Según la encuesta State of AI, de McKinsey, solo el 28% de las empresas afirma que el director ejecutivo asume responsabilidad directa por la supervisión de IA, y apenas el 17% se la atribuye al directorio. Es una brecha de más de dos de cada tres empresas sin un dueño claro para la pregunta más básica de gobernanza: ¿quién responde por esto puertas adentro?
Una encuesta de Deloitte a 700 directores y altos ejecutivos en 56 países, realizada entre enero y febrero de 2025, muestra los dos lados de esa brecha. Dos tercios de los directores (66%) dicen tener conocimiento limitado o nulo sobre IA. Y casi un tercio (31%) afirma que el tema simplemente no está en la agenda del directorio, una mejora frente al 45% de la ronda anterior de la misma encuesta, pero todavía un número alto para una tecnología ya presente en casi toda empresa.
Para quien decide, la pregunta interesante ya no es "¿existe una política de IA aquí?". Es otra: cuando el comité se reúne, ¿qué tiene realmente para revisar? Un informe escrito por quien ejecutó el trabajo es una opinión. Un registro que cualquier persona externa pueda verificar es evidencia. Esa diferencia decide si la supervisión de IA es real o es teatro.
Un comité sin material que revisar
Las cifras de estructura de gobernanza están subiendo. El AI Index 2026, del instituto de IA centrada en las personas de la Universidad de Stanford, midió que los roles dedicados a la gobernanza de IA crecieron un 17% en 2025, y que la proporción de empresas sin ninguna política de IA cayó de cerca de un cuarto a un 11% de las organizaciones encuestadas. El mismo informe encontró que el 36% de las empresas ya cita la norma ISO/IEC 42001 como referencia para su propia práctica de IA responsable, y el 33% cita el marco de gestión de riesgo del NIST, la agencia de tecnología de Estados Unidos.
Esas cifras describen papel firmado, no verificación. El marco del NIST para la gestión de riesgo de IA tiene una función entera dedicada a esto, llamada GOVERN, y no pide solo una política firmada. Pide que los roles y las líneas de comunicación estén documentados y sean claros para cada equipo, que existan mecanismos de separación entre quien construye un sistema de IA y quien lo prueba, y que las personas responsables tengan autoridad y recursos reales para actuar, no solo un cargo en el organigrama.
Ahí es donde la mayoría de las empresas se detiene. Escribir la política responde a la pregunta "¿existe una política?", y el índice de Stanford muestra ese número subiendo rápido. Documentar la separación de funciones, armar el registro que permite verificar después y dar autoridad real a quien se sienta en el comité: nada de eso aparece en ninguna encuesta como cifra creciente, porque la mayoría de las empresas todavía no llegó ahí.
En Brasil y América Latina, el patrón se repite a menor escala. Los comités de IA nacieron en los últimos dos años dentro de áreas de cumplimiento, seguridad de la información o legal, casi siempre sin presupuesto propio y sin autoridad para exigir más que un relato verbal de quien usó la herramienta. La diferencia aparece cuando alguien externo, un auditor, un regulador o un cliente grande, pregunta cómo se verificó esa política. Ahí el comité descubre que no tiene respuesta, porque nunca tuvo qué consultar.
Por qué la política sola no alcanza
Dos normas internacionales llegan a la misma conclusión por caminos distintos. El marco del NIST separa a quien construye y usa un sistema de IA de quien lo audita y prueba, para que la revisión no dependa de la palabra de quien hizo el trabajo. La norma ISO/IEC 42001, publicada en 2023 como el primer estándar internacional específico para la gestión de sistemas de IA, exige que la alta dirección firme una política de IA y, además, registre formalmente quién es responsable de cada rol de gobernanza, no como formalidad, sino como documento que cualquier auditoría puede verificar.
El problema no es la ausencia de estas exigencias. Es que buena parte de las empresas trata la política como el producto final, cuando en realidad es solo el punto de partida. El comité se reúne, lee un resumen preparado por la misma área que ejecutó el trabajo, lo aprueba y sigue adelante. Nadie pregunta si ese resumen refleja lo que realmente ocurrió, porque no existe otra fuente con la cual compararlo.
