La inteligencia artificial ya se instaló en la operación cotidiana de empresas de todos los tamaños, desde la atención al cliente y el análisis de fraude hasta la proyección de demanda, la selección de personal y la preparación de informes ejecutivos. Sin embargo, la estructura de control que debería acompañar esa expansión permanece incompleta. El Board Index 2026 de Diligent, citado en un panel de la Asociación de Secretarios Corporativos de América Latina (ASCLA) realizado en Lima, señala que apenas el 22% de los directorios globales dispone de una política formal de gobernanza de inteligencia artificial. El dato no describe únicamente una brecha documental: revela que la mayoría de las organizaciones está incorporando una tecnología capaz de alterar decisiones, responsabilidades y riesgos sin haber definido todavía quién controla sus consecuencias.
La discusión en la Torre KPMG de San Isidro reunió a Claudia Valdivia, directora independiente y directora general de Posgrado de UTEC; Flavio Corradini, vicepresidente de Business AI Platform MCLAC de SAP; e Iván Herrero Bartolomé, Chief Data Officer de Grupo Intercorp. Moderado por Willy Guerrero, socio líder de Advisory de KPMG en Perú, el panel situó el asunto en un terreno más preciso que el habitual debate sobre innovación: la cuestión ya no es si las empresas usarán IA, sino bajo qué reglas, con qué evidencia y con qué responsables humanos asumirán el costo de sus errores.
El 22% no mide retraso tecnológico, sino déficit de responsabilidad
La lectura superficial del indicador podría ser que los directorios simplemente avanzan con cautela. Pero la cautela no equivale a ausencia de gobierno. Una compañía puede demorar una inversión, hacer un piloto o suspender una herramienta; lo que no puede hacer de forma sostenible es permitir que sistemas automatizados intervengan en procesos sensibles sin una cadena de responsabilidad definida. Si el 78% de los consejos no cuenta con una política formal, no necesariamente significa que todos carezcan de controles. Sí indica, sin embargo, que en una proporción mayoritaria esos controles pueden ser fragmentarios, depender de iniciativas de tecnología, legal, riesgos o recursos humanos, y no responder a un mandato explícito del máximo órgano de gobierno.
Esta diferencia importa porque la IA desplaza decisiones antes dispersas hacia modelos, proveedores y flujos de datos que no siempre son visibles para quienes responden ante accionistas, reguladores, clientes y trabajadores. Una política de gobernanza no es un manual decorativo ni un freno automático a la experimentación. Debe establecer, como mínimo, qué usos están permitidos, qué categorías requieren revisión reforzada, quién es dueño de cada sistema, cómo se valida su desempeño, cuándo debe intervenir una persona y qué procedimiento se activa ante una falla. Sin esas respuestas, la empresa puede tener tecnología, pero no control efectivo sobre la tecnología.
El vacío es especialmente relevante en América Latina, donde muchas empresas atraviesan al mismo tiempo procesos de transformación digital, consolidación de datos y fortalecimiento de sus estructuras de compliance. La disponibilidad masiva de herramientas generativas redujo la barrera de entrada: cualquier área puede empezar a usar un asistente para redactar, resumir, analizar o programar sin esperar un proyecto corporativo de larga duración. Esa facilidad acelera la productividad, pero también multiplica los llamados usos en la sombra: aplicaciones desplegadas por equipos individuales, con datos cargados sin un análisis previo de confidencialidad, propiedad intelectual o calidad de la información.
La verdadera asimetría: decisiones rápidas, supervisión lenta
La primera conclusión de fondo es que la gobernanza de IA debe seguir el ritmo de la adopción, no llegar años después como respuesta a una crisis. La tecnología cambia con una frecuencia que los ciclos tradicionales de directorio no siempre pueden absorber. Un consejo suele reunirse mensualmente o trimestralmente, revisa presupuestos, resultados, riesgos financieros y asuntos estratégicos. En cambio, un modelo puede actualizarse, integrarse a un proceso o ser utilizado por cientos de empleados en cuestión de días. Pretender que el directorio revise cada decisión técnica sería ineficiente; renunciar a toda supervisión sería irresponsable. El desafío es construir una arquitectura intermedia: criterios aprobados por el consejo, comités con capacidad de seguimiento y responsables ejecutivos que reporten con métricas comprensibles.
Guerrero sintetizó esa arquitectura en tres componentes interdependientes: datos confiables, procesos sólidos y gobernanza clara. La fórmula tiene consecuencias prácticas. Los datos confiables exigen saber de dónde procede la información, si está actualizada, si contiene sesgos y si puede utilizarse legalmente. Los procesos sólidos implican probar modelos, registrar cambios, documentar excepciones y mantener controles humanos proporcionales al riesgo. La gobernanza clara obliga a definir apetito de riesgo, responsables y mecanismos de escalamiento. Si falla cualquiera de estas piezas, el resultado de la IA puede parecer sofisticado, pero seguirá siendo vulnerable.
