Un ciudadano recibe el rechazo de una solicitud de licencia y pide, por escrito, la justificación de la decisión. El plazo de respuesta comienza a correr, se localiza el expediente y entonces surge la pregunta incómoda dentro del propio equipo: parte del triaje fue realizada por una función de inteligencia artificial integrada en el sistema de gestión documental contratado en 2023. Nadie puede informar qué versión de la herramienta generó el análisis, qué datos se le enviaron, ni si alguien revisó el resultado antes de que se convirtiera en un acto oficial.
La escena se repite en organismos autónomos y secretarías, y se repite con la misma naturalidad en industrias, aseguradoras de salud, despachos jurídicos y distribuidoras, porque el mecanismo de entrada es idéntico en todos los casos. La IA llegó con la actualización de un software que la organización ya pagaba, muchas veces activada de forma predeterminada, sin pasar por un comité, sin contrato nuevo y sin una línea de registro sobre cómo empezó a influir en el trabajo de quienes deciden.
La discusión sobre la calidad del modelo, aunque legítima, desvía la atención del riesgo que efectivamente llega al balance. Cuando un resultado es impugnado, lo que la organización necesita presentar es la cadena de evidencia, es decir, el rastro que vincula la solicitud, los datos utilizados, la versión de la herramienta y la firma humana que transformó una sugerencia en decisión. Sin ese rastro, la responsabilidad migra en silencio del proveedor hacia quien usó el resultado.
Cómo migra la responsabilidad sin que nadie lo decida
Una investigación de ISACA, en el AI Pulse Poll de 2024, indicó que apenas el 15% de las organizaciones consultadas contaba con una política formal e integral sobre el uso de inteligencia artificial, mientras que el uso por parte de los colaboradores ya se reportaba como generalizado. La brecha entre la adopción real y la gobernanza formal crea una zona gris administrativa, en la que quien le pide el borrador de un dictamen a un asistente generativo no registra la solicitud en ningún lugar, simplemente porque ningún procedimiento obliga a registrarla. La herramienta hace el trabajo, el texto se edita y el documento entra en el flujo con apariencia de producción íntegramente humana.
Los contratos de software suelen ser explícitos en un punto que pocos gestores leen con atención: la salida de la IA puede contener imprecisiones y corresponde al cliente validarla antes de usarla. Esa cláusula, combinada con la ausencia de registro interno, produce un resultado previsible cuando surge un cuestionamiento formal. El proveedor demuestra que advirtió, la organización no logra demostrar que revisó, y la cuenta de la explicación queda íntegramente con quien firmó la decisión final.
Qué hacer antes de que alguien pregunte
El primer movimiento es barato y revelador, y consiste en armar el inventario de lo que ya está en uso, área por área, incluyendo las funciones de IA integradas en sistemas contratados con otra finalidad. La pregunta que destraba este relevamiento es operativa antes que técnica: ¿en qué tareas el equipo ya le pide ayuda a la máquina para decidir más rápido? Una evaluación de exposición a la IA convierte percepciones sueltas en una lista objetiva, y la lista suele ser más extensa de lo que la dirección imagina.
Con el inventario en mano, clasifique cada uso por la consecuencia de un error, no por el volumen de uso, porque una herramienta usada diez veces al año en el análisis de propuestas pesa más que otra usada mil veces para resumir reuniones internas. Para las decisiones de mayor consecuencia, defina una revisión humana obligatoria y adopte un registro mínimo de trazabilidad con cinco campos: quién solicitó, qué herramienta y versión, qué datos se usaron, cuál fue la salida original y quién aprobó. Cinco campos caben en una hoja de cálculo simple y cubren la mayor parte de lo que un auditor, un cliente o un órgano de control suele pedir.
Los contratos y el ciclo de revisión cierran el diseño. Exija a los proveedores respuestas por escrito sobre el destino y la retención de los datos enviados, sobre la responsabilidad por errores del modelo y sobre la notificación previa cuando las funcionalidades de IA sean modificadas o activadas de forma predeterminada. Una revisión trimestral de dos horas, conducida por un responsable designado, mantiene el inventario vivo sin consumir la agenda de un equipo pequeño, y es en ese ritmo que la gobernanza y el cumplimiento dejan de ser un proyecto y pasan a ser rutina.
Cinco preguntas que todo gestor debería hacerse
1. ¿Su organización puede enumerar, con precisión, qué herramientas de IA se están usando por área, incluidas las integradas en sistemas que usted ya paga? 2. ¿Qué decisiones de su operación ya están influenciadas por IA y, de esas, cuáles podrían ser impugnadas formalmente por un cliente, un ciudadano, un órgano de control o un auditor? 3. Si alguien pidiera la justificación completa de una decisión apoyada por IA, ¿cuánto tiempo tomaría reunir la evidencia, y existiría? 4. ¿Quién, con nombre y cargo, es el responsable final de cada clase de decisión automatizada, y esa responsabilidad está escrita o solo se presume? 5. ¿Sus contratos con proveedores de software definen qué ocurre con sus datos, quién responde por errores del modelo y cómo se le avisa cuando la funcionalidad de IA cambia?
¿Su organización puede enumerar qué herramientas de IA están en uso por área?
La mayoría de las organizaciones responde a esta pregunta con una lista corta e incompleta, porque solo ve las suscripciones contratadas explícitamente para IA. El volumen real aparece cuando alguien revisa los sistemas de gestión, de atención, de correo electrónico y de documentos, donde funciones de sugerencia, resumen y clasificación fueron incorporadas a productos que ya están en uso.
