¿Quién responde cuando la IA se equivoca? El punto ciego del gobierno corporativo

La responsabilidad no se reparte después del error. Se asigna antes, y casi nadie lo ha hecho.

A lo largo de nuestra trayectoria en auditoría y riesgos, hemos comprobado una regla de oro: la responsabilidad corporativa no se reparte después de que ocurre un incidente; se asigna desde el diseño. Sin embargo, frente a la inteligencia artificial, la mayoría de las organizaciones están omitiendo este paso.

En febrero de 2024, un tribunal en Canadá dictó un fallo que todo miembro de Junta Directiva debería analizar. Un pasajero demandó a Air Canada porque su chatbot le dio información falsa sobre una tarifa. La aerolínea intentó una defensa insólita: argumentó que el asistente virtual era responsable de sus propias palabras. El tribunal, por supuesto, lo rechazó. La empresa responde por los canales de que dispone, los opere un humano o un algoritmo digital.

La pregunta del título tiene una respuesta jurídica que los abogados están construyendo, país por país. A nosotros nos interesa otra, la que se hace dentro de la organización: ¿quién tenía que haberlo evitado?

Nuestra premisa es clara: la responsabilidad por un error de la IA se define en el momento en que se decide delegar una tarea, se diseñan sus controles y se establece quién tiene la autoridad para apagarla. En la práctica, nadie está tomando esa decisión.

Adopción silenciosa: la IA entró sin pasar por el comité de riesgos

Hoy en día, Mercadeo contrata herramientas para redactar, Servicio al cliente instala asistentes virtuales y Finanzas prueba modelos de priorización. Incluso, analistas resumen contratos confidenciales usando cuentas personales. Ninguna de estas iniciativas pasa por el comité de riesgos porque no se perciben como amenazas, sino como eficiencias.

El resultado es el peor escenario para el control interno: una tecnología transversal con múltiples usuarios, pero sin dueño claro. Ante una falla, la excusa generalizada es: "fue el sistema", una frase que esconde que nadie estaba supervisando.

El humano en el circuito, una ilusión cuando solo firma

La respuesta habitual suele ser tranquilizadora: "siempre hay una persona que revisa". Como auditores o expertos en riesgos sabemos que esto es una falacia si esa persona no tiene el tiempo, el criterio y la autoridad para cuestionar a la máquina. Un analista que aprueba ochenta recomendaciones algorítmicas en una mañana no está supervisando, está firmando a ciegas.

A lo anterior se le suma el "sesgo de automatización": mientras más acierta un sistema, menos lo cuestionamos, hasta que falla catastróficamente. La supervisión humana es un control efectivo si se diseña y se prueba rigurosamente.

El día en que la crisis se hace pública

Cuando un error llega a la prensa o al regulador, nadie pregunta por el desarrollador del sistema. Le exigen respuestas al representante legal y a la junta directiva. Argumentar una "falla del sistema o falla técnica" solo transmite una grave falta de debida diligencia.

En Latinoamérica la regulación sobre IA avanza a ritmos distintos en cada país, pero el cliente afectado reclama igual y los medios preguntan igual. Muy pocas juntas han ensayado ese momento, y menos aún tienen un vocero preparado para explicar una decisión que la empresa no sabía que había delegado.

Lo que la junta puede decidir antes

La buena noticia es que no hay que partir de cero. Las organizaciones ya cuentan con gestión de riesgos, con una política de protección de datos y con un plan de continuidad. El verdadero reto directivo es evaluar si estos marcos (apoyados en estándares como ISO/IEC 42001 e ISO/IEC 23894) cubren las nuevas realidades de la IA.

Para empezar, toda Junta Directiva debería responder estas cuatro preguntas sin titubear:

1. ¿Dónde estamos usando IA hoy, incluyendo aquella tecnología "en la sombra" que nadie autorizó oficialmente?
2. ¿Quién es el dueño de cada uso? (entendido como quien responde por el impacto del resultado, no por el soporte de la herramienta).
3. ¿Qué decisiones estratégicas no le vamos a delegar a la IA, y quién tiene el botón de apagado de emergencia?
4. ¿Hemos simulado nuestra respuesta corporativa ante un error público generado por la IA?

