Por Rupali Patel Shah, directora de Soluciones Jurídicas de DiliTrust
Introducción
El presupuesto se aprueba en primavera. Para cuando llega la reunión estratégica fuera de la oficina, la inteligencia artificial aparece en casi todas las diapositivas: en el plan de crecimiento, en los objetivos de productividad, en la evaluación de la amenaza competitiva, en la solicitud de capital. El consejo de administración lo aprueba sin más, porque la alternativa —quedarse atrás— es peor. Entonces, hacia el final de la sesión, un consejero plantea una pregunta sencilla: «¿Y quién se encarga realmente de esto?»
Y se hace el silencio en la sala.
Ese silencio es el vacío en la gobernanza de la IA, y la mayoría de los consejos de administración de las empresas se encuentran inmersos en él en estos momentos. Han financiado la IA. Han dado su visto bueno a la estrategia que depende de ella. Lo que no han hecho es decidir, de forma clara y por escrito, quién es responsable de ella, quién se encarga de su supervisión y qué implica realmente ser «responsable». Durante un tiempo, eso era soportable. Pero ya no lo es. Se ha llegado al límite.
Por qué el aplazamiento ha dejado de ser una opción
Durante un par de años, los consejos de administración podían tratar la IA como una cuestión operativa, algo que la dirección debía poner a prueba y sobre lo que debía informar más adelante. Esa postura tenía cierto sentido cuando la IA no era más que un conjunto de experimentos al margen de la empresa. Sin embargo, deja de tener sentido una vez que la IA se integra en la estrategia que el consejo de administración tiene el deber de supervisar.
La supervisión exige nuevas capacidades
Los propios consejeros perciben este cambio. El 75 % de los consejeros de empresas afirma que sus funciones y responsabilidades se están ampliando, y que los conocimientos digitales han superado ya tanto a la planificación estratégica como a los conocimientos financieros como la competencia más demandada en los consejos de administración. Léalo de nuevo: por primera vez, se está indicando a los consejos de administración que lo más valioso que pueden aportar es el dominio de la tecnología, por delante de las dos disciplinas que han definido el trabajo de los consejos durante toda una generación.
Y, sin embargo, solo el 24 % de los consejeros de empresas privadas afirman estar satisfechos con el nivel de comprensión que tiene su consejo de administración sobre los riesgos de la IA generativa. No se trata de un problema de conocimiento que la dirección pueda resolver con unas simples sesiones informativas. Es un problema de gobernanza del que el consejo de administración debe hacerse cargo, ya que la brecha se encuentra precisamente en el órgano responsable de la supervisión.
Esta es la parte que hace que el aplazamiento sea realmente peligroso, y no solo incómodo: la IA ya está regulada. Los consejos de administración que la tratan como una frontera sin ley en la que pueden esperar a que pase la tormenta están interpretando mal la situación.
El mito de la frontera
El error más habitual que observo a nivel de consejo de administración es dar por sentado que, al no existir una ley única y exhaustiva sobre la IA, aún no hay normas. Lo cierto es todo lo contrario. La legislación vigente aborda la IA desde todos los ángulos:
- La legislación en materia de protección de datos regula los datos que utiliza su IA.
- La propiedad intelectual regula el objeto de su actividad y quién es el titular de lo que produce.
- La legislación en materia de protección del consumidor prohíbe exagerar sus prestaciones.
- La legislación sobre valores exige que se facilite información precisa y coherente sobre cómo se utiliza y cuáles son los riesgos que conlleva.
- La legislación contra la discriminación se aplica en el momento en que la inteligencia artificial interviene en las decisiones relativas a la contratación, la concesión de préstamos o la vivienda.
- La responsabilidad por productos defectuosos se aplica cuando un producto que incorpora inteligencia artificial causa daños.
El régimen específico de la IA es la parte que aún se está configurando: no existe una ley federal estadounidense exhaustiva, la Ley de IA de la UE se está adelantando, los estados legislan en ámbitos muy concretos y marcos como el Marco de Gestión de Riesgos de la IA del NIST y los Principios de la OCDE sobre la IA están surgiendo como puntos de referencia comunes. Ese mosaico es precisamente la razón por la que los consejos de administración no pueden delegar su criterio en una actitud de «esperar y ver qué pasa». La legislación que ya está en vigor es suficiente para generar un riesgo real, y la legislación que está por llegar no esperará a que su consejo de administración se sienta cómodo.
