AI Governance Specialist: el nuevo perfil para controlar riesgos y cumplimiento de la IA

La adopción de inteligencia artificial dentro de las empresas está creando una necesidad que va más allá de desarrollar buenos modelos o integrar herramientas generativas. Las organizaciones también necesitan decidir qué sistemas pueden utilizarse, qué información pueden procesar, quién es responsable de supervisarlos y qué controles deben aplicarse durante su ciclo de vida.

Cuando diferentes departamentos comienzan a utilizar asistentes generativos, modelos predictivos, sistemas RAG o agentes capaces de ejecutar acciones, estas decisiones dejan de poder gestionarse individualmente en cada proyecto. Aquí aparece AI Governance, una disciplina orientada a establecer políticas, responsabilidades y mecanismos para controlar cómo una organización desarrolla, adquiere y utiliza inteligencia artificial.

Con ella empieza a consolidarse una especialización profesional: el AI Governance Specialist. Este perfil trabaja en la intersección entre tecnología, gestión de riesgos, seguridad y cumplimiento. Su objetivo es conseguir que la adopción de IA avance dentro de un marco definido, donde los riesgos puedan identificarse, evaluarse, documentarse y gestionarse.

Qué es AI Governance y por qué está adquiriendo importancia

AI Governance o gobernanza de inteligencia artificial es el conjunto de políticas, responsabilidades, procesos y controles utilizados para dirigir y supervisar el uso de sistemas de IA dentro de una organización. Una política de gobernanza puede determinar quién está autorizado para aprobar un sistema, qué información puede procesar, qué evaluaciones necesita antes de producción y qué documentación debe conservarse.

Los controles también pueden variar según el riesgo. Un asistente interno utilizado para resumir documentación pública presenta implicaciones diferentes de un sistema utilizado para evaluar candidatos, analizar información financiera o recomendar decisiones relacionadas con clientes. La gobernanza permite reconocer esas diferencias y asignar controles proporcionales.

NIST refleja este carácter transversal en su AI Risk Management Framework, que organiza la gestión del riesgo de IA alrededor de cuatro funciones: Govern, Map, Measure y Manage. Governance se integra durante todo el proceso de gestión del riesgo.

De proyectos aislados a una capacidad empresarial

Durante las primeras fases de adopción, los proyectos de IA pueden mantenerse relativamente aislados. La complejidad aumenta cuando empiezan a conectarse con procesos empresariales reales y aparecen cuestiones sobre privacidad, seguridad, propiedad de los datos, proveedores, calidad de las respuestas, supervisión humana y responsabilidades.

Los agentes de IA añaden otra dimensión porque pueden disponer de herramientas y ejecutar acciones. La organización necesita establecer bajo qué condiciones pueden utilizarse esas capacidades, qué límites existen y qué operaciones requieren supervisión. AI Governance proporciona un marco común para evitar que cada equipo defina de manera independiente sus propios criterios de riesgo y control.

Qué hace un AI Governance Specialist

El AI Governance Specialist convierte principios generales sobre uso responsable de IA en procesos aplicables dentro de una organización. No desarrolla necesariamente los modelos ni implementa personalmente todos los controles técnicos; coordina cómo deben gobernarse esos sistemas y ayuda a definir responsabilidades.

Su trabajo puede incluir políticas internas, inventarios de sistemas, clasificación de casos de uso por riesgo, requisitos de documentación, evaluaciones de privacidad y seguridad, supervisión humana y preparación de evidencias para auditorías o cumplimiento.

La función GOVERN de NIST incluye precisamente el establecimiento de políticas, procesos y procedimientos para identificar, medir y gestionar riesgos, además de comprender y documentar requisitos legales y regulatorios aplicables.

El inventario de IA como punto de partida

Resulta difícil gobernar sistemas cuya existencia la organización desconoce. Una empresa puede tener modelos desarrollados internamente, APIs de inteligencia artificial integradas en aplicaciones, herramientas SaaS con funciones generativas y empleados utilizando diferentes asistentes externos. Un inventario centralizado puede registrar propietario interno, finalidad, proveedor, modelos utilizados, fuentes de datos, usuarios, nivel de autonomía, integraciones, riesgos identificados y estado de aprobación. Esa información permite aplicar políticas diferentes según las características de cada caso.

También facilita identificar Shadow AI: herramientas o modelos utilizados dentro de la organización sin haber pasado por los mecanismos internos de revisión correspondientes.

Governance durante todo el ciclo de vida

Los riesgos pueden cambiar después del deployment. Un proveedor puede actualizar el modelo, incorporarse una nueva fuente de datos, modificarse la finalidad de la aplicación o aparecer una vulnerabilidad que antes no estaba identificada.

NIST plantea la gestión del riesgo como una actividad continua durante el ciclo de vida. Esto implica establecer controles desde diseño y adquisición hasta operación, actualización y retirada.

Un sistema aprobado bajo unas condiciones determinadas puede necesitar una nueva evaluación si cambia sustancialmente su funcionamiento o contexto.

