Gobernanza de IA: claves para América Latina

Columnas martes 08 de septiembre de 2026 -

La gobernanza de la inteligencia artificial no puede reducirse a la legislación de un país. Las leyes fijan derechos, obligaciones y límites, pero gobernar la IA exige además definir quién autoriza su uso, con qué propósito, quién asume responsabilidad por sus resultados, cómo se identifican y gestionan sus riesgos y qué mecanismos permiten supervisarla, revisarla y corregirla. Para América Latina, esta distinción es especialmente útil: los principales marcos internacionales no deben entenderse como modelos a copiar, sino como referencias para identificar problemas comunes de gobernanza —responsabilidad, impacto, derechos, datos, seguridad, proveedores y rendición de cuentas— y traducirlos a las capacidades e instituciones propias de cada país.

Uno de los referentes más importantes es ISO/IEC 42001, la norma internacional sobre sistemas de gestión de inteligencia artificial. Su interés no reside solamente en la posibilidad de una certificación. Lo sustantivo es que propone tratar la IA como una responsabilidad institucional: definir alcance, responsables, riesgos, controles, documentación, evaluación y mejora continua. Esto cambia la perspectiva. En lugar de limitarse a declarar que una organización utilizará IA de manera “responsable”, obliga a preguntarse qué sistemas utiliza, para qué, quién los supervisa y qué evidencia existe de que los controles funcionan. En el sector público, esta lógica puede vincularse con decisiones administrativas, protección de datos, contratación, seguridad y rendición de cuentas.

La segunda pieza es la gestión de riesgos. ISO/IEC 23894 y el AI Risk Management Framework del NIST son especialmente útiles porque muestran que el riesgo de IA no se limita a una falla técnica. También puede surgir de los datos, del contexto en que se utiliza el sistema, de la interacción con las personas, de la dependencia de proveedores o de cambios posteriores en el modelo. Esto importa porque un sistema puede funcionar técnicamente y aun así producir consecuencias inadecuadas. Puede influir excesivamente en una decisión humana, utilizar información incorrecta, afectar de manera distinta a determinados grupos o cambiar después de una actualización. La gestión del riesgo, por tanto, no debería ser un trámite previo al despliegue, sino un proceso continuo.

A ello se suma la evaluación de impacto. ISO/IEC 42005 y HUDERIA, desarrollada en el ámbito del Consejo de Europa, introducen una pregunta distinta: quién puede verse afectado y de qué manera. HUDERIA incorpora además derechos humanos, democracia y Estado de derecho como dimensiones de análisis.

La diferencia es relevante. No es lo mismo utilizar IA para preparar un borrador que emplearla para apoyar una selección de personal, una inspección, una evaluación, la asignación de beneficios o una decisión administrativa. Cuanto mayor sea la posibilidad de afectar derechos o intereses relevantes, mayor debería ser la exigencia de evaluación, supervisión, justificación y revisión.

También resulta necesario estudiar el AI Act de la Unión Europea, pero no como una plantilla para América Latina. Su valor está en observar cómo una jurisdicción ha traducido conceptos como riesgo, transparencia, documentación y supervisión en obligaciones concretas. Algo semejante ocurre con la Recomendación de la UNESCO, los Principios de IA de la OCDE y los instrumentos del Consejo de Europa: aportan referencias sobre derechos, responsabilidad pública y cooperación, pero tienen naturalezas jurídicas distintas y no sustituyen las normas nacionales.

Hay además un tema que merece especial atención en nuestra región: la contratación de inteligencia artificial. Muchos gobiernos y organizaciones utilizarán sistemas desarrollados por terceros, plataformas en la nube o modelos de propósito general. Eso obliga a pensar en acceso a información, auditoría, seguridad, cambios de versión, portabilidad y dependencia tecnológica. La bibliografía reciente ya trata este problema de manera directa. Naciones Unidas ha relacionado la adquisición de IA con debida diligencia, evaluación de impactos, supervisión y remedio, mientras que la Comisión Europea ha desarrollado cláusulas contractuales para trasladar obligaciones de información y auditoría a los proveedores.

La idea de fondo es clara: contratar tecnología no significa transferir la responsabilidad institucional. Para América Latina, el desafío no consiste en elegir un modelo extranjero, sino en construir una gobernanza compatible con sus propias instituciones jurídicas y administrativas. Eso exige conocer estos marcos, distinguir qué puede aportar cada uno y traducirlos, cuando resulte pertinente, en capacidades concretas.

Porque gobernar la inteligencia artificial no es sólo decidir qué se permite. Es también determinar quién responde, cómo se controla y qué evidencia permite justificar su uso.