El problema de la gobernanza de datos en IA que los líderes de operaciones no pueden ignorar
Pregunta a cinco personas cómo definen la «gobernanza de datos» y obtendrás cinco respuestas diferentes. Tim Fisher, vicepresidente de IA en DPM, no se sorprende de ello. «No creo que haya una definición realmente establecida que todas las empresas [utilicen]», comenta. «Para algunas personas significa que el equipo legal les indica lo que pueden y no pueden hacer, y en otras partes de la organización significa cosas muy distintas».
Para los efectos de este texto, la empleamos de la manera en la que Fisher lo hace cuando se le pide que la defina con precisión: la capa de políticas y aspectos legales sobre quién puede acceder a los datos, bajo qué consentimiento, sujeto a qué reglas —sin entrar en si los propios datos son precisos, actualizados o están bien organizados. Esa segunda cuestión es real, y es una disciplina diferente con soluciones distintas; la tratamos por separado. Este texto trata sobre la cuestión de las políticas, y por qué no se puede posponer.
Dónde reside realmente el término: la superposición entre legal y operaciones
Cuando Fisher reduce la definición, aterriza en un lugar concreto dentro del organigrama. «Pienso en la gobernanza de datos más bien como las políticas y los principios», dice—y, en una empresa grande, la ubica con precisión: «Ese tipo de espacio en el diagrama de Venn entre el área legal y operaciones de datos».
Desbloquea Gratis
Crea una cuenta gratuita para terminar de leer este contenido y unirte a una comunidad de líderes visionarios que están desbloqueando herramientas, manuales y conocimientos para prosperar en la era de la IA.
Have an account? Log In
Pienso en la gobernanza de datos más bien como las políticas y los principios. El tipo de superposición en el diagrama de Venn entre el área legal y las operaciones de datos.
Esa superposición no es abstracta. Fisher señala una razón mucho más antigua y muy concreta por la que las empresas construyen estas estructuras desde el principio: la legislación de valores. «En EE. UU., la Comisión de Bolsa y Valores establece reglas muy estrictas sobre lo que se puede y no se puede decir o compartir, por razones evidentes, como el uso de información privilegiada y asuntos similares», comenta.
«Así que esa es una razón para que una empresa tenga gobernanza de datos». Vincula directamente esto a la etapa de crecimiento de la empresa: el paso de empresa privada a pública suele ser el momento en el que la gobernanza deja de ser opcional, ya que se contratan asesores externos específicamente para crear las estructuras que una empresa pública está legalmente obligada a tener.
Esa es la parte en la que vale la pena detenerse antes que nada: la gobernanza existía como una exigencia legal mucho antes de la llegada de la IA. Lo que ha cambiado es la velocidad y el alcance del riesgo, lo que hace que las cosas sean urgentes para quienes dirigen operaciones hoy en día.
Por qué la IA hace que esto sea una preocupación más urgente para los líderes de operaciones
Las empresas siempre han tenido datos que no debían compartirse a la ligera. Lo nuevo es lo fácil que es hoy compartirlos sin que nadie lo decida conscientemente. El ejemplo más claro que pone Fisher es una configuración que la mayoría de empleados ha pasado por alto sin darse cuenta: «Ese pequeño interruptor que nunca han visto, que está enterrado cinco niveles dentro de la página de configuración y que da a OpenAI o Anthropic acceso a todos esos datos para entrenar sus algoritmos», explica. Nadie tiene que querer filtrar nada. Solo tiene que quedar activada la opción predeterminada.
Ese es el mecanismo tras la mayoría de los fallos de gobernanza en la era de la IA: equipos que “introducen” información confidencial o de recursos humanos en los LLMs “sin comprender” a qué han consentido realmente, porque nadie creó la capa de política que lo hubiera detectado antes de que sucediera. Fisher dice claramente que esto no es un error aislado: «todos hemos oído historias de terror sobre código fuente siendo expuesto a personas equivocadas. Puede pasar».
La tensión es estructural, no una falta de precaución. «Se da ese lugar incómodo en el que tu organización está creciendo», comenta Fisher. «Sientes la necesidad de algunas reglas, pero tampoco quieres poner esposas a tus equipos». Todo líder de operaciones que equilibra la adopción de IA frente a la seguridad vive justo en ese punto—y la IA no creó la exposición legal subyacente, simplemente hizo posible activarla accidentalmente, a gran escala, a través de un menú de configuración que nadie leyó.
Se da ese lugar incómodo en el que tu organización está creciendo. Sientes la necesidad de algunas reglas, pero tampoco quieres ponerle esposas a tus equipos.
