En febrero de 2025, el Programa Global de Salas de Directorio de Deloitte cerró la segunda edición de su encuesta sobre gobernanza de IA: 695 directores y ejecutivos, en 56 países. El resultado más comentado sonó a alivio — la proporción de directorios sin IA en agenda bajó de 45% a 31% respecto a la edición anterior.
Pero "estar en agenda" y "tener visibilidad de lo que realmente ocurre" son cosas distintas. Una encuesta de Gartner a directores no ejecutivos, publicada a fines de 2024, encontró que el 80% cree que la estructura actual de su propio directorio es inadecuada para supervisar la IA. Y el relevamiento más reciente de la asociación estadounidense de directores corporativos, la NACD, muestra que el 62% de los directorios ya reserva tiempo de agenda para el tema — pero solo el 27% formalizó esa supervisión dentro del estatuto de algún comité.
La lectura directa: la mayoría de los directorios ya habla de IA. Pocos logran, en los hechos, supervisarla. Y la razón no suele ser falta de interés — es que nadie llevó a la sala los números que harían eso posible.
Para directorios de empresas latinoamericanas, la misma brecha pesa más, no menos. Las leyes de protección de datos ya exigen retención, control de acceso y trazabilidad de decisiones sobre datos personales; cuando la IA entra en ese flujo sin un control equivalente, el directorio hereda una exposición que ningún acta va a resolver por sí sola. El punto de partida no es una política nueva — es la misma pregunta que ya se hace de cualquier otro riesgo relevante: cómo se mide esto, con qué frecuencia, y quién responde por cada número.
Hablar de IA no es supervisarla
Un directorio supervisa el riesgo de crédito porque existe un informe trimestral con mora, concentración y cobertura. Supervisa la seguridad de la información porque existe un comité con indicadores de incidentes. ¿Supervisar la IA discutiendo qué, exactamente?
En la práctica, el punto de IA en la agenda suele ser una presentación de estrategia: hacia dónde quiere ir la empresa, qué proyectos se lanzaron, qué está haciendo la competencia. Es una conversación valiosa — y, en la mayoría de las empresas, es la única. Pocas de esas discusiones llegan a un informe operativo con un dato verificable: cuántas personas usan IA, con qué información, bajo qué autorización.
Ese vacío ayuda a explicar el 80% de Gartner. No es que los directores consideren la tecnología demasiado peligrosa; es que la estructura de reporte que sostiene cualquier otra supervisión de riesgo simplemente todavía no existe para la IA en la mayoría de las empresas. El dato de la NACD refuerza el punto desde el otro lado: 62% ya habla del tema con regularidad, pero solo 27% ató esa conversación a un comité con responsabilidad formal — la diferencia entre un tema en agenda y un tema bajo supervisión real.
Esa diferencia aparece primero cuando algo sale mal. En una auditoría de crédito o una investigación de seguridad de la información, el comité responsable ya tiene el informe listo — porque el informe es rutina, no excepción. Con la IA, en la mayoría de las empresas, la pregunta "quién autorizó esto" todavía depende de reconstruir una conversación que nadie guardó en ningún lado.
Por qué falla el informe de licencias
La respuesta más común cuando un directorio pide visibilidad es un informe de adopción: cuántas licencias de determinada herramienta se compraron, cuántos equipos fueron capacitados. Es un número real — y es el número equivocado.
No dice nada sobre el uso que ocurre fuera de esas licencias, en cuentas personales, con información de la empresa dentro. No dice cuánto se está gastando realmente por conversación, tarea o área. No dice cuántas decisiones de riesgo pasaron por alguna aprobación humana antes de salir. Y, cuando algo sale mal, no dice por dónde reconstruir lo ocurrido.
El motivo es estructural: una licencia la compra un departamento; el uso de IA ocurre por persona, por sistema, por información accedida. Son unidades de medida distintas. Por completo que sea, un informe de compras nunca se convierte en un informe de uso.