AI Governance, Compliance, Ethics y Security: responsabilidades diferentes

Governance y compliance están relacionados, pero representan ámbitos diferentes. AI Compliance se concentra especialmente en identificar y cumplir obligaciones legales, regulatorias o contractuales. AI Governance establece un marco más amplio para controlar cómo la organización utiliza inteligencia artificial.

La gobernanza puede incorporar controles internos que no procedan directamente de una regulación, como restricciones sobre el uso de documentos confidenciales en herramientas generativas públicas. También integra tolerancia al riesgo, responsabilidades, seguridad, evaluación y supervisión.

Las fronteras no son absolutas. Una fuga de información mediante una aplicación generativa puede representar simultáneamente un problema de seguridad, privacidad, compliance y Governance. Lo que cambia es la responsabilidad específica que cada función asume para prevenirlo o responder.

La relación entre AI Governance y Ciberseguridad

A medida que los sistemas de IA obtienen acceso a más información y herramientas, Governance y Ciberseguridad necesitan coordinarse estrechamente. Un modelo puede procesar información confidencial, un sistema RAG recuperar documentos empresariales y un agente conectarse mediante APIs a aplicaciones internas.

Los especialistas en Ciberseguridad trabajan sobre identidades, permisos, infraestructura, vulnerabilidades, monitorización y respuesta ante incidentes. AI Governance establece el marco que determina qué controles deben existir, quién debe verificarlos y qué nivel de riesgo está dispuesta a aceptar la organización.

La coordinación evita que la seguridad se convierta en una revisión aislada al final del proyecto.

Cómo gobernar IA generativa, RAG y agentes

Los modelos generativos presentan características que requieren controles específicos. Las respuestas pueden variar ante consultas similares, el sistema puede procesar datos introducidos por usuarios y utilizar contenido recuperado desde fuentes externas.

Cuando la aplicación incorpora RAG, los permisos del usuario deberían mantenerse durante el proceso de recuperación para impedir que una interfaz conversacional se convierta en una vía alternativa de acceso a información restringida.

Los agentes añaden mayor complejidad porque pueden utilizar herramientas. Las políticas deben establecer qué acciones pueden ejecutarse automáticamente, cuáles necesitan aprobación humana, qué credenciales puede utilizar el agente y cómo queda registrada cada operación.

Responsible AI necesita mecanismos verificables

Principios como transparencia, responsabilidad, privacidad o equidad necesitan traducirse en procesos concretos. Establecer que un sistema debe ser supervisado por personas requiere definir quién realiza esa supervisión, cuándo interviene, qué información recibe y qué capacidad tiene para modificar una decisión.

La transparencia también puede implicar informar al usuario de que interactúa con IA, documentar limitaciones conocidas o proporcionar información sobre el funcionamiento y utilización del modelo, dependiendo del contexto.

NIST incluye entre las características de una IA confiable elementos como validez y fiabilidad, seguridad y resiliencia, responsabilidad y transparencia, explicabilidad, privacidad y gestión de sesgos perjudiciales.

El EU AI Act y la gobernanza operativa

En Europa, el AI Act introduce un marco regulatorio basado en riesgo que establece obligaciones diferentes según las características y utilización de los sistemas de inteligencia artificial. Su calendario de aplicación es progresivo y convierte determinadas cuestiones de gobernanza en requisitos operativos para las organizaciones.

Esto obliga primero a conocer qué sistemas de IA utiliza la empresa y qué papel desempeña respecto a ellos. Desarrollar un sistema y utilizar una solución proporcionada por un tercero pueden implicar responsabilidades diferentes, y los casos de uso tampoco presentan necesariamente el mismo nivel de riesgo. El AI Governance Specialist puede conectar el análisis regulatorio con inventarios, clasificación, documentación, responsabilidades y controles internos, trabajando junto con Legal y Compliance cuando corresponda.

Proveedores, documentación y trazabilidad

Una organización no controla directamente todos los modelos que utiliza. Muchas aplicaciones empresariales consumen modelos mediante APIs o incorporan funcionalidades de IA ofrecidas por proveedores externos.

Antes de integrar estas soluciones es necesario comprender qué datos reciben, cómo los procesan, qué opciones de seguridad ofrecen, cómo comunican cambios y qué responsabilidades corresponden a cada parte. Una actualización del proveedor puede modificar el riesgo si incorpora nuevas herramientas, memoria persistente o capacidades agénticas.

La gestión de terceros debe continuar después de la contratación

La evaluación inicial no siempre representa el funcionamiento futuro de una solución. Por ello, la gestión de terceros debe integrarse en el ciclo de Governance y revisarse cuando cambian las capacidades, condiciones o riesgos.

Esta continuidad permite detectar cambios relevantes y decidir si una aplicación necesita una nueva evaluación, controles adicionales o restricciones distintas.

Documentación y trazabilidad para reconstruir decisiones

La documentación cumple una función operacional además de regulatoria. Cuando aparece un incidente, la organización necesita reconstruir qué modelo estaba activo, qué versión de la aplicación lo utilizaba, qué controles se habían aprobado y quién era responsable del sistema.