Pida a cada gerente de área una lista nominal en quince días, con la tarea apoyada y el nombre de quien la usa. Mientras esa lista no exista, cualquier política de IA seguirá siendo una declaración de intenciones, sin alcance sobre lo que ocurre en la práctica, y la dirección decidirá sobre un retrato que no corresponde a la operación.
¿Qué decisiones de su operación ya están influenciadas por IA y podrían ser impugnadas?
El criterio de triaje es simple e incómodo: identifique qué resultados afectan a alguien fuera de la organización y pueden generar un reclamo, un recurso o un proceso judicial. El análisis de propuestas, la priorización de filas, la clasificación de documentos, la redacción de respuestas oficiales y la evaluación de proveedores concentran ese tipo de exposición en prácticamente cualquier sector.
Una institución que ordena las atenciones por score automático necesita poder explicar el criterio caso por caso, con la misma claridad que exigiría de un funcionario que tomara la decisión manualmente. Aplicar esa prueba a las cinco o seis decisiones más sensibles suele revelar dónde la revisión humana necesita formalizarse primero, y dónde puede esperar sin un riesgo relevante.
¿Cuánto tiempo tomaría reunir la evidencia completa de una decisión apoyada por IA?
Vale la pena ejecutar el ejercicio como una simulación real, eligiendo un caso concreto del trimestre anterior y cronometrando cuánto tiempo tarda el equipo en reconstruir el camino hasta la decisión. El resultado de esa simulación dice más sobre la madurez de la gobernanza que cualquier política escrita, porque mide capacidad y no intención.
Cuando la evidencia no existe, la conclusión es accionable de inmediato: implemente el registro mínimo antes de ampliar el uso de la herramienta a nuevas áreas. Registrar cinco campos por decisión sensible cuesta minutos por caso, un valor incomparablemente menor que reconstruir un historial bajo presión de plazo, auditoría o exposición pública.
¿Quién es el responsable final de cada clase de decisión automatizada en su empresa?
La responsabilidad difusa es el estado predeterminado cuando nadie la atribuye formalmente, y el efecto práctico aparece en el momento de la impugnación, con áreas señalándose unas a otras mientras corre el plazo de respuesta. Nombrar a una persona por clase de decisión elimina esa ambigüedad y crea un interlocutor claro para auditores y clientes.
La designación también cambia el comportamiento de quien usa la herramienta, porque un responsable identificado tiende a exigir criterios, registros y límites antes de aprobar. En las organizaciones más pequeñas, ese rol puede ser acumulado por un gerente de operaciones, siempre que la atribución esté escrita, comunicada y revisada cuando cambie la plantilla de personal.
¿Sus contratos definen quién responde por errores del modelo y por cambios en la funcionalidad?
Tres puntos merecen verificación inmediata en cada contrato de software relevante: destino y retención de los datos enviados a la herramienta, responsabilidad en caso de error del modelo, y obligación de aviso previo cuando las funciones de IA sean modificadas o activadas de forma predeterminada. La ausencia de cualquiera de ellos significa que la organización absorbe un riesgo que no calculó en su precio.
La renovación contractual es la ventana natural para negociar esos términos, y los proveedores maduros responden por escrito sin resistencia, porque ya documentan las capacidades y limitaciones de sus funciones. Comparar las respuestas de dos o tres proveedores sobre el mismo conjunto de preguntas revela, con rapidez, cuál de ellos lo tratará como socio cuando algo salga mal.
Preguntas frecuentes
¿Qué es una decisión defendible apoyada por inteligencia artificial?
Una decisión defendible es aquella cuyo origen puede reconstruirse integralmente: quién solicitó el análisis, qué herramienta y versión se usó, qué datos alimentaron el pedido, cuál fue el resultado original y quién lo revisó y aprobó antes de aplicarlo. La calidad del modelo importa, pero es la existencia de ese rastro lo que permite responder a un cliente, a un auditor o a un órgano de control. Sin él, la organización asume la responsabilidad por un proceso que no consigue explicar.
¿Qué registros mínimos garantizan la trazabilidad en el uso corporativo de IA?
Cinco campos por decisión sensible cubren la mayor parte de las exigencias prácticas: solicitante, herramienta y versión, datos utilizados, salida original generada y aprobador humano con nombre y cargo. Ese registro puede vivir en una planilla o en el propio sistema de flujo de trabajo, sin necesidad de inversión adicional en software. El punto crítico es aplicarlo a las decisiones de mayor consecuencia, y no a todo uso de IA en la organización.
¿Quién responde legalmente por un error cometido por una herramienta de IA contratada?
En la mayor parte de los contratos de software, el proveedor declara que la salida puede contener imprecisiones y atribuye al cliente el deber de validar antes del uso. En la práctica, eso significa que la organización que aplicó el resultado responde ante el afectado, salvo cláusula específica en contrario. Revisar la responsabilidad por error del modelo, el tratamiento de datos y el aviso de cambio de funcionalidad es, por eso, una tarea de gestión contractual antes que una tarea técnica.
Para mapear dónde la inteligencia artificial ya influye en las decisiones de su operación y qué falta para hacerlas defendibles, agende un Diagnóstico Estratégico de TI sin compromiso con Zamak Technologies en www.zamakt.com/contactus.