Durante los últimos meses he observado algo curioso en muchas de las conversaciones que se producen alrededor de la inteligencia artificial. Todo el mundo quiere utilizarla, identificar casos de uso, automatizar actividades, reducir costes, mejorar la productividad y, si es posible, hacerlo antes que la competencia. La prisa es comprensible. La IA ya no es una promesa lejana ni una tecnología confinada a los laboratorios, sino una capacidad que está transformando productos, servicios, decisiones y formas de trabajar. Sin embargo, mientras las organizaciones aceleran su adopción, hay una pregunta bastante menos popular que rara vez recibe una respuesta convincente: ¿Quién está gobernando realmente el uso de la IA dentro de la organización?
No me refiero a quién compra las licencias, configura las herramientas o gestiona los proyectos. Tampoco a quién redactó la política corporativa sobre inteligencia artificial, ese documento que probablemente todos aceptamos con gran responsabilidad y que casi nadie recuerda haber leído. Me refiero a quién decide qué queremos conseguir con la IA, qué usos son aceptables, qué riesgos estamos dispuestos a asumir, qué decisiones puede tomar de forma autónoma, cuándo debe intervenir una persona y quién responde cuando algo sale mal. Porque una organización puede estar utilizando mucha inteligencia artificial y, al mismo tiempo, gobernándola muy poco.
Esta es, en mi opinión, una de las aportaciones más interesantes del modelo de gobierno de la IA que propone ITIL versión 5. No plantea la IA únicamente como un asunto tecnológico, ni reduce su gobierno al cumplimiento normativo, la ciberseguridad o la protección de datos. La sitúa dentro del sistema completo de creación de valor de la organización, conectándola con la estrategia, los servicios, la experiencia, los riesgos, las personas, los proveedores, las operaciones y la mejora continua. El modelo parte de una idea sencilla, pero profundamente relevante: la IA no crea valor por existir, sino por contribuir de manera responsable a resultados que importan.
Gestionar la IA no es lo mismo que gobernarla.
Una de las confusiones más frecuentes consiste en utilizar gobierno y gestión como si fueran sinónimos. No lo son. La gestión se ocupa de convertir la dirección en acción, organizar recursos, coordinar personas y procesos, operar productos y servicios, medir el rendimiento y mejorar el trabajo. El gobierno, en cambio, establece qué debe lograrse, quién tiene autoridad para decidir, qué riesgos son aceptables, qué políticas y límites deben respetarse y cómo se supervisarán los resultados. Dicho de una manera muy sencilla, la gestión se pregunta cómo vamos a hacerlo, mientras el gobierno se pregunta si deberíamos hacerlo, para qué, dentro de qué límites y bajo la responsabilidad de quién.
Esta diferencia cambia completamente la conversación. Una empresa puede gestionar espléndidamente una solución de IA que nunca debió implantar. Puede tener un proyecto perfectamente planificado, un proveedor excelente, una arquitectura solvente y unos indicadores operativos impecables, pero seguir sin haber demostrado que el caso de uso genera verdadero valor, que sus riesgos son asumibles o que la organización está preparada para responder por sus consecuencias. La eficacia operativa no compensa una dirección equivocada. Conducir muy bien también sirve de poco cuando nadie ha decidido adónde vamos.
Por eso, ITIL estructura el gobierno de la tecnología digital alrededor de cuatro actividades: evaluar, dirigir, monitorizar e involucrar a las partes interesadas. El órgano de gobierno debe comprender el contexto, establecer la dirección y las responsabilidades, supervisar el rendimiento, el riesgo y la conformidad, y garantizar que las partes interesadas relevantes participen en las decisiones que les afectan. Esto evita que el gobierno de la IA se convierta en una actividad aislada, puramente técnica o reservada a un comité que se reúne periódicamente para contemplar cuadros de mando con colores tranquilizadores. Gobernar no consiste en mirar indicadores. Consiste en tomar decisiones conscientes y seguir siendo responsable de sus efectos.
La IA no es una sola cosa, aunque a veces hablemos como si lo fuera.