La trazabilidad permite conocer qué evaluaciones se realizaron antes del deployment y qué riesgos fueron aceptados. Un programa maduro establece qué evidencia debe conservarse según el riesgo, evitando tanto la ausencia de documentación como procesos burocráticos desproporcionados.

AI Governance necesita conectar equipos diferentes

Gobernar inteligencia artificial implica coordinar perspectivas distintas. Los equipos técnicos entienden cómo funciona el sistema; Ciberseguridad identifica amenazas y controles; Legal interpreta obligaciones regulatorias; Compliance supervisa requisitos; Privacidad analiza el tratamiento de datos y las unidades de negocio conocen el contexto donde se utilizará la solución.

El AI Governance Specialist conecta estas perspectivas mediante un proceso común. Para hacerlo necesita conocimientos técnicos suficientes sobre modelos generativos, APIs, RAG, agentes, datos de entrenamiento, inferencia y monitorización, aunque no sea quien desarrolla esos componentes.

También debe traducir requisitos complejos en controles que puedan incorporarse al desarrollo, adquisición y utilización cotidiana de IA.

Cuándo necesita una empresa AI Governance

No todas las organizaciones necesitan crear inmediatamente un departamento independiente de AI Governance. La necesidad aumenta cuando la adopción de IA atraviesa diferentes áreas, utiliza información sensible o empieza a influir en procesos y decisiones relevantes.

Señales de que hacen falta mecanismos formales de control

• Varios departamentos utilizan herramientas de IA sin un inventario centralizado de aplicaciones y proveedores.

• Los empleados introducen información empresarial en modelos externos y no existen reglas claras sobre los datos permitidos.

• La organización desarrolla sistemas que influyen en decisiones sobre clientes, empleados o usuarios.

• Se implementan agentes de IA capaces de acceder a aplicaciones o ejecutar acciones.

• Cada proyecto define sus propios criterios de seguridad y aprobación sin un estándar organizacional.

• Existen operaciones sujetas a requisitos regulatorios relacionados con datos, decisiones automatizadas o inteligencia artificial.

• Nadie tiene claramente asignada la responsabilidad sobre los riesgos después de que los sistemas entren en producción.

Cuando coinciden varias de estas situaciones, Governance se convierte en una necesidad operacional. El objetivo es disponer de criterios comunes antes de que la complejidad se distribuya entre numerosos proyectos y proveedores.

Qué competencias necesita un AI Governance Specialist

El perfil requiere una combinación de conocimientos técnicos y capacidad de gestión. Debe comprender suficientemente los sistemas de IA para evaluar riesgos reales y comunicarse con ingenieros, arquitectos y equipos de datos, además de manejar metodologías de gestión de riesgos, políticas corporativas, documentación y marcos regulatorios.

La comunicación resulta especialmente importante porque una política técnicamente correcta que los equipos no entienden o no pueden aplicar aporta poco valor operativo. También necesita trabajar con incertidumbre, ya que tecnologías, amenazas y regulaciones evolucionan y el modelo de Governance debe adaptarse.

AI Governance puede facilitar una adopción de IA más predecible

Introducir Governance no debería convertir cada proyecto de IA en una cadena de aprobaciones. Los casos de bajo riesgo pueden disponer de procesos simplificados y herramientas previamente autorizadas, mientras que los proyectos más sensibles reciben evaluaciones adicionales según criterios definidos con anterioridad.

Este enfoque proporciona reglas conocidas antes de comenzar. NIST tampoco plantea su AI Risk Management Framework como una checklist rígida: las prácticas pueden adaptarse a las características, necesidades y tolerancia al riesgo de cada organización.

La madurez consiste en aplicar controles proporcionales y reservar las evaluaciones más exigentes para los sistemas donde el impacto potencial lo justifica.

El AI Governance Specialist gana peso en el ecosistema de IA

Las organizaciones están pasando de experimentar con herramientas aisladas a incorporar inteligencia artificial dentro de procesos, productos y decisiones empresariales. Ese cambio aumenta tanto el valor de los perfiles que construyen modelos, agentes y plataformas como la necesidad de profesionales capaces de establecer las condiciones bajo las cuales pueden utilizarse.

El AI Governance Specialist conecta tecnología con riesgo, seguridad, responsabilidades internas y cumplimiento. Su función complementa a Ciberseguridad, Legal, Compliance y los equipos técnicos mediante un marco donde esas disciplinas pueden colaborar sobre los mismos sistemas.

A medida que esta capacidad se vuelve transversal, disponer de los perfiles adecuados también forma parte del modelo de gobierno. Los modelos de Outsourcing IT pueden permitir incorporar especialistas en IA, seguridad y arquitectura según las necesidades de cada proyecto. Si tu organización está definiendo cómo desarrollar o desplegar estas capacidades, lateam puede ayudarte a analizar los perfiles necesarios.