Un caso con situaciones reales
Una junta que respondió estas cuatro preguntas
¿Cómo se ve una junta que ya pasó por estas preguntas? En nuestra web contamos el caso de una empresa que las respondió una por una: qué creía tener, qué encontró cuando miró de verdad y qué decidió antes de que el error llegara.
Lea el caso en riskframe.co/caso-junta-ia →

Volviendo al título

Cuando la IA falle, la organización pagará el precio reputacional y financiero. Lo que sí está en manos de la alta dirección es llegar a ese día con responsables claros y protocolos definidos, o tener que improvisarlos en medio de la crisis.

Federico Hederich lo planteó esta semana en su columna de La República desde la otra orilla, la de la IA como apoyo de la junta. Su punto central es que automatizar el análisis no equivale a delegar el juicio. Un agente puede revisar la valoración de una compra, examinar los riesgos operacionales o contrastar los supuestos de la administración, pero no vota ni asume responsabilidad legal. Por eso la autonomía que se le conceda debe guardar proporción con la evidencia disponible y con lo que está en juego. Autorizar una inversión relevante, cambiar un compromiso estratégico o aceptar un riesgo material sigue exigiendo una persona con nombre y apellido.

De su texto rescatamos una pregunta que vale la pena llevar a la próxima sesión: ¿qué tendría que ocurrir para que esta decisión fuera un error? Aplicada a la propia IA, obliga a nombrar la falla antes de que ocurra: qué dato podría venir contaminado, qué sesgo arrastra el modelo, quién lo notaría y en cuánto tiempo. Una junta no necesita saber programar un agente. Sí necesita saber qué decisiones apoya, con qué información trabaja, cómo se verifica lo que entrega y quién responde cuando se equivoca. Es la misma pregunta del título, solo que hecha a tiempo.

Hay además un riesgo menos visible que el error. Una junta que recibe mejores informes gracias a la IA, pero sigue haciendo las mismas preguntas, habrá modernizado sus herramientas sin tocar su gobierno. El día del incidente descubrirá que nadie tenía asignada la responsabilidad que ahora todos le reclaman.

Si quiere saber si su organización está realmente preparada, el primer paso es revisar con franqueza el estado de su gobierno corporativo frente a la IA.

¿Su gestión de riesgos ya cubre la inteligencia artificial?

Puede empezar con el autodiagnóstico gratuito en riskframe.co/autodiagnostico-ia: siete preguntas, tres minutos, y le mostrará lo que su organización cree tener.

Para las juntas directivas que quieren pasar de la percepción a la evidencia, el Índice de gobierno y riesgos de inteligencia artificial (IGR-IA) revisa con evidencia, y no solo con percepciones, los mismos temas del autodiagnóstico y entrega una hoja de ruta. Se contrata por suscripción; los detalles están en riskframe.co/indice-de-gobierno-riesgos-ia.

La tecnología avanza rápido, pero los principios de responsabilidad corporativa no cambian con ella. Si lo que más le preocupa es el día en que el error llega a la prensa, el mismo camino existe para crisis en riskframe.co/autodiagnostico-crisis. Los once índices están en riskframe.co/diagnostico.

Fuentes

1. Moffatt v. Air Canada, 2024 BCCRT 149. Civil Resolution Tribunal de Columbia Británica, 14 de febrero de 2024. decisions.civilresolutionbc.ca/crt/crtd/en/525448/1/document.do
2. Hederich, F. (2026). «La IA no reemplaza a las juntas. Las invita a pensar mejor». Columna de opinión, La República (Colombia), octubre de 2026.
3. ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system. Organización Internacional de Normalización.
4. ISO/IEC 23894:2023. Information technology — Artificial intelligence — Guidance on risk management. Organización Internacional de Normalización.
5. Parasuraman, R. y Manzey, D. H. (2010). Complacency and bias in human use of automation: an attentional integration. Human Factors, 52(3), 381-410.

Jorge Mario Gómez J.
Director de RiskFrame Consulting SAS

Juan Carlos Echeverri Z.
Asociado de RiskFrame Consulting SAS