El problema de la gobernanza de datos de la IA que los líderes de operaciones no pueden ignorar
Pide a cinco personas que definan la «gobernanza de datos» y obtendrás cinco respuestas diferentes. Tim Fisher, vicepresidente de IA de DPM, no se sorprende por ello. «No sé si existe realmente una definición establecida que utilicen todas las empresas», afirma. «Para algunas personas significa que el equipo legal les dice lo que pueden y no pueden hacer, y en otras partes de la organización significa cosas muy diferentes».
Para los fines de este artículo, la usamos de la misma forma en que Fisher lo hace cuando se le pide que la defina con precisión: la capa normativa y legal de quién puede acceder a los datos, con qué consentimiento y sujeta a qué reglas; no si los datos en sí son precisos, actuales o están bien organizados. Esa segunda cuestión es real y constituye una disciplina diferente, con soluciones diferentes; la abordamos por separado. Este artículo trata sobre la cuestión normativa y sobre por qué no puede esperar.
Dónde reside realmente el término: la intersección entre el ámbito legal y las operaciones
Cuando Fisher acota la definición, llega a un lugar específico dentro de un organigrama. «Pienso en la gobernanza de datos más en torno a las políticas y los principios», afirma; y en una empresa grande, la ubica con precisión: «La especie de intersección en el diagrama de Venn entre el ámbito legal y las operaciones de datos».
Desbloquea Gratis
Crea una cuenta gratuita para terminar de leer este contenido y unirte a una comunidad de líderes visionarios que están desbloqueando herramientas, manuales y conocimientos para prosperar en la era de la IA.
Have an account? Log In
Pienso en la gobernanza de datos más en torno a las políticas y los principios. La especie de intersección en el diagrama de Venn entre el ámbito legal y las operaciones de datos.
Esa intersección no es abstracta. Fisher señala una razón mucho más antigua y concreta por la que las empresas construyen estas estructuras en primer lugar: la legislación bursátil. «En Estados Unidos, la Comisión de Bolsa y Valores establece reglas muy estrictas sobre lo que se puede y no se puede decir o compartir por razones muy obvias, relacionadas con el uso de información privilegiada y cuestiones similares», afirma.
«Así que esa es una razón para que una empresa tenga gobernanza de datos». Lo vincula directamente a la etapa de crecimiento de la empresa: el paso de privada a pública suele ser el momento en que la gobernanza deja de ser opcional, cuando se incorporan consultores externos específicamente para construir las estructuras que una empresa pública está obligada legalmente a tener.
Esa es la parte que conviene asimilar antes que nada: la gobernanza existía como un requisito legal estricto mucho antes de que apareciera la IA. Lo que ha cambiado es la velocidad y el alcance del riesgo, y ahí es donde las cosas se vuelven urgentes para cualquiera que dirija las operaciones hoy.
Por qué la IA convierte esto en una preocupación más urgente para los responsables de operaciones
Las empresas siempre han tenido datos que no debían compartir de forma imprudente. Lo nuevo es lo fácil que resulta compartirlos ahora sin que nadie lo decida. El ejemplo más claro de Fisher es una configuración por la que la mayoría de los empleados ha pasado sin darse cuenta: «El pequeño interruptor que nunca han visto, enterrado cinco niveles más abajo en la página de configuración, que da a OpenAI o Anthropic acceso a todos esos datos para entrenar sus algoritmos», afirma. Nadie tiene que proponerse filtrar nada. Basta con que la configuración predeterminada quede sin revisar.
Ese es el mecanismo detrás de la mayoría de los fallos de gobernanza de la era de la IA: equipos que «arrojan» información propia o de recursos humanos a los LLM «sin comprender» a qué han dado realmente su consentimiento, porque nadie creó la capa normativa que lo habría detectado antes de que ocurriera. Fisher es tajante al decir que no se trata de un error poco frecuente: «Todos hemos oído historias de terror sobre código fuente que acaba a disposición de las personas equivocadas. Puede ocurrir».
La tensión es estructural, no un fallo de prudencia. «Te encuentras en este lugar incómodo mientras creces», afirma Fisher. «Sientes la necesidad de establecer algunas reglas, pero no quieres maniatar demasiado a tus equipos». Todo responsable de operaciones que equilibra la adopción de la IA con la seguridad vive exactamente en esa brecha; y la IA no creó la exposición legal subyacente, simplemente hizo posible activarla por accidente, a gran escala, a través de un menú de configuración que nadie leyó.
Te encuentras en este lugar incómodo mientras creces. Sientes la necesidad de establecer algunas reglas, pero no quieres maniatar demasiado a tus equipos.
Dónde están realmente expuestos los responsables de operaciones
Las áreas prioritarias de consideración para los líderes de operaciones son:
- Datos personales de los empleados. Planes de personal, registros de RR. HH. e información sobre el rendimiento que pueden acabar dentro de la ventana de contexto de una herramienta de IA sin que nadie haya dado su consentimiento para ello.