Ese es el punto ciego que McKinsey y Deloitte describen desde dos ángulos: una dice que nadie asumió la responsabilidad formal; la otra, que quien debería supervisar no tiene ni el conocimiento ni el tiempo dedicado al tema. Las dos cosas empeoran cuando el único material disponible para la revisión es un informe escrito por alguien con interés en que se vea bien.
Lo que tiene que existir en la práctica
Un comité de IA que revisa evidencia, y no relatos, se apoya en mecanismos verificables, no en un documento firmado una vez al año.
Identidad corporativa para personas y agentes. El acceso a la IA nace del mismo directorio que controla el resto de la empresa: quien es desvinculado pierde el acceso en el mismo instante, sin depender de que alguien recuerde revocar una cuenta suelta.
Acceso según el rol de cada persona. Cada persona y cada agente ven solo lo que su función autoriza, incluso dentro de una herramienta conectada con decenas de funciones, no la herramienta completa porque separar el acceso daba más trabajo.
Aprobación humana en puntos definidos, según el riesgo. Los documentos que van a convertirse en conocimiento oficial de la IA pueden exigir revisión y aprobación en dos etapas, con quien los escribe separado de quien los aprueba, la misma separación de funciones que recomienda el marco del NIST para todo el ciclo de un sistema de IA.
Registro de auditoría por área del sistema. Crear un agente, aprobar un documento, cambiar un permiso, ejecutar una acción sensible: todo queda registrado. El comité consulta el registro; no necesita pedirle a alguien que reconstruya de memoria lo que pasó.
Conocimiento aprobado con fuentes. Lo que la IA usa como referencia tiene dueño, versión vigente y fecha de revisión, no un archivo suelto que alguien subió una vez y nadie volvió a revisar.
Así fue diseñada Skyller: identidad proveniente del directorio de la empresa, aprobación en dos etapas para documentos críticos y registro de auditoría por área, para que el comité tenga algo que revisar, no solo algo que aprobar.
Lo que gana el comité con esto
La ganancia más inmediata es velocidad en auditorías e investigación de incidentes. Cuando cada aprobación, cada cambio de permiso y cada acción sensible queda registrada por área del sistema, reconstruir lo que pasó deja de ser un proyecto de días y se convierte en una consulta de minutos, la diferencia que separa una investigación de una suposición de buena fe.
También hay una ganancia de credibilidad externa. Con el 36% de las empresas ya citando la ISO/IEC 42001 y el 33% citando el marco del NIST como referencia, según el índice de Stanford, el mercado avanza hacia tratar estos estándares como una expectativa mínima, no como un diferencial. Un comité que puede mostrar identidad por directorio, aprobación en dos etapas y registro de auditoría por área ya responde a la mayor parte de lo que piden esas normas, sin tener que armar el mecanismo desde cero cuando un auditor pregunte.
Y está la ganancia que cierra el círculo con el problema del comienzo: un comité con esta evidencia deja de depender del buen relato de quien ejecutó el trabajo. La pregunta "¿quién responde por esto puertas adentro?", la misma que solo el 28% de las empresas puede responder para su director ejecutivo y el 17% para su directorio, según McKinsey, pasa a tener una respuesta verificable, no una respuesta de organigrama.
Preguntas para la próxima reunión del comité
Antes de escribir otra política, vale la pena llevar estas preguntas a quien se sienta en la mesa:
- ¿Quién en el comité puede pedir el registro de auditoría de un agente específico ahora mismo, sin esperar un informe? Si la respuesta es "tendríamos que pedirle a TI que lo levante", el comité revisa relatos, no evidencia.
- ¿Existe separación entre quien escribe un documento y quien lo aprueba como conocimiento oficial de la IA? Sin esa separación, un error de tipeo puede convertirse en respuesta oficial antes de que alguien lo note.
- Si a una persona la desvinculan hoy, ¿su acceso a la IA cae al mismo tiempo, o depende de que alguien recuerde revocar una cuenta? La respuesta define si el control es de identidad o de buena voluntad.
- ¿El comité ya probó pedir evidencia de una decisión específica, en vez de recibir solo un resumen preparado por quien la ejecutó? La diferencia entre esas dos cosas es la diferencia entre supervisión y teatro.
- ¿La empresa cita algún estándar de referencia, como el NIST o la ISO/IEC 42001, para que el propio comité lo siga, o cada reunión reinventa qué revisar? Un estándar externo le da al comité una hoja de ruta lista, en vez de un criterio que cambia en cada reunión.
