Criterio sobre riesgo, normativa y gobierno de IA.

Una certificación acredita que un sistema de gestión existe y funciona conforme a un alcance definido, en una fecha determinada. No acredita que la organización resista el siguiente incidente. Ambos objetivos se confunden con frecuencia porque el primero produce evidencia visible, como un certificado o un informe de auditoría, y el segundo solo se comprueba cuando ocurre una falla.

La diferencia importa en la mesa del consejo. Un informe de cumplimiento responde si se satisficieron los requisitos. Un informe de protección responde qué escenarios podrían detener la operación, cuánto tardaría la recuperación y qué decisiones están pendientes. Cuando la dirección recibe solo el primero, el riesgo permanece sin dueño.

La postura de Libertad & Co. es usar el marco normativo como piso y no como meta: se cumple lo exigido y, sobre esa base, se prueba si los controles funcionan frente a los escenarios que afectarían al negocio.

El consejo no necesita entender cómo funciona un firewall. Necesita saber si la dirección conoce sus riesgos, si los ha aceptado de manera consciente y si la organización puede continuar operando cuando algo falla. Cinco preguntas bastan para abrir esa conversación:

1. ¿Cuáles son los tres procesos cuya interrupción nos costaría más y cuánto tiempo podemos estar sin ellos?
2. ¿Quién es responsable del riesgo cibernético y a quién reporta?
3. ¿Cuándo fue la última vez que se probó la recuperación y qué resultado tuvo?
4. ¿Qué proveedores tienen acceso a información crítica y cómo los evaluamos?
5. ¿Qué parte del riesgo hemos decidido aceptar y quién lo aprobó?

Las respuestas importan menos que su claridad. Una dirección que no puede responder con precisión ya tiene un hallazgo.

Muchas organizaciones descubren que ya usan inteligencia artificial: herramientas contratadas por áreas de negocio, funciones incorporadas en software existente y cuentas personales que los empleados emplean con información de la empresa. No se puede gobernar lo que no se conoce, por lo que el primer paso es un inventario honesto, construido con las áreas y no solo con tecnología.

A partir del inventario se asigna un responsable por sistema, se clasifica cada caso de uso por nivel de riesgo y se fijan reglas claras sobre qué datos pueden ingresar a herramientas externas. Marcos como ISO/IEC 42001 y el NIST AI RMF ofrecen una estructura para sostener ese trabajo en el tiempo.

El objetivo no es frenar el uso de la IA. Es que cada caso de uso tenga un propósito, un responsable y un nivel de control proporcional a su riesgo.

La privacidad por diseño consiste en decidir qué datos se recopilan, para qué y por cuánto tiempo antes de construir el proceso o el producto, y no después de la primera queja. Resulta más barata y más eficaz que adaptar un sistema que ya está en operación.

La disociación es una de sus herramientas: separar los datos de la persona que los originó, de modo que no pueda ser identificada. Permite medir y mejorar sin acumular datos personales que luego hay que proteger. Para que funcione debe ser real. Un dato que puede volver a asociarse con la persona sigue siendo un dato personal.

El diagnóstico anónimo de este sitio aplica ese criterio. Calcula el resultado sin pedir identidad y conserva, solo con autorización expresa, el sector, la madurez y el puntaje.