Además hay un costo silencioso en ese desencuentro: mientras el directorio lee números de adopción, los equipos de riesgo y de finanzas siguen sin visibilidad sobre ese mismo uso — cada uno viendo solo el fragmento que su propia herramienta logra captar.
Lo que tiene que existir en la práctica
Un panel de IA que un directorio pueda usar de verdad depende de mecanismos que existan por diseño en el entorno de trabajo, no de un relevamiento manual armado la noche antes de la reunión.
Identidad corporativa como punto de partida. Cuando el acceso a la IA viene del mismo directorio que controla el correo y los sistemas internos, "quién usó qué" deja de ser una pregunta de arqueología de TI y se convierte en un informe directo — porque la salida de un colaborador y la pérdida de acceso ocurren en el mismo instante.
Acceso según el rol de cada persona. Sin esto, "quién podía acceder a esa información" no tiene respuesta confiable — cualquier persona con acceso a la IA tendría, en teoría, acceso a todo lo que ella alcanza.
Aprobación humana según el riesgo. Las acciones y documentos con potencial de impacto se detienen antes de salir, dentro de la propia conversación, con registro de quién aprobó. Es el número que hoy casi ningún directorio puede citar: cuántas decisiones de riesgo pasaron por esa etapa en el trimestre.
Trazabilidad por área. Crear un agente, aprobar un contenido, cambiar un permiso — todo registrado y consultable. Es la diferencia entre reconstruir un incidente en minutos y depender de la memoria de quien estaba en la sala.
Costo visible por uso. No una factura mensual única, sino el gasto asociado a conversación, tarea y área — la base de cualquier conversación sobre retorno de inversión que el directorio va a querer tener tarde o temprano.
Así fue diseñada la Skyller: identidad proveniente del directorio de la empresa, con aprobación y trazabilidad como estándar del entorno, no como informe hecho a pedido.
Lo que cambia cuando el número existe
Con esos mecanismos, el informe que hoy es casi imposible de producir se lee en cinco minutos: cuántas personas usan IA, en qué áreas, con qué información, cuántas decisiones pasaron por aprobación humana en el período y cuánto se gastó.
Eso cambia la conversación en dos direcciones. Para la alta dirección, es la diferencia entre creer que el área de IA está bajo control y mostrarlo con un número reproducible — el tipo de evidencia que reguladores y auditores ya exigen de otras áreas de riesgo. Para el propio directorio, es la diferencia entre debatir tecnología, un tema para el cual, como muestra el propio dato de Gartner, la mayoría no se siente preparada, y debatir un informe de riesgo, un formato que todo directorio ya sabe leer.
Lo inverso también es cierto: sin esos números, cualquier política de IA aprobada en acta se convierte en una promesa sin forma de verificar si se está cumpliendo.
También hay un efecto sobre la composición del propio directorio. La encuesta de Deloitte muestra directorios repensando quién se sienta a la mesa a causa de la IA, buscando directores con mayor familiaridad tecnológica. Un panel con números concretos reduce esa presión: supervisar un informe de riesgo no exige que cada director sea especialista en la tecnología detrás de él, así como supervisar el riesgo de crédito no exige que el directorio sepa programar un modelo de score.
Cuatro preguntas para la agenda del directorio
Antes de la próxima reunión en la que la IA esté en agenda, estas cuatro preguntas separan una discusión de estrategia de una supervisión real:
- ¿Cuántas personas tienen hoy acceso a la IA de la empresa, y con qué inicio de sesión? Si la respuesta no viene del mismo directorio que controla los demás sistemas, el número ya nace incompleto.
- ¿Cuánto se gastó en IA el último trimestre, y con qué nivel de detalle? Una factura única por proveedor no es respuesta; un gasto por área o por tarea, sí.
- ¿Cuántas decisiones de riesgo pasaron por aprobación humana antes de salir? Sin una respuesta numérica para esto, no hay forma de saber si la política aprobada en acta está realmente vigente.
- Si hoy ocurriera un incidente relacionado con IA, ¿en cuánto tiempo el equipo reconstruiría lo sucedido? Con trazabilidad, minutos. Sin ella, depende de quién lo recuerde.
