En la era de la IA, la gobernanza empresarial significa salvaguardar la confianza
La gobernanza de la IA debe centrarse en resultados como la integridad, la responsabilidad, la transparencia y la resiliencia.
Las juntas directivas deben convergir la transformación de la IA y la ciberseguridad, asegurando que los equipos diseñen conjuntamente los sistemas desde el principio, en lugar de validar después del hecho.
Una gobernanza confiable requiere liderazgo independiente, inventarios precisos de IA/TI y una alfabetización genuina a nivel de la junta para administrar el valor a largo plazo.
El impacto de la IA en los negocios
La IA está transformando los negocios, los riesgos cibernéticos están aumentando y la confianza en las instituciones está bajo presión. Con estos desarrollos en mente, ¿cómo se define una buena gobernanza en 2025? La gobernanza se refiere a las estructuras, sistemas y prácticas que una organización tiene en su lugar para asignar la autoridad de decisión, definir cómo se deben tomar las decisiones y, lo más importante, avanzar hacia la dirección estratégica de la organización.
Sin embargo, a menudo se caricaturiza la gobernanza como una burocracia que ralentiza la innovación. La solución no es más procedimientos, sino un regreso a los primeros principios: definir los resultados que la gobernanza existe para proteger, y luego trabajar hacia atrás para lograr los mecanismos mínimos necesarios.
Transformación real a través de resultados
La transformación real puede no provenir de ajustes menores, sino de centrarse en resultados y demostrar el valor de lo nuevo.
Dos imperativos de la junta que deben converger
Este nuevo enfoque de gobernanza se conecta directamente con los desafíos que enfrentan las juntas hoy. Las juntas son los guardianes de la longevidad de una corporación; en los últimos dos años, dos elementos han dominado su agenda: la transformación con IA y la defensa contra el riesgo cibernético. Estamos al comienzo de una nueva revolución industrial, y las empresas que no logren la transformación de la IA no sobrevivirán.
Un error común es tratar estos dos temas como elementos separados. Sin embargo, la evolución constante del panorama de amenazas demuestra su intersección: la IA se utiliza para amplificar los ciberataques, y los ciberataques atacan a los sistemas de IA. Por lo tanto, los sistemas de IA confiables dependen de muchas de las mismas disciplinas que la ciberseguridad ha definido: política, riesgo, controles, pruebas y red-teaming.
Diseñando en conjunto desde el principio
No se puede producir este cambio si los equipos permanecen aislados. Sin embargo, es raro ver a los líderes de ciberseguridad trabajando junto a la agenda de transformación de una corporación. En cambio, a menudo se les considera validadores de resultados, interviniendo en el último minuto para verificar el estado de seguridad. Este modelo «después del hecho» es costoso y ralentiza la innovación. ¿Y si la verdadera velocidad y efectividad provinieran de la co-creación desde el principio entre los equipos de ciberseguridad y transformación de IA?
Sector público vs. privado: el deber de la resiliencia
En el sector privado, los consumidores pueden votar con sus pies (o su billetera) si pierden la confianza en un proveedor después de una brecha. Sin embargo, en el sector público, los ciudadanos no tienen tal opción: no pueden cambiar de dónde obtienen pasaportes, atención médica o servicios esenciales. Esto hace que los estándares de adquisición, la transparencia, la responsabilidad y la resiliencia sean aún más vitales. Los gobiernos deben demostrar que, incluso cuando ocurren errores, los procesos son éticos, transparentes y lo suficientemente resilientes para mantener la confianza de los ciudadanos.
La evolución del mandato del CISO
Un número creciente de organizaciones está explorando dónde debería residir la gobernanza de la IA. Algunas ya han decidido expandir el rol del director de seguridad de la información (CISO), quien aporta un nivel de independencia de las operaciones diarias y ya es responsable de varias disciplinas de riesgo y control. Sin embargo, la estructura organizacional es importante; dónde se sitúa el CISO en la jerarquía y a quién reporta puede afectar su capacidad para influir y entregar, así como su independencia percibida.
El problema del inventario
Una gobernanza efectiva comienza con saber qué se está gobernando. Sin embargo, crear un inventario de IA a menudo enfrenta la realidad de que muchos inventarios de activos de TI son incompletos o de baja calidad. Adoptar un enfoque sistémico ayuda positivamente al proporcionar una visión más holística de cómo interactúan las personas, procesos, datos y máquinas. Este enfoque también asegura una propiedad responsable para mantener mapas precisos de estas interacciones.
La alfabetización es necesaria
Si bien la alfabetización en IA y ciberseguridad a nivel de junta y ejecutivo está en aumento, el jerga sigue bloqueando la colaboración. Los líderes necesitan claridad, no complejidad. Es imperativo simplificar la complejidad y hablar sobre los impactos transformacionales. Solo así las decisiones de gobernanza pueden ser informadas y resilientes.
Oportunidades clave
Se destacan cinco oportunidades:
- Mandato de convergencia independiente: un solo gerente senior empoderado en IA, seguridad y riesgo de datos, reportando a la junta con independencia de las presiones de entrega.
- Institucionalizar la co-creación: revisiones de diseño interfuncionales que emparejan a expertos en ciberseguridad con equipos de producto y datos & IA desde el inicio de los proyectos.
- Operacionalizar la transparencia: registrar los registros de decisiones para sistemas de alto riesgo, comunicar ampliamente y ensayar rigurosamente la comunicación e recuperación ante incidentes.
- Arreglar el inventario: establecer un catálogo autorizativo de IA/TI con propiedad clara y objetivos de calidad.
- Fomentar la «verdadera» alfabetización: reemplazar la capacitación de verificación con talleres de escenario donde los líderes practiquen tomar y defender decisiones bajo condiciones inciertas.
Si la gobernanza se trata, en última instancia, de administrar la toma de decisiones que protegen el valor a lo largo del tiempo, entonces en la era de la IA, la junta debe actuar como guardianes de la confianza. Esto comienza por derribar las paredes entre la transformación de la IA y la ciberseguridad, y por medir la gobernanza, no por procedimientos, sino por resultados.
