Gobernanza de la IA: por qué el control importa más que el modelo

Artículo de Axia · por Adrian Villalobos Quirós · Escazú, Costa Rica · axiadigital.net · 2026

La conversación sobre inteligencia artificial en LATAM sigue anclada en la pregunta equivocada. Los comités directivos preguntan "¿qué modelo usamos?" cuando la pregunta que decide el resultado es "¿cómo lo controlamos?". La evidencia de los últimos dos años es contundente: sin gobernanza, un sistema de IA no es un activo, es un pasivo latente con probabilidad medible de materializarse.

Esto no es un argumento ético. Es un argumento de ingeniería y de riesgo. Veamos los números.

El problema no es que la IA se equivoque. Es que se equivoca de forma medible y predecible.

Un modelo de lenguaje no "falla" como falla un software tradicional, con un error que se puede reproducir y parchear. Falla probabilísticamente, y la tasa depende de la tarea. La investigación reciente lo cuantifica con precisión incómoda.

En resumen de casos clínicos, un estudio de 2025 midió tasas de alucinación de 64.1% sin prompts de mitigación, bajando a 43.1% con mitigación — una mejora del 33%. En el dominio legal, la investigación de Stanford RegLab encontró que los modelos alucinan entre 69% y 88% en consultas legales específicas, y al menos 75% de las veces en preguntas sobre el fallo central de un tribunal. Incluso las herramientas construidas específicamente para derecho fallan: Lexis+ AI produjo información incorrecta más del 17% de las veces y Westlaw AI-Assisted Research alucinó más del 34%.

El punto de fondo lo resume bien un análisis de finales de 2025: las alucinaciones no son una propiedad única y medible como la duración de una batería. Son una familia de modos de falla que se disparan o se encogen según la tarea, según si el modelo puede abstenerse, según si usa recuperación de datos, y según cómo se penaliza el "no estoy seguro". Traducido a lenguaje de negocio: la tasa de error de tu sistema no es un número fijo del proveedor, es una variable que depende de cómo lo diseñaste, y por lo tanto es tu responsabilidad, no la del modelo.

El sesgo no es un accidente. Es una propiedad heredada del dato.

El segundo modo de falla es más peligroso porque es silencioso. Un modelo entrenado sobre datos históricos aprende los patrones históricos, incluidos los defectuosos, y los ejecuta a escala sin que nadie los vea.

El mecanismo técnico casi nunca es una variable explícitamente discriminatoria en el modelo. Es más sutil: el sistema usa un proxy — una variable conveniente y aparentemente neutral — que en realidad correlaciona con un atributo protegido. El modelo optimiza sobre el proxy y reconstruye el sesgo por la puerta de atrás. Este es el patrón que se repite entre casos: el sesgo entra en la capa de datos, se amplifica en el pipeline de entrenamiento, y pasa desapercibido porque los benchmarks de evaluación no reflejan las poblaciones a las que el modelo realmente sirve.

Por eso quitar la variable sensible no resuelve el problema. Cuando Amazon descartó una herramienta de reclutamiento sesgada, concluyó que no podía garantizar que el modelo no identificara otros proxies del atributo protegido y aplicara el mismo patrón. Dicho de otro modo: un modelo optimizado sobre resultados sesgados reconstruirá los atributos protegidos a través de cualquier variable correlacionada que tenga disponible.

Y esto ya no es teoría de laboratorio: es litigio. En Estados Unidos, en mayo de 2025 un juez federal permitió avanzar una demanda colectiva bajo la ley de discriminación por edad, alegando que las herramientas de screening con IA de Workday desfavorecían desproporcionadamente a aplicantes mayores de 40 años. El vector aquí es la edad, pero el mecanismo es idéntico: un sistema que aprende de decisiones históricas y las reproduce a escala industrial, sin que ningún humano las revise una por una.

La gobernanza es la disciplina que convierte esos riesgos en variables gestionables.

Aquí está el giro que los decisores de LATAM necesitan internalizar: existe una arquitectura probada para manejar todo lo anterior, y no hay que inventarla. Los dos marcos de referencia son el NIST AI Risk Management Framework y el ISO/IEC 42001.

Conviene ser honesto sobre su estatus. A octubre de 2025, ni el NIST AI RMF ni el ISO/IEC 42001 son legalmente obligatorios en Estados Unidos ni internacionalmente. Pero esa voluntariedad es engañosa. En el caso del NIST, la FTC, la CFPB, la FDA, la SEC y la EEOC ya referencian sus principios en sus guías de aplicación. El marco tampoco es una recomendación suelta y estática: su actualización de marzo de 2025 abordó específicamente los riesgos de IA generativa, las vulnerabilidades de cadena de suministro y la evaluación de modelos de terceros.

El ISO/IEC 42001 cumple una función complementaria. Aborda de forma directa varias de las exigencias del AI Act europeo — gestión de riesgo, gobernanza de datos, documentación, monitoreo, seguridad — funcionando como un kit de pre-cumplimiento. Es un playbook auditable y repetible que abarca planificación, ejecución, verificación de riesgo, seguimiento de desempeño y mejora continua. La señal de mercado tampoco es ambigua: 76% de las organizaciones en un benchmark de cumplimiento de CSA de 2025 planea adoptar marcos como el ISO 42001 pronto.

Para una empresa en Costa Rica o la región, la ventaja estratégica es doble. Si la regulación global converge, estás adelante. Y si la fragmentación regulatoria se profundiza, un marco de gobernanza maduro se convierte igual en un diferenciador de negocio.

Lo que esto significa en la práctica

La gobernanza no es un documento que se firma y se archiva. Es un conjunto de controles operativos que se integran al ciclo de vida del sistema: inventario de dónde se usa IA, propiedad clara de cada sistema, evaluación de sesgo contra la población real de uso, medición de la tasa de error por tarea, trazabilidad de cada decisión, y monitoreo continuo del drift. Ninguno de estos controles es exótico. Todos existen en los marcos mencionados.

La conclusión es simple y quizás incómoda. La pregunta no es si tu organización puede permitirse invertir en gobernanza de IA. Es si puede permitirse desplegar sistemas cuya tasa de falla es medible, cuyo sesgo es heredado y silencioso, y cuya exposición legal ya se está materializando en tribunales — sin ningún control sobre ninguna de esas tres variables.

Un modelo sin gobernanza no es innovación. Es riesgo no gestionado con una interfaz amigable.

Sobre el autor

Adrian Villalobos Quirós es fundador de Axia (axiadigital.net), firma de consultoría e implementación de inteligencia artificial con sede en Escazú, Costa Rica, especializada en gobernanza de IA y automatización B2B para empresas e instituciones en Costa Rica y América Latina.

Combina formación dual con MBA y Máster en Inteligencia Artificial para Negocios, más de 20 años de experiencia en organizaciones multinacionales —incluyendo la Organización Internacional para las Migraciones (OIM/ONU), Procter & Gamble, Fiserv y DHL— y trabajo técnico directo construyendo sistemas de IA en producción. Esa mezcla le permite ofrecer gobernanza aplicada: no documentos de política, sino controles operativos integrados al ciclo de vida de cada sistema —trazabilidad, supervisión humana, gestión de sesgo y minimización de datos sensibles— alineados con los marcos NIST AI RMF e ISO/IEC 42001.

Trilingüe (español, inglés, portugués), asesora a organizaciones de salud, farmacéutica, educación, construcción y agroindustria en la adopción responsable de IA.

📞 (506) 8706-1001 · 📩 adrian@axiadigital.net · 🌐 axiadigital.net

Axia opera como MARJAD SRL, PYME costarricense registrada ante el MEIC.