Otro de los aciertos del modelo es que evita tratar la inteligencia artificial como una categoría homogénea. No implica el mismo riesgo una herramienta que resume notas internas que un sistema que evalúa candidatos, recomienda la concesión de un crédito, calcula un cargo para un cliente o desencadena una acción sobre un entorno productivo. En todos esos casos hablamos de IA, pero su comportamiento, su autonomía, las personas afectadas y las consecuencias de un error son profundamente diferentes.
ITIL distingue entre IA específica para determinadas tareas, IA generativa e IA agentiva. Esta última puede actuar en nombre de las personas, ejecutar tareas predefinidas, activar flujos de trabajo o coordinar acciones dentro de unos límites acordados. Cuando pasamos de una IA que propone una respuesta a otra que inicia una acción, el reto de gobierno cambia de nivel. Ya no basta con comprobar si el contenido es correcto. Hay que decidir qué autoridad tiene el sistema, qué acciones puede ejecutar, cuáles deben ser aprobadas, cómo se detiene, qué evidencia conserva y quién responde finalmente por el resultado.
Para hacer esta conversación más práctica, el modelo incorpora seis competencias de IA: creación, conservación, claridad, conocimiento, comunicación y coordinación. La creación genera contenido nuevo; la conservación organiza y mejora datos o conocimientos existentes; la claridad resume, traduce o simplifica información; el conocimiento identifica patrones, anomalías o previsiones; la comunicación actúa como interfaz con las personas, y la coordinación ejecuta, enruta o desencadena acciones entre sistemas y procesos. Una solución real puede combinar varias de estas competencias, de modo que su riesgo debe evaluarse como un caso de uso integrado y no como una simple etiqueta tecnológica.
Pensemos, por ejemplo, en un asistente de atención al cliente. Puede recuperar información de una base de conocimiento, resumir el problema, redactar una respuesta, conversar con el usuario, recomendar una compensación y abrir automáticamente una reclamación. A primera vista, parece un chatbot. Cuando se analiza con más detalle, descubrimos que está conservando información, aportando claridad, creando contenido, comunicándose con una persona, generando conocimiento y coordinando acciones. La pregunta relevante ya no es si tenemos un chatbot. La pregunta es qué está haciendo realmente, a quién afecta, hasta dónde puede actuar y qué ocurre cuando se equivoca.
De herramienta a compañera de trabajo.
El modelo introduce además una evolución especialmente interesante: la IA puede pasar de ser una herramienta a funcionar como asistente, compañera de trabajo o parte de una fuerza laboral habilitada por IA. Esto no significa atribuirle personalidad, intención ni responsabilidad moral. La inteligencia artificial sigue siendo tecnología y no debe presentarse de forma engañosa como si fuera una persona. Sin embargo, cuando analiza información, redacta comunicaciones, recomienda decisiones, interactúa con clientes y ejecuta partes de un flujo de trabajo, comienza a ocupar una posición operativa que antes correspondía exclusivamente a seres humanos.
Esta transición obliga a formular preguntas que muchas organizaciones todavía no están preparadas para responder. ¿Cuál es exactamente el rol de la IA? ¿Qué queda fuera de ese rol? ¿Qué decisiones puede tomar? ¿Quién le concede esa autoridad? ¿Quién supervisa su trabajo? ¿Cuándo debe detenerse o escalar a una persona? ¿Qué registros deben conservarse? ¿Cómo afecta a las responsabilidades, las competencias, la autonomía y el juicio profesional de quienes trabajan con ella?
La tentación de responder “ya veremos” puede ser grande, especialmente cuando el entusiasmo por implantar la solución supera el interés por diseñar su gobierno. El problema es que la IA puede actuar a una velocidad y una escala muy superiores a las de cualquier persona. Un error humano suele producirse de uno en uno. Un error automatizado y bien integrado puede convertirse en miles de errores antes de que alguien termine el primer café de la mañana. La velocidad es una ventaja cuando la dirección es correcta, pero multiplica el daño cuando no lo es.
El gobierno empieza por el valor, no por el miedo.
