La gobernanza de la IA debe centrarse en resultados como la integridad, la rendición de cuentas, la transparencia y la resiliencia.
Los consejos de administración deben hacer converger la transformación mediante la IA y la ciberseguridad, y garantizar que los equipos codiseñen los sistemas desde el principio en lugar de validarlos a posteriori.
Una gobernanza fiable requiere liderazgo independiente, inventarios precisos de IA y TI, y una alfabetización genuina en el consejo de administración para velar por el valor a largo plazo.
La IA está transformando las empresas, los riesgos cibernéticos aumentan y la confianza en las instituciones está bajo presión. A la luz de estos acontecimientos, ¿qué aspecto tiene una «buena gobernanza» en 2025? La gobernanza se refiere a las estructuras, los sistemas y las prácticas que una organización tiene establecidos para asignar la autoridad de toma de decisiones, definir cómo deben tomarse las decisiones y, sobre todo, avanzar hacia la dirección estratégica de la organización. También incluye la prestación de servicios, la gestión del rendimiento, el seguimiento y la mitigación de los riesgos clave.
Pero, por desgracia, a menudo se caricaturiza la gobernanza como una burocracia que frena la innovación. La solución no consiste en añadir más procedimientos, sino en volver a los principios fundamentales: definir los resultados que la gobernanza debe proteger —integridad, rendición de cuentas, transparencia y resiliencia— y trabajar hacia atrás para determinar los mecanismos mínimos necesarios para alcanzarlos. Una buena gobernanza no significa no fracasar nunca; significa ser transparente y resiliente, y estar preparado para adaptarse, incluso ante el fracaso.
¿Y si la verdadera transformación no surgiera de retocar lo antiguo, sino de centrarse en los resultados y demostrar el valor de lo nuevo?
Dos imperativos para los consejos de administración que deben converger
Este replanteamiento de la gobernanza se relaciona directamente con los desafíos que afrontan hoy los consejos de administración. Estos velan por la longevidad de las empresas; durante los últimos dos años, dos asuntos han dominado su agenda: transformarse mediante la IA y defenderse de los riesgos cibernéticos. Estamos al comienzo de una nueva revolución industrial, y las empresas que no aprovechen la transformación mediante la IA no sobrevivirán.
Un error común es tratar estos dos asuntos de la agenda como si fueran independientes. Sin embargo, la constante evolución del panorama de amenazas demuestra que están relacionados: se utiliza la IA para potenciar los ciberataques, y los ciberataques tienen como objetivo los sistemas de IA. Por tanto, los sistemas de IA fiables dependen de muchas de las mismas disciplinas que ha definido la ciberseguridad: políticas, gestión de riesgos, controles, pruebas y equipos rojos. La convergencia de estas disciplinasno es opcional.
El diseño «desde el principio» solo funciona si los equipos diseñan en conjunto
Pero este cambio no puede producirse si los equipos siguen trabajando en compartimentos estancos. Sin embargo, es raro que los responsables de ciberseguridad trabajen codo con codo con los equipos que lideran la transformación de una empresa. En cambio, a menudo se les considera validadores de los resultados, que intervienen en el último momento para comprobar el estado de la seguridad. Este modelo «a posteriori» es costoso y frena la innovación. ¿Y si la verdadera rapidez y eficacia surgieran de que los equipos de ciberseguridad y de transformación (mediante la IA) codiseñaran desde el principio?
Sector público y privado: el deber de resiliencia
En el sector privado, los consumidores pueden marcharse (o llevarse su dinero) si pierden la confianza en un proveedor tras una brecha de seguridad. Sin embargo, en el sector público, los ciudadanos no tienen esa opción: no pueden cambiar el lugar donde obtienen pasaportes, atención sanitaria o servicios esenciales. Por eso, las normas de contratación, la transparencia, la rendición de cuentas y la resiliencia son aún más importantes. Los gobiernos deben demostrar que, incluso cuando se cometen errores, los procesos son éticos, transparentes y lo bastante resilientes como para mantener la confianza de la ciudadanía.
Gobernanza de la IA: ¿cómo evoluciona el mandato del CISO?
Cada vez más organizaciones exploran activamente dónde debería encuadrarse la gobernanza de la IA. Algunas ya han decidido ampliar el papel del director de seguridad de la información (CISO), que aporta cierto grado de independencia respecto de las operaciones cotidianas y ya responde por varias disciplinas de riesgos y controles. Sin embargo, la estructura organizativa importa: el lugar que ocupa el CISO en la jerarquía y a quién reporta pueden afectar a su capacidad para influir y cumplir sus funciones, así como a la independencia que se le atribuye.
El problema del inventario
Una gobernanza eficaz empieza por saber qué se está gobernando. Sin embargo, al crear un inventario de IA, suele hacerse evidente que los inventarios de activos de TI de muchas organizaciones están incompletos o son de baja calidad. Adoptar un enfoque de pensamiento sistémico resulta útil, pues ofrece una visión más integral de cómo interactúan las personas, los procesos, los datos y las máquinas. Este enfoque también garantiza que haya responsables encargados de mantener mapas precisos de estas interacciones.
La alfabetización es necesaria
Aunque aumenta la alfabetización en IA y ciberseguridad entre los consejos de administración y los equipos directivos, la jerga sigue obstaculizando la colaboración. Los líderes necesitan claridad, no complejidad. Es imprescindible simplificar los conceptos complejos y hablar de sus efectos transformadores. Solo entonces las decisiones de gobernanza podrán basarse en información y ser resilientes.
En resumen, destacan cinco oportunidades:
Establecer una convergencia independiente: un único directivo de alto nivel con autoridad sobre la IA, la seguridad y los riesgos relacionados con los datos, que reporte al consejo de administración con independencia de las presiones de ejecución.
Institucionalizar la cocreación: revisiones de diseño interfuncionales que reúnan a expertos en ciberseguridad con los equipos de producto y de datos e IA desde el inicio de los proyectos.
Hacer operativa la transparencia: Registrar las decisiones relativas a los sistemas de alto riesgo, comunicar ampliamente y ensayar rigurosamente la comunicación y la recuperación ante incidentes.
Corregir el inventario: Establecer un catálogo autorizado de IA y TI, con responsabilidades claras y objetivos de calidad.
Fomentar una alfabetización «real»: Sustituir la formación de marcar casillas por talleres basados en escenarios en los que los líderes practiquen cómo tomar decisiones de compromiso y defenderlas en condiciones de incertidumbre.
¿Cómo aborda el Foro los desafíos mundiales de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma fiable donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la resiliencia cibernética y a abordar desafíos que requieren respuestas colectivas.
Si, en última instancia, la gobernanza consiste en orientar la toma de decisiones para proteger el valor a lo largo del tiempo, en la era de la IA el consejo de administración debe actuar como guardián de la confianza. Para ello, hay que derribar las barreras entre la transformación mediante la IA y la ciberseguridad, y medir la gobernanza por sus resultados, no por sus procedimientos.
