Desde el 2 de febrero de 2025, las empresas que proveen o utilizan sistemas de IA en la Unión Europea tienen una obligación nueva y poco comentada. El Artículo 4 del reglamento europeo de inteligencia artificial exige que esas organizaciones desarrollen la alfabetización en IA de sus equipos y de quienes operan esos sistemas en su nombre: el conocimiento necesario para usar IA de forma informada, conscientes de los riesgos y los daños posibles.
Fíjese en lo que la norma no dice. No pide un documento, ni una política firmada, ni una capacitación grabada. Pide una capacidad demostrable dentro de la operación. Y esa es exactamente la distinción que la mayoría de las empresas todavía no ha hecho.
Los números lo explican. La encuesta AI Pulse Poll 2025 de ISACA, con 3.029 profesionales de confianza digital, encontró que el 59% de las organizaciones ya permite el uso de IA generativa, pero solo el 28% tiene una política formal e integral. El informe State of AI in the Enterprise de Deloitte, publicado en enero de 2026 con 3.235 líderes de negocio y de TI en 24 países, muestra el escalón siguiente: apenas el 21% declara una gobernanza madura para los riesgos de los agentes de IA. Cerca de cuatro de cada cinco empresas no tienen límites claros de decisión para esos agentes, monitoreo en tiempo real ni registro de auditoría.
El documento existe. El control, no
La mayoría de las empresas que "tienen política de IA" tienen, en la práctica, un PDF. Lo escribió alguien de legales o de seguridad, lo aprobó una reunión y lo comunicó un correo. Está todo ahí: qué datos no pueden pegarse en herramientas externas, qué decisiones exigen revisión humana, qué áreas pueden usar IA y para qué.
Y nada de eso opera.
El documento no sabe quién es quién. No sabe si quien acaba de pedir el resumen de un contrato está autorizado a leerlo. No impide que una información desactualizada se convierta en respuesta oficial. No registra qué se hizo, quién lo hizo ni cuándo. Cuando llega una auditoría o la investigación de un incidente, la empresa tiene una regla escrita y ninguna evidencia de que se haya cumplido.
Es la diferencia entre un cartel de "prohibido el paso" y una puerta con cerradura. El cartel comunica la intención. Solo la cerradura cambia el comportamiento, y solo ella deja registro de quién pasó.
Qué exigen ya los reguladores y las normas
Tres referencias internacionales convergen en el mismo punto, y conviene conocerlas aunque ninguna se aplique directamente a su empresa hoy.
El reglamento europeo de IA entró en vigor el 1 de agosto de 2024 y se aplica por etapas: prohibiciones y obligación de alfabetización desde el 2 de febrero de 2025; modelos de uso general desde el 2 de agosto de 2025; el resto desde el 2 de agosto de 2026, con obligaciones adicionales para sistemas de alto riesgo desde el 2 de agosto de 2027. Las empresas de América Latina que atienden clientes europeos entran en ese calendario por contrato mucho antes de entrar por ley.
La ISO/IEC 42001, publicada en 2023, es la norma internacional de sistema de gestión de IA, y es certificable mediante auditoría externa. No pide buenas intenciones: pide política de IA definida, roles y responsabilidades asignados, evaluación de riesgos documentada, controles operativos (entre ellos gobernanza de datos y control de acceso), monitoreo continuo, auditorías internas periódicas y revisión anual de la política por la dirección.
El NIST AI Risk Management Framework, de Estados Unidos, publicado en 2023 y de adopción voluntaria, organiza la gestión del riesgo en cuatro funciones: gobernar, mapear, medir y gestionar. Gobernar es la única que atraviesa todas las etapas: la gobernanza no es una fase del proyecto, es una condición permanente de la operación.
En Brasil, el proyecto de ley PL 2338/2023 fue aprobado por el Pleno del Senado el 10 de diciembre de 2024 y sigue en análisis en la Cámara de Diputados desde el 17 de marzo de 2025. El texto estructura la regulación por niveles de riesgo y prevé derechos para quienes son afectados por decisiones automatizadas. Mientras tanto, la ley brasileña de protección de datos ya rige los datos personales que pasan por cualquier herramienta de IA. Nada de esto es una opinión jurídica: leer qué se aplica a su caso le corresponde a su equipo legal. El punto operativo es otro: los controles que describen estas tres referencias son casi idénticos, y son exactamente los que faltan cuando la política vive solo en el PDF.