Dos ideas que todo consejo de administración debe interiorizar
Si dejamos de lado la complejidad, la labor del consejo de administración en este caso se basa en dos principios.
En primer lugar, la gobernanza de la IA forma parte de la gobernanza en sí, no es un proyecto secundario. Si la IA va a cambiar la forma en que la empresa compite, la supervisión no puede diseñarse como si todo siguiera igual. No se puede dirigir una transformación con una estructura de gobernanza concebida para una situación estable. Cuando la IA se incorpora a la estrategia, debe incorporarse también a la supervisión, con la misma seriedad con la que el consejo aborda la asignación de capital o la sucesión.
En segundo lugar, debe haber una persona al tanto de todo, y esa persona debe ser identificada. Los organismos reguladores, los tribunales y, cada vez más, los accionistas buscan lo mismo: la rendición de cuentas. Alguien debe asumir la responsabilidad de la decisión, comprender los límites del sistema y ser capaz de intervenir y anularlo. «El modelo lo recomendó» no es una defensa válida. La responsabilidad nunca se transfiere a la máquina, lo que significa que la verdadera tarea del consejo de administración no es comprender todos y cada uno de los algoritmos, sino asegurarse de que una persona, con autoridad y conocimientos, rinda cuentas por cada uno de los que sean relevantes.
Las preguntas que conviene plantearse antes del próximo ejercicio presupuestario
Los consejos de administración no supervisan la IA añadiendo un punto fijo del orden del día titulado «Actualización sobre la IA» y dejando que la dirección llene ese tiempo. La supervisan planteando preguntas que los informes actuales no responden y siendo sinceros sobre lo que significa ese silencio. Algunas que vale la pena poner sobre la mesa:
Preguntas clave:
- ¿En qué ámbitos se utiliza realmente la IA en esta empresa en la actualidad, y quién ha dado el visto bueno a cada uno de esos usos? Una buena respuesta sería un inventario detallado con los responsables identificados. Si nadie puede presentarlo, esa será la conclusión.
- ¿Qué no podríamos defender si mañana las cosas salieran mal? Una buena respuesta es aquella que señala los dos o tres usos que presentan mayor riesgo. Si todos los usos parecen presentar el mismo bajo riesgo, es que nadie ha analizado la situación con suficiente detenimiento.
- ¿Quién es la persona responsable de nuestras decisiones más importantes en materia de IA? Una buena respuesta es un nombre y un cargo, no un comité y un encogimiento de hombros.
- ¿Son precisas y coherentes nuestras declaraciones públicas sobre la IA en los documentos presentados, en las campañas de marketing y ante los clientes? Una buena respuesta es que alguien las coordine. Si los departamentos jurídico, de relaciones con los inversores y de marketing hablan cada uno por su cuenta, ahí radica el riesgo.
- ¿Tiene esta junta la capacidad necesaria para supervisar lo que acabamos de financiar? Una buena respuesta es sincera. Si la respuesta honesta es «no», se trata de una decisión relacionada con la composición y la formación de la junta, no de una situación embarazosa que haya que evitar.
Si se les preguntara hoy a la mayoría de los consejos de administración, responderían con seguridad que una o dos. Esa brecha entre lo que la empresa está haciendo con la IA y lo que su consejo de administración realmente entiende al respecto es donde el gobierno corporativo falla de forma silenciosa.
Dónde debe recaer la supervisión
Una de las decisiones más prácticas a las que se enfrenta un consejo de administración resulta, aparentemente, aburrida: ¿qué órgano se encarga de la supervisión de la IA? No hay una única respuesta correcta, y ahí radica precisamente la cuestión. Podría recaer en elcomité de auditoría si la IA se considera principalmente una cuestión de riesgo y cumplimiento normativo; en un comité de tecnología o de riesgos; en el comité de nombramientos y gobernanza; en el consejo de administración al completo; o en un comité específico de IA, si lo que está en juego lo justifica. La ubicación adecuada depende de su perfil de riesgo, sus casos de uso, su tamaño y lo que esperen sus inversores.
Lo importante es que la elección sea deliberada y quede documentada, y no se deje a la deriva. Y, cada vez más, los inversores quieren ver que los propios miembros del consejo dominan la IA, no solo que se cuente con un experto externo al que poder recurrir cuando sea necesario. La composición del consejo se está convirtiendo en parte de la solución.