En ese sentido, la calidad de datos debería dejar de considerarse un problema exclusivo del área tecnológica. Una decisión de crédito basada en datos incompletos, una recomendación comercial que discrimina por un sesgo histórico o una herramienta que expone información reservada no son fallas de sistemas aisladas: son riesgos de negocio. Afectan ingresos, reputación, cumplimiento normativo y confianza. La discusión de directorio debe pasar de preguntar “¿tenemos una herramienta de IA?” a preguntar “¿qué decisión influye, qué daño podría causar y quién puede detenerla?”.
El temor a equivocarse también tiene costo competitivo
Corradini planteó un contrapunto necesario frente a los riesgos: el mayor problema no siempre es el error de la tecnología, sino la parálisis que produce el temor a usarla. La advertencia es relevante porque algunas compañías responden a la incertidumbre con prohibiciones generales. Esa decisión puede reducir un riesgo inmediato, pero no elimina la presión competitiva. Competidores que experimentan bajo condiciones controladas pueden aprender antes qué procesos automatizar, dónde están los límites de precisión y cómo rediseñar sus operaciones. Cuando una empresa rezagada decide finalmente reaccionar, puede encontrarse sin capacidades internas, sin datos ordenados y sin personal preparado.
La segunda conclusión es que gobernar no significa autorizar o bloquear la IA como si fuera un único objeto. Significa clasificar usos. Un asistente que organiza borradores internos no merece el mismo nivel de control que un sistema que prioriza pacientes, recomienda créditos, filtra postulantes, determina precios o vigila transacciones sospechosas. La regulación y las políticas internas más útiles tienden a ordenarse por impacto: mayor exigencia de trazabilidad, pruebas, revisión humana y auditoría en los casos que afectan derechos, patrimonio, seguridad o acceso a servicios; mayor agilidad en tareas administrativas de bajo riesgo.
Esta segmentación ofrece una salida al falso dilema entre velocidad y seguridad. Una empresa no necesita esperar a tener una política perfecta para empezar a aprender, pero tampoco debería escalar soluciones sin criterios mínimos. Puede habilitar entornos controlados, utilizar datos anonimizados, restringir integraciones externas, exigir validación humana y medir resultados antes de desplegar una herramienta en procesos críticos. El consejo, por su parte, debe revisar si esos pilotos responden a objetivos concretos y no a la presión de adoptar una tecnología de moda.
Medir el error cambia la conversación sobre automatización
Herrero aportó uno de los elementos más valiosos del debate al comparar tasas de error observadas en procesos repetitivos de complejidad baja y media. Según explicó, pruebas internas de Grupo Intercorp mostraron errores de entre 5% y 8% con IA, frente a aproximadamente 10% a 12% en tareas equivalentes realizadas por personas, con variaciones según la muestra. La cifra no autoriza a generalizar que la IA sea superior en cualquier actividad. Su valor está en la metodología implícita: la comparación correcta no es entre una máquina ideal y una persona ideal, sino entre el desempeño real del sistema propuesto y el proceso existente.
Ese enfoque corrige dos sesgos frecuentes. El primero es exigir a la IA una precisión absoluta que nunca se exige a los procesos humanos. En operaciones repetitivas, las personas se cansan, interpretan de forma distinta los criterios y cometen errores que muchas organizaciones ni siquiera registran. El segundo sesgo es asumir que un promedio favorable basta para automatizar. Un modelo con una tasa media de error más baja puede generar daños mayores si concentra sus fallas en un grupo vulnerable, si no detecta casos excepcionales o si equivoca decisiones de alto impacto. Por eso no basta con medir cuántas veces falla; también hay que identificar dónde falla, a quién afecta y cuán reversible es la decisión.
La tercera conclusión es que la métrica relevante para un directorio no debe ser solo la exactitud técnica. Debe incluir costo de error, consistencia, tiempo de respuesta, posibilidad de explicación y mecanismos de reparación. Un modelo que ahorra horas de trabajo pero no permite explicar por qué rechazó a un cliente puede convertirse en una fuente de litigio y pérdida reputacional. De modo inverso, una herramienta que comete errores menores, detectables y corregibles puede ser razonable si opera con supervisión. La gobernanza madura transforma esa evaluación en una disciplina recurrente, no en una aprobación única al inicio del proyecto.
El “director gemelo” amplía el análisis, pero no puede diluir el deber fiduciario
La idea de un “director gemelo” o de un agente de IA que acompañe a los miembros de un consejo abre una posibilidad concreta: utilizar sistemas capaces de resumir grandes volúmenes de información, comparar escenarios, detectar inconsistencias y formular preguntas que un equipo podría no haber considerado. Para directorios con agendas densas y documentación extensa, esa capacidad puede mejorar la preparación de las sesiones. Un agente bien diseñado podría identificar exposiciones a riesgos, revisar supuestos de una inversión o señalar divergencias entre informes operativos y financieros.