Dónde están realmente expuestos los líderes de operaciones
Las áreas de mayor preocupación para los líderes de operaciones son:
- Datos personales de empleados. Planes de personal, registros de RRHH e información de desempeño que pueden terminar dentro de la ventana de contexto de una herramienta de IA sin que nadie haya dado realmente su consentimiento para ello.
- Información financiera y datos sensibles a la divulgación. Información material no pública, datos de ganancias y cualquier cosa que podría activar preocupaciones de divulgación con la SEC si se filtrara o llegara a la persona equivocada en el momento equivocado.
- Información propietaria y sensible a la propiedad intelectual (incluyendo código fuente). Un riesgo puro de control de acceso y confidencialidad — separado de la regulación de valores — pero con el mismo mecanismo subyacente que cualquier otra configuración predeterminada de IA no monitoreada.
- Datos de proyectos de clientes. Información propietaria de clientes pasada por herramientas de IA sin claridad contractual o de consentimiento expone igualmente a la empresa, incluso sin que se haya registrado una brecha específica todavía.
La mayoría de las empresas no tienen nada de esto
A pesar de los riesgos, Fisher es tajante: muchas organizaciones funcionan sin ninguna capa de políticas. "Muchas organizaciones no tienen ninguna gobernanza de datos", dice.
Ha visto esto desde ambos extremos. En una empresa grande y consolidada, vio que la gobernanza "se tomaba muy en serio durante un largo periodo de tiempo", hasta el punto de volverse cada vez más conservadora — y cada vez más difícil de deshacer. Las empresas más pequeñas y de crecimiento rápido tienen el problema opuesto: no demasiada cautela, sino ninguna, impulsadas además por la presión de moverse rápido.
La conclusión para los líderes de entrega
No necesitas construir un marco de gobernanza completo para dar el primer paso. Comienza por algo pequeño y concreto: ve y revisa un menú de configuración. El ejemplo del interruptor (toggle) de Fisher es real y localizable — averigua si las herramientas de IA de tu organización están configuradas por defecto para entrenar con tus datos, y quién autorizó eso. Esa es una conversación que puedes tener esta semana, no un proyecto.
Vale la pena tener presente al mismo tiempo la tensión genuina que plantea Fisher: restringir el acceso no es automáticamente la opción más segura. "Incluso en organizaciones donde los datos están fácilmente disponibles, a menudo todavía se consideran propietarios aunque no sea necesario", dice — y bloquear el acceso por defecto puede costar silenciosamente tanto a una empresa como dejar todo abierto, solo que de manera menos visible. "No vas a avanzar en el cambio si no modificas quién tiene acceso a los datos en tu organización." Una buena gobernanza no es solo que menos personas toquen los datos — es que las personas correctas accedan a los datos correctos, a propósito.
Incluso en organizaciones donde los datos están fácilmente disponibles, a menudo todavía se consideran propietarios aunque no sea necesario.
En la práctica, eso significa algunas acciones concretas, no una carpeta de políticas:
- Comienza la conversación ahora, antes de que un incidente la haga obligatoria. Pregunta qué equipos ya están usando herramientas de IA y cómo lo hacen — la mayoría de los líderes de operaciones van rezagados simplemente porque nadie ha preguntado.
- Revisa primero las herramientas globales de la organización. Cualesquiera plataformas de IA aprobadas a nivel compañía, confirma la configuración predeterminada sobre entrenamiento con datos y quién tiene visibilidad sobre lo que circula a través de ellas.
- No ignores el uso personal o no oficial de herramientas. El mayor riesgo suele ser la herramienta de IA que nadie ha aprobado — alguien que pega notas de clientes en su cuenta personal de ChatGPT porque la herramienta oficial es más lenta. Sacar esto a la luz no es para castigar, sino para conocer dónde está realmente la exposición.
- Incluye la revisión de acceso en la misma conversación, no en una aparte. Mientras revisas las configuraciones por defecto y el uso de herramientas de IA, pregunta quién está restringiendo acceso a datos que no necesitan estar restringidos. Reforzar una puerta mientras dejas otra abierta no es gobernanza — es teatro.
- Forma a las personas para reconocer datos sensibles, no solo para seguir reglas. La mayoría de los empleados nunca han sido invitados a pensar qué se considera sensible — datos de clientes, archivos de RRHH, información financiera — o qué podría salir mal si terminan en una herramienta no regulada. Una política que diga a la gente qué no hacer importa menos que la capacidad de reconocer realmente el riesgo delante de ellos.
Nada de esto requiere frenar a los equipos para hacerlo bien. Se trata de saber a dónde va tu información, quién decidió eso y si la respuesta todavía es que sí.
¿Quieres más ideas como estas? Regístrate gratis en DPM para recibir comentarios de más expertos como estos.