La trampa que ya tiene nombre
Si su consejo de administración necesita una razón concreta para actuar ya, aquí la tiene: exagerar las capacidades de la IA ya es una prioridad en materia de cumplimiento normativo. La SEC, el Departamento de Justicia y la FTC han presentado una oleada de casos de «AI washing» contra empresas que afirmaban que su IA hacía más de lo que realmente hacía. Las medidas que lo evitan no son nada glamurosas y están totalmente dentro de las competencias que el consejo de administración puede exigir: saber dónde se utiliza la IA, coordinarse antes de hacer declaraciones públicas, ser precisos, mantener la coherencia entre los documentos presentados y las campañas de marketing, detectar los problemas a tiempo y mantener informada al consejo. Nada de eso requiere un experto en datos. Requiere gobernanza.
La cuestión
No se pide a los consejos de administración que se conviertan en expertos en tecnología. Se les pide que hagan aquello para lo que existen: ejercer una supervisión responsable de la estrategia que financian, en un momento en el que dicha estrategia se basa en una tecnología con la que la mayoría de los consejeros aún están familiarizándose. De por sí, solo alrededor de un tercio del tiempo de los consejos de administración se dedica a la estrategia; por eso, es comprensible la tentación de dejar la IA para «más adelante». Sin embargo, esto supone ahora un riesgo en sí mismo.
Las empresas que lo hagan bien no serán aquellas que cuenten con la IA más llamativa. Serán aquellas en las que, cuando un director pregunte «¿De quién es esto?», alguien pueda responder sin que se haga el silencio en la sala.
La respuesta empieza por arriba. Empieza ahora mismo.
Del riesgo de la IA a la preparación para la IA: el plan de acción para su departamento jurídico
Esto es lo que encontrará en este plan de acción:
- De la adopción de la IA al valor real de la IA: qué marca la diferencia
- Los tres problemas que ningún software puede resolver por sí solo
- Un plan de 90 días para la implementación de la IA que cualquier equipo jurídico puede poner en práctica
Preguntas frecuentes sobre la gobernanza de la IA como responsabilidad del consejo de administración
¿Significa la ausencia de una ley federal estadounidense integral sobre IA que un consejo de administración puede aplazar las decisiones de gobernanza hasta que la normativa se ponga al día?
No. La legislación sobre privacidad, las normas de divulgación de información bursátil, las leyes contra la discriminación, la responsabilidad por productos defectuosos y la legislación de protección del consumidor ya se aplican a los sistemas de IA que están en uso. La Ley de IA de la UE añade un nivel regulatorio específico. Los consejos de administración que esperan una ley unificada sobre IA quedan expuestos a las consecuencias de la legislación vigente mientras dicha ley aún se está elaborando.
¿A qué responsabilidad personal se enfrentan los consejeros a título individual si su empresa exagera las capacidades de la IA en sus comunicaciones públicas?
Los consejeros pueden ser considerados personalmente responsables según el criterio de «sabía o debería haber sabido». La SEC ha imputado a ejecutivos por afirmaciones engañosas sobre la IA en documentos presentados ante la autoridad reguladora, en el marketing y en las comunicaciones con los inversores, y el Departamento de Justicia (DOJ) presentó su primer caso penal de «AI-washing» en 2025. La coordinación de la información divulgada entre los departamentos jurídico, de relaciones con inversores y de marketing antes de su publicación es la medida de control a nivel del consejo de administración que reduce esta exposición.
¿Cómo debe un consejo de administración confirmar que sus divulgaciones sobre IA en los documentos presentados ante la SEC, el marketing y las comunicaciones con los inversores son lo suficientemente coherentes como para resistir el escrutinio regulatorio?
La SEC examina minuciosamente las afirmaciones sobre IA por igual en todos los canales públicos; la incoherencia entre un documento presentado y la página de un producto constituye en sí misma una señal de alarma. Los consejos de administración deben verificar que una persona o función designada coordine las declaraciones relacionadas con la IA antes de su publicación, y que dichas declaraciones se basen en un inventario interno verificado de IA, en lugar de en un posicionamiento ambicioso
Cuando se utiliza la IA en decisiones de contratación, concesión de préstamos o vivienda y se produce un perjuicio, ¿quién asume la responsabilidad legal?
La legislación contra la discriminación se aplica al resultado, no a la herramienta. La organización y la persona designada responsable de ese sistema de IA asumen la responsabilidad. «El modelo lo recomendó» no es una defensa legal. Los consejos de administración deben confirmar que una persona con autoridad y suficiente comprensión de los límites del sistema sea responsable de cada uso de la IA de alto riesgo.