Existe una tendencia comprensible a presentar el gobierno de la IA como un gran mecanismo de control. Políticas, restricciones, aprobaciones, auditorías, registros, prohibiciones y formularios para solicitar permiso antes de respirar cerca de un modelo generativo. Esta aproximación puede reducir algunos riesgos, pero también puede producir un efecto bastante previsible: cuando utilizar las herramientas autorizadas resulta demasiado lento o complicado, las personas buscan alternativas más sencillas.
Aquí aparece la IA en la sombra. Empleados que utilizan asistentes públicos para redactar documentos, departamentos que incorporan por su cuenta capacidades de IA, equipos que comparten información con herramientas que la organización ni siquiera sabe que existen. Este comportamiento no surge necesariamente de una intención irresponsable.
Muchas veces nace de personas que quieren resolver un problema, atender mejor al cliente o trabajar con mayor eficiencia. La existencia de IA en la sombra también revela una necesidad que la organización no está sabiendo atender. Prohibirla sin comprender su causa puede ser tan eficaz como colocar un cartel de “no pasar” en una puerta que todo el mundo necesita atravesar.
El enfoque de ITIL intenta equilibrar el control con la gestión responsable. El control establece normas, límites, supervisión y evidencias. La gestión responsable se pregunta si el uso de la IA es adecuado, beneficioso, confiable y sostenible. Un buen gobierno no se limita a impedir que ocurran cosas malas. También crea las condiciones para que ocurran cosas buenas. Permite experimentar de forma segura, clarifica qué está permitido, protege el juicio profesional y facilita que los casos de uso valiosos puedan escalarse con confianza.
Esta perspectiva me parece esencial. El gobierno no debería ser el freno de la innovación, sino el sistema que permite acelerar sin perder el control del vehículo. Un gobierno insuficiente deja a la organización expuesta. Uno excesivo genera burocracia, ralentiza el aprendizaje y fomenta soluciones informales. La madurez consiste precisamente en aplicar el nivel adecuado de gobierno al contexto adecuado, no en llenar todos los espacios disponibles con más controles.
Cuatro perspectivas para no mirar la IA por un solo agujero.
ITIL propone analizar el gobierno de la IA desde cuatro perspectivas conectadas. La primera aborda la autonomía y la toma de decisiones, es decir, quién tiene autoridad, qué puede decidir la IA, qué requiere intervención humana y quién es responsable. La segunda se centra en una IA ética y responsable, considerando equidad, transparencia, impactos sobre las personas, dignidad, confianza y capacidad de cuestionar decisiones. La tercera analiza la calidad y la seguridad de los datos, incluyendo su origen, precisión, acceso, protección y la posible degradación del comportamiento del modelo. La cuarta contempla la conformidad normativa y las prácticas operativas, incorporando obligaciones legales, auditoría, seguridad, privacidad, contratos, proveedores, continuidad e incidentes.
Lo potente de estas perspectivas es que no pueden resolverse de forma aislada. Una decisión sobre autonomía puede tener consecuencias éticas. Un problema ético puede originarse en los datos. Una carencia en los datos puede generar una exposición normativa. Un requisito normativo puede obligar a cambiar los niveles de supervisión. El gobierno de la IA no es una lista de comprobación que se reparte entre departamentos para que cada uno marque su casilla. Es una conversación organizativa transversal en la que negocio, tecnología, riesgos, legal, seguridad, datos, recursos humanos, operaciones, proveedores y responsables de productos y servicios deben comprender cómo se conectan sus decisiones.
Esta visión evita también uno de los errores más habituales como crear un nuevo silo denominado “Gobierno de la IA”. ITIL deja claro que este gobierno debe integrarse en el sistema de gobierno corporativo existente. No necesita necesariamente un órgano completamente nuevo, aunque los órganos actuales quizá deban incorporar nuevas competencias o participantes. La IA no vive en un universo paralelo. Se utiliza dentro de productos, servicios, proyectos, procesos, decisiones y relaciones con terceros que ya cuentan, o deberían contar, con responsables definidos.
Un modelo para mejorar, no para aparentar.
