Gobernanza de IA en las empresas: frameworks y compliance

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La gobernanza de la inteligencia artificial en las empresas dejó de ser un diferencial competitivo y se convirtió en una exigencia regulatoria, con frameworks globales y normas brasileñas que moldean el compliance corporativo.

El escenario actual de la gobernanza de IA en Brasil y en el mundo

En los últimos años hemos presenciado una aceleración sin precedentes en la adopción de sistemas de inteligencia artificial por parte de empresas de todos los tamaños y sectores. Esta transformación tecnológica, sin embargo, ha traído consigo desafíos jurídicos y regulatorios que exigen respuestas estructuradas de las organizaciones. La gobernanza de IA surge en este contexto como el conjunto de políticas, procesos y controles internos que garantizan un uso responsable, ético y legalmente adecuado de estas tecnologías en el entorno corporativo.

En el escenario internacional, la Unión Europea consolidó el AI Act (Reglamento de Inteligencia Artificial) como la primera legislación integral sobre la materia, que establece categorías de riesgo y obligaciones proporcionales para los desarrolladores y los implementadores de sistemas de IA. En Estados Unidos ha prevalecido el enfoque sectorial, con agencias reguladoras que emiten orientaciones específicas para ámbitos como la salud, las finanzas y el transporte. La OCDE, por su parte, publicó principios que sirven de referencia para las políticas nacionales de decenas de países.

En Brasil, el Proyecto de Ley sobre Inteligencia Artificial se tramita en el Congreso Nacional con propuestas que incluyen la clasificación de riesgos, derechos de las personas afectadas por decisiones automatizadas y obligaciones de transparencia. Independientemente de la aprobación final del texto legislativo, se observa que la Autoridad Nacional de Protección de Datos (ANPD) ya desempeña un papel relevante en la fiscalización de los sistemas de IA que procesan datos personales, con base en la Ley General de Protección de Datos (LGPD). Las empresas que operan en el territorio nacional deben, por lo tanto, considerar tanto el marco normativo vigente como las normas en elaboración.

Este asunto guarda relación directa con la gobernanza global de algoritmos, tema que abordamos en un artículo específico.

Este asunto guarda relación directa con la IA en el Poder Judicial, tema que abordamos en un artículo específico.

Principales frameworks de gobernanza de IA para el sector corporativo

Al analizar los frameworks disponibles para estructurar la gobernanza de IA en las empresas, se identifican distintos enfoques que pueden combinarse según la realidad de cada organización. El NIST AI Risk Management Framework (AI RMF), publicado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos, ofrece una estructura voluntaria y flexible, organizada en cuatro funciones principales: gobernar, mapear, medir y gestionar los riesgos relacionados con la IA. Su adopción ha crecido a nivel global por su practicidad y su adaptabilidad a diferentes contextos empresariales.

La norma ISO/IEC 42001, publicada en 2023, establece requisitos para un sistema de gestión de inteligencia artificial, siguiendo la estructura ya conocida de otras normas ISO de gestión. Para las empresas que ya cuentan con certificaciones como ISO 27001 (seguridad de la información) o ISO 9001 (calidad), la integración con la ISO 42001 representa un camino natural y eficiente. Esta norma aborda aspectos como la evaluación de impacto, el monitoreo continuo, la documentación de las decisiones y la responsabilidad organizacional durante todo el ciclo de vida de los sistemas de IA.

Otro referente importante es el framework de IA Responsable propuesto por la OCDE, que se estructura en cinco principios: crecimiento inclusivo y desarrollo sostenible, valores centrados en el ser humano y equidad, transparencia y explicabilidad, solidez y seguridad, y rendición de cuentas. Estos principios, aunque de carácter orientador, se han incorporado a las legislaciones nacionales de diversos países y sirven de base para las políticas internas de empresas multinacionales.

Una gobernanza de IA eficaz no se limita a cumplir requisitos legales: exige una cultura organizacional que integre ética, transparencia y responsabilidad en cada etapa del ciclo de vida de los sistemas inteligentes.

En el contexto brasileño, las orientaciones de la ANPD sobre decisiones automatizadas y la Guía de Buenas Prácticas para IA publicada por el gobierno federal complementan los frameworks internacionales. Se recomienda que las empresas adopten un enfoque híbrido, seleccionando elementos de cada framework según sus necesidades específicas, su sector de actividad y su nivel de madurez en gobernanza de datos y tecnología.

Compliance de IA en la práctica: cómo estructurar un programa corporativo

Implementar un programa de compliance de IA exige planificación estratégica y la participación de equipos multidisciplinarios. El primer paso que se recomienda es realizar un inventario completo de los sistemas de IA que utiliza la empresa, incluidas las herramientas de terceros, los modelos desarrollados internamente y las aplicaciones integradas en programas informáticos ya contratados. Muchas organizaciones descubren, en este mapeo inicial, que utilizan más sistemas basados en IA de lo que imaginaban, desde chatbots de atención al cliente hasta algoritmos de fijación de precios y herramientas de reclutamiento.