- Información financiera y sensible en materia de divulgación. Información material no pública, datos sobre resultados y cualquier elemento que pudiera generar preocupaciones de divulgación ante la SEC si se filtrara o llegara a la persona equivocada en el momento equivocado.
- Información confidencial y sensible desde el punto de vista de la propiedad intelectual (incluido el código fuente). Un riesgo puro de control de acceso y confidencialidad —separado de la regulación de valores—, pero basado en el mismo mecanismo subyacente que cualquier otro valor predeterminado de IA no supervisado.
- Datos de proyectos de clientes. La información confidencial de clientes procesada mediante herramientas de IA sin claridad contractual o sobre el consentimiento conlleva la misma exposición, incluso si todavía no consta ninguna brecha específica.
La mayoría de las empresas no tiene nada de esto
A pesar de lo que está en juego, Fisher afirma sin rodeos que muchas organizaciones operan sin ningún nivel de políticas. «Muchas organizaciones no tienen ningún tipo de gobernanza de datos», afirma.
Ha visto cómo se desarrolla esta situación desde ambos extremos. En una empresa más grande y consolidada, observó que la gobernanza «se tomaba muy en serio durante un largo periodo de tiempo», hasta el punto de volverse cada vez más conservadora y cada vez más difícil de deshacer. Las empresas más pequeñas y de crecimiento más rápido tienen el problema opuesto: no un exceso de cautela, sino ninguna, sumada a la presión por avanzar rápidamente.
La conclusión para los líderes de entregas
No es necesario crear un marco completo de gobernanza para dar el primer paso. Empieza con algo pequeño y concreto: ve a comprobar un menú de configuración. El ejemplo del interruptor de Fisher es real y fácil de encontrar: averigua si las herramientas de IA de tu organización están configuradas de forma predeterminada para entrenarse con tus datos y quién dio su aprobación. Es una conversación que puedes tener esta semana, no un proyecto.
Sin embargo, también merece la pena tener presente una tensión genuina que plantea Fisher: controlar el acceso no es automáticamente la opción segura. «Incluso en las organizaciones donde los datos están fácilmente disponibles, a menudo siguen considerándose confidenciales aunque no tengan por qué serlo», afirma; y restringirlo todo de forma predeterminada puede costarle silenciosamente a una empresa tanto como dejarlo completamente abierto, aunque de una manera menos visible. «No vas a conseguir avances en el cambio si no cambias quién tiene acceso a tus datos dentro de tu organización». Una buena gobernanza no consiste únicamente en que menos personas toquen los datos, sino en que las personas adecuadas toquen los datos adecuados, de forma intencionada.
Incluso en las organizaciones donde los datos están fácilmente disponibles, a menudo siguen considerándose confidenciales aunque no tengan por qué serlo.
En la práctica, eso implica algunos pasos concretos, no un archivador lleno de políticas:
- Inicia la conversación ahora, antes de que un incidente te obligue a hacerlo. Pregunta qué equipos ya están utilizando herramientas de IA y cómo; la mayoría de los líderes de operaciones están rezagados en este aspecto simplemente porque nadie lo ha preguntado.
- Comprueba primero las herramientas de toda la organización. Sean cuales sean las plataformas de IA autorizadas para toda la empresa, confirma la configuración predeterminada de los datos de entrenamiento y quién puede ver lo que circula por ellas.
- No ignores el uso de herramientas personales o no oficiales. El mayor riesgo suele ser la herramienta de IA que nadie ha aprobado: alguien que pega notas de clientes en su cuenta personal de ChatGPT porque la herramienta autorizada es más lenta. Sacar esto a la luz no consiste en castigar, sino en saber dónde está realmente tu exposición.
- Integra la revisión de acceso en la misma conversación, no en una aparte. Mientras compruebas las configuraciones predeterminadas y el uso de herramientas de IA, pregunta quién está controlando el acceso a datos que no necesitan estar restringidos. Reforzar una puerta mientras dejas otra completamente abierta no es gobernanza: es teatro.
- Forma a las personas para reconocer los datos sensibles, no solo para seguir reglas. A la mayoría de los empleados nunca se les ha pedido que reflexionen sobre qué se considera sensible —detalles de clientes, registros de RR. HH., información financiera— o sobre qué podría salir mal si acaba en una herramienta no regulada. Una política que diga a las personas qué no deben hacer importa menos que el hecho de que reconozcan realmente el riesgo que tienen delante.
Nada de esto exige ralentizar a los equipos para hacerlo bien. Exige saber adónde van tus datos, quién decidió que fuera así y si la respuesta sigue siendo afirmativa.
¿Quieres recibir más información como esta? Regístrate para obtener una cuenta gratuita de DPM y escuchar a más expertos como estos.