Cinco controles que convierten la regla en mecanismo
Una política de IA se vuelve control cuando cada una de sus frases tiene un mecanismo correspondiente en la herramienta que la gente realmente usa. Son cinco.
Identidad corporativa. La persona entra con la credencial de la empresa, no con un registro propio. Cargo, área y vínculo vienen del directorio corporativo. Quien se desvincula pierde el acceso al mismo tiempo, sin depender de que alguien recuerde revocarlo.
Acceso función por función. La regla "finanzas no ve contratos de RR. HH." tiene que ser un permiso configurado, no una expectativa. Lo que la persona puede leer, también puede leerlo la IA que trabaja para ella, y nada más allá de eso.
Aprobación según el riesgo de la acción. No toda acción necesita freno. Borrar un registro, cambiar una credencial o enviar una comunicación sensible sí lo necesitan. La clasificación de riesgo define dónde entra la aprobación humana.
Revisión y aprobación del contenido crítico. Los documentos críticos pueden exigir revisión y aprobación en dos etapas, con segregación de funciones y excepciones auditadas. Es el control que impide que un archivo desactualizado, guardado en la carpeta equivocada, se convierta en la respuesta oficial de la IA de la empresa.
Registro de auditoría. Quién hizo qué, cuándo y desde dónde. Sin registro, la empresa no puede probar cumplimiento ni reconstruir un incidente, y la política, por bien escrita que esté, sigue siendo indemostrable.
Lo que tiene que existir en la práctica
Los cinco controles solo valen si están en el mismo lugar donde ocurre el trabajo: entrada con la identidad corporativa, acceso definido por rol, agentes limitados a lo que la persona que los usa ya puede ver, acciones sensibles que se detienen y piden confirmación, y registro consultable de cada acción relevante. Ninguna pieza funciona sola: identidad sin registro no prueba nada; registro sin permisos anota el acceso indebido después de que ocurrió.
Hay un obstáculo anterior: muchas empresas no tienen escritos los procesos que la política debería referenciar. Posponer la gobernanza hasta "ordenar la casa" es la forma más común de no gobernar nunca. Partir de modelos listos — RR. HH., finanzas, operaciones, atención, calidad — y adaptarlos acorta esa etapa. Y lo que una persona crea y la empresa aprueba tiene que seguir disponible para los roles autorizados, en vez de morir en la cuenta de quien lo creó. Así fue diseñada Skyller.
Una ruta de cinco pasos para sacar la política del PDF
- Liste las afirmaciones de su política actual. Cada frase que dice "no se puede", "solo con aprobación" o "únicamente para el área X" es una regla candidata a convertirse en mecanismo. Si la política no tiene frases así, todavía es una declaración de intenciones.
- Asocie cada regla al control que la sostiene. Identidad, permiso, aprobación por riesgo, revisión de contenido o registro de auditoría. Una regla sin control correspondiente es una regla que nadie cumple, y que nadie puede demostrar que cumple.
- Empiece por las dos o tres rutinas de mayor exposición. Contratos, datos de clientes, nómina, precios. Gobernar todo a la vez traba el proyecto; gobernar lo que duele primero entrega evidencia rápido.
- Defina dónde la IA tiene que detenerse. Escriba la lista de acciones que exigen confirmación humana antes de ocurrir, y configúrela. Sin esa lista, la empresa oscila entre bloquear todo uso de agentes y liberarlo sin freno.
- Ponga la revisión en el calendario. Las referencias internacionales coinciden en revisión periódica y auditoría interna. Una política que nunca se revisa envejece más rápido que la tecnología que debería regir.
Tres preguntas para llevar a la próxima reunión de dirección: si un auditor pidiera hoy la evidencia de que nuestra política de IA se cumplió el último trimestre, ¿qué podríamos entregar? Cuando alguien se desvincula, ¿cuánto tarda en perder el acceso a las herramientas de IA de la empresa? ¿Y quién, con nombre y apellido, aprueba un documento antes de que se convierta en la respuesta oficial de la IA para toda la empresa?
