinculada y el registro del tipo de dato que procesa.

A eso se suma el historial de aprobación y de revisión de cada herramienta, junto con una pista de auditoría que registre autoría, acción y fecha de manera consultable, algo que un board portal resuelve de forma nativa.

Construir y mantener ese control le corresponde, en la práctica, al secretario del consejo, la junta o el directorio, y es en ese punto donde la política se conecta con la plataforma de gobierno. Un portal de gobierno corporativo como el de Atlas Governance registra cada acceso, votación y versión de documento con pista de auditoría, lo que aporta la evidencia de cumplimiento sin depender de controles paralelos.

La elección de la herramienta también debería considerar cómo elegir un software de gobierno corporativo compatible con ese nivel de control.

¿Con qué frecuencia revisar la política de uso de IA?

La política de uso de IA debería revisarse al menos una vez al año, y siempre que se adopte una nueva herramienta relevante o entre en vigor una nueva norma. El documento refleja el grado de madurez de la organización con la tecnología en cada momento, y ese grado evoluciona rápido, de ahí que una versión inicial y concreta, revisada con regularidad, funcione mejor que una versión definitiva cuya elaboración se extiende por meses.

¿Cómo Atlas Governance apoya al secretario del consejo, junta directiva o directorio?

Atlas Governance es el mayor portal de gobierno corporativo de América Latina, presente en más de 750 organizaciones y 30.000 profesionales en 16 países. Para la rutina del secretario de gobierno corporativo, Atlas AI prepara agendas, genera actas a partir de transcripciones y resume materiales en un entorno que registra cada etapa.

Ese entorno cuenta con pista de auditoría completa, certificación ISO 27001 y aislamiento de los datos de cada organización, que no se utilizan para entrenar modelos, lo que le da al uso de IA la trazabilidad que la política exige. Puedes probar la plataforma durante 30 días, con acceso inmediato al crear la cuenta y sin pasar antes por el equipo comercial. Conoce la solución de Atlas para el secretario de gobierno corporativo.