Con el inventario en mano, el siguiente paso es la clasificación de riesgos. Siguiendo la lógica adoptada por el AI Act europeo y por las propuestas legislativas brasileñas, cada sistema debe evaluarse según su potencial de causar daños a los derechos fundamentales, la salud, la seguridad y el medio ambiente. Los sistemas de alto riesgo (como los utilizados en decisiones de crédito, contratación de personal, diagnósticos médicos o vigilancia) requieren controles más rigurosos, que incluyen evaluaciones de impacto algorítmico, auditorías periódicas y mecanismos de supervisión humana.

La estructura de gobernanza interna debe asignar responsabilidades claras. Observamos que las empresas más maduras en esta materia han creado comités de ética en IA, con la participación de profesionales de tecnología, del área jurídica, de compliance, de recursos humanos y de las áreas de negocio. Algunas organizaciones de mayor tamaño nombran a un Chief AI Officer o atribuyen esta responsabilidad a un ejecutivo ya existente, de modo que las decisiones sobre IA tengan representación en la alta dirección.

La documentación es otro pilar fundamental. Cada sistema de IA de riesgo medio o alto debe contar con registros que describan su finalidad, los datos utilizados en el entrenamiento, las métricas de desempeño, las pruebas de sesgo realizadas, las limitaciones conocidas y los procedimientos de monitoreo continuo. Esta documentación no solo cumple requisitos regulatorios, sino que también facilita las auditorías internas y externas, además de contribuir a la gestión del conocimiento de la organización.

Desafíos sectoriales y regulación específica

Los distintos sectores de la economía enfrentan desafíos particulares en materia de gobernanza de IA, y la regulación tiende a reflejar esas especificidades. En el sector financiero, el Banco Central de Brasil y la Comisión de Valores Mobiliarios (CVM) ya han manifestado su preocupación por el uso de algoritmos en decisiones de crédito, inversiones y prevención del fraude. Las instituciones financieras que utilizan IA para la calificación crediticia (scoring), por ejemplo, deben garantizar la explicabilidad de las decisiones y la ausencia de discriminación algorítmica, so pena de infringir tanto la legislación de defensa del consumidor como las normas del Sistema Financiero Nacional.

En el ámbito de la salud, la Agencia Nacional de Vigilancia Sanitaria (ANVISA) ha avanzado en la regulación de los programas informáticos como dispositivos médicos, incluidos los basados en IA. Los hospitales y las clínicas que adoptan sistemas de apoyo al diagnóstico o de triaje automatizado deben observar requisitos específicos de validación clínica, trazabilidad y vigilancia posterior a la comercialización. La intersección entre la LGPD y las normas sectoriales de salud crea capas adicionales de compliance que no pueden descuidarse.

El sector de recursos humanos también merece especial atención. Las herramientas de reclutamiento basadas en IA, los sistemas de evaluación del desempeño y las plataformas de monitoreo de la productividad plantean cuestiones sensibles en materia de privacidad, discriminación y derechos laborales. Se aprecia que la jurisprudencia laboral brasileña se muestra cada vez más atenta al uso de estas tecnologías, y que las empresas que no logran demostrar la equidad y la transparencia de sus sistemas algorítmicos quedan expuestas a riesgos contenciosos significativos.

Para las empresas que operan en múltiples jurisdicciones, el desafío se multiplica. La necesidad de cumplir simultáneamente con el AI Act europeo, las normas brasileñas y las regulaciones de otros mercados exige una estrategia de compliance que identifique los requisitos comunes y trate de forma ordenada las particularidades de cada jurisdicción. En este escenario, adoptar frameworks internacionales como base (complementados con adaptaciones locales) ha demostrado ser el enfoque más eficiente.

Pasos concretos para iniciar la gobernanza de IA

Para las organizaciones que aún no cuentan con un programa estructurado de gobernanza de IA, se recomienda un enfoque gradual y pragmático. El primer paso es la sensibilización del liderazgo: sin el respaldo de la alta dirección, las iniciativas de gobernanza tienden a perder impulso. Presentar casos concretos de sanciones regulatorias, litigios y daños reputacionales relacionados con la IA suele ser eficaz para lograr el compromiso del directorio.

A continuación, sugerimos elaborar una política interna de uso de IA que establezca principios generales, restricciones claras (como la prohibición de ciertos usos de alto riesgo sin aprobación previa) y procedimientos para la adquisición, el desarrollo y la implementación de nuevos sistemas. Esta política debe comunicarse a todos los colaboradores e integrarse en los programas de capacitación existentes.

Realizar evaluaciones de impacto algorítmico (AIA) para los sistemas más críticos es otra medida prioritaria. Estas evaluaciones, inspiradas en las evaluaciones de impacto relativas a la protección de datos previstas en la LGPD, analizan los riesgos específicos de cada sistema de IA y proponen medidas de mitigación proporcionales. Se observa que las empresas que incorporan estas evaluaciones a su proceso de aprobación de nuevos proyectos tecnológicos logran identificar y tratar los riesgos antes de que se materialicen.

Por último, resulta esencial crear canales de denuncia y mecanismos de impugnación. Los colaboradores, los clientes y los terceros afectados por decisiones automatizadas deben tener acceso a medios efectivos para cuestionar esas decisiones y solicitar una revisión humana cuando sea necesario. Este derecho, ya previsto en la LGPD para las decisiones basadas exclusivamente en el tratamiento automatizado de datos personales, tiende a ampliarse con la futura legislación sobre IA.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.