Quizá la parte más práctica de la propuesta sea el modelo de mejora del gobierno de la IA. Su lógica consiste en evaluar y someter a pruebas de resistencia el sistema de gobierno existente, definir los requisitos y diseñar los ajustes necesarios, implementar las mejoras y mantener posteriormente el sistema. La idea de partida es incómoda pero muy realista: antes de diseñar una gran estructura nueva, conviene comprobar si el gobierno que ya tenemos funciona y si puede soportar los desafíos que introduce la IA.
Esta aproximación resulta especialmente valiosa porque evita dos extremos. El primero consiste en asumir que los mecanismos actuales de gobierno de TI, datos, riesgos y proveedores ya cubren automáticamente la IA. Puede que lo hagan, pero hay que demostrarlo. El segundo consiste en construir desde cero un aparato gigantesco de comités, políticas y controles sin tener en cuenta cómo funciona realmente la organización. Ambos extremos generan problemas. El primero deja vacíos ocultos. El segundo puede convertir el gobierno en una maquinaria tan pesada que la innovación termine ocurriendo fuera de él.
El modelo analiza además los patrones mediante los que cada organización toma decisiones y asegura su cumplimiento. Puede existir un patrón más directivo, guiado, federado o autónomo, dependiendo de cómo se distribuyen la autoridad y el aseguramiento. Ninguno es universalmente correcto. El desafío consiste en comprender el patrón dominante, detectar dónde genera fricción y ajustar el gobierno de acuerdo con el riesgo, la madurez, el entorno normativo y las características del caso de uso. Una multinacional altamente regulada no puede gobernar una IA crítica del mismo modo que un pequeño equipo experimental, pero tampoco todas las decisiones de una multinacional necesitan pasar por el mismo comité central.
La pregunta que tendremos que aprender a responder.
La inteligencia artificial puede ayudarnos a tomar mejores decisiones, anticipar problemas, personalizar experiencias, reducir trabajo rutinario, mejorar la accesibilidad y diseñar nuevos servicios. También puede amplificar sesgos, exponer información, automatizar errores, deteriorar competencias, generar dependencia y distribuir responsabilidades de una forma tan confusa que, cuando algo salga mal, todos terminen mirando al algoritmo como si acabara de llegar solo a la reunión.
Precisamente por eso, gobernar la IA no significa desconfiar de ella. Significa comprenderla lo suficiente como para utilizarla con propósito, criterio y responsabilidad. Significa decidir qué valor queremos generar, qué costes y riesgos estamos dispuestos a asumir, qué límites deben existir y qué evidencia necesitaremos para demostrar que seguimos teniendo el control. Sobre todo, significa aceptar que la organización continúa siendo responsable, aunque una solución de IA haya recomendado, redactado, priorizado o ejecutado una acción.
ITIL versión 5 ofrece un modelo especialmente interesante porque conecta el gobierno con la realidad operativa. No se queda en principios éticos abstractos ni convierte la regulación en el único centro de la conversación. Habla de valor, decisiones, autoridad, datos, personas, proveedores, experiencia, ciclos de vida, madurez y mejora continua. En definitiva, habla de cómo conseguir que la inteligencia artificial forme parte de la organización sin que la organización pierda inteligencia por el camino.
La pregunta ya no es si vamos a utilizar IA. Esa decisión, en muchas empresas, ya se tomó incluso antes de que alguien creyera haberla tomado. La pregunta verdaderamente importante es otra:
Cuando la inteligencia artificial empiece a influir en decisiones cada vez más relevantes, ejecutar acciones y formar parte habitual de nuestros flujos de trabajo, ¿estaremos gobernando nosotros a la IA o será su adopción desordenada la que termine gobernando la organización?
Esa respuesta no aparecerá en una licencia, en un algoritmo ni en un bonito código ético colgado en la intranet. Habrá que construirla… y cuanto antes entendamos cómo hacerlo, mejor preparados estaremos para convertir una tecnología extraordinaria en valor real, responsable y sostenible.
Llegados a este punto, estoy seguro de que coincidirás conmigo en que el verdadero reto no es construir sistemas más inteligentes, sino construir organizaciones lo suficientemente inteligentes como para gobernarlos. Teniendo esto claro, pues seguiremos avanzando por el buen camino.
Espero que tengas una gran semana… ¡Nos vemos en clases! ✌🏻☺️