Sin embargo, el atractivo del concepto contiene una tensión central. Un directorio no puede delegar su juicio fiduciario en una herramienta cuyos datos de entrenamiento, criterios de priorización o posibles sesgos no comprende. La IA puede funcionar como una contraparte crítica, pero no como una autoridad invisible. Si su recomendación influye en una adquisición, una reestructuración o una decisión de crédito, los directores deben poder cuestionarla, contrastarla con evidencia independiente y dejar constancia de su razonamiento. De lo contrario, la tecnología puede crear una apariencia de rigor que, en realidad, reduce la deliberación.
También surge un problema de confidencialidad. Los materiales de directorio suelen contener planes de inversión, información financiera no pública, estrategias competitivas, datos personales y discusiones legales sensibles. Alimentar esos documentos a una plataforma externa sin garantías contractuales, controles de acceso y claridad sobre el tratamiento de la información puede exponer activos estratégicos. La pregunta no es solo qué puede hacer un agente de IA, sino dónde procesa la información, quién conserva los registros y qué ocurre si el proveedor cambia sus condiciones o sufre un incidente de seguridad.
Responsables con nombre y apellido frente a la ilusión de autonomía
Valdivia apuntó al problema operativo que suele emerger después de una falla: muchas organizaciones no saben quién es el dueño humano de cada sistema, qué protocolo se activa ni quién rinde cuentas. La afirmación resulta decisiva porque la expresión “la IA decidió” puede convertirse en una forma de evasión. Los sistemas no tienen deberes legales, no explican ante un regulador ni reparan a un cliente perjudicado. La responsabilidad siempre regresa a personas concretas: quienes seleccionaron la herramienta, aprobaron su uso, definieron sus datos, supervisaron sus resultados o ignoraron alertas.
Para los ejecutivos, esta exigencia implica cargas adicionales: documentar decisiones, sostener controles y reportar incidentes que antes podían quedar en el ámbito técnico. Para los directorios, supone evitar dos extremos. Uno es delegar completamente en el área de tecnología; el otro, pretender dirigir detalles de implementación sin la competencia necesaria. El equilibrio consiste en exigir reportes que conecten riesgo tecnológico con impacto empresarial: inventario de sistemas, clasificación de criticidad, indicadores de desempeño, incidentes, proveedores dependientes y estado de las medidas correctivas.
Los trabajadores y clientes también tienen intereses distintos que deben entrar en la ecuación. Los primeros pueden temer desplazamiento laboral, evaluaciones opacas o vigilancia excesiva. Los segundos esperan rapidez y personalización, pero no necesariamente aceptarán que sus datos sean utilizados sin límites o que una decisión adversa sea imposible de revisar. Una política de IA robusta debe reconocer esos conflictos, establecer canales de reclamo y garantizar revisión humana cuando el caso lo justifique. La legitimidad de la automatización depende tanto de sus resultados como de la percepción de justicia de sus procesos.
La próxima diferencia competitiva será la capacidad de demostrar control
Durante los próximos años, la ventaja no estará únicamente en comprar los modelos más avanzados. Será decisiva la capacidad de integrar IA en procesos con datos gobernados, controles auditables y objetivos de negocio claros. Las empresas que acumulen experiencias de uso responsable podrán desplegar soluciones con mayor velocidad cuando la tecnología madure. Las que operen sin inventario, sin responsables y sin protocolos probablemente reaccionarán después de incidentes, presiones regulatorias o pérdidas de confianza.
Es previsible que los directorios incorporen la IA como un punto estable de sus agendas de riesgos, de manera similar a la ciberseguridad. Esto no significa que todos deban convertirse en especialistas técnicos, pero sí que necesitarán competencias suficientes para formular preguntas exigentes, interpretar límites y distinguir entre una demostración comercial y una capacidad operativa comprobada. También crecerá la demanda de auditorías de modelos, cláusulas contractuales más estrictas con proveedores y métricas que vinculen automatización con resultados verificables.
El dato del 22% funciona, por tanto, como una advertencia temprana. La distancia entre uso y gobierno todavía puede cerrarse mediante políticas concretas, responsables identificados, clasificación de riesgos y evaluación continua. Pero cuanto más se extienda la IA sin esas bases, más costoso será ordenar después los procesos, corregir decisiones y reconstruir confianza. La responsabilidad final seguirá perteneciendo a las personas; la calidad de los directorios se medirá cada vez más por su capacidad de ejercerla antes de que una crisis les obligue a hacerlo.
