Este caso reúne situaciones reales que hemos encontrado en organizaciones de la región. Combinamos y modificamos los datos para proteger la confidencialidad de los clientes.
La empresa y el detonante
Una comercializadora de productos de consumo masivo con operación en Colombia, Perú y Ecuador, cerca de 3.000 empleados y una junta directiva de siete miembros, tres de ellos independientes.
En la sesión de marzo, la auditora interna presentó un hallazgo que parecía menor dentro de un informe largo. Un analista de compras había subido a una herramienta de IA, desde su cuenta personal, el contrato marco con el principal proveedor de empaques para pedirle un resumen. Que la herramienta fuera gratuita o paga no cambiaba nada: nadie la había autorizado, nadie había revisado qué hacía con la información que recibía y nadie sabía si era la primera vez.
La presidenta de la junta no lo trató como un asunto disciplinario. Preguntó si alguien en la sala sabía cuántas herramientas de IA usaba la empresa. Nadie lo sabía. La junta encargó al comité de auditoría y riesgos responder cuatro preguntas en sesenta días.
Contenido para suscriptores · gratis
Lea el caso completo: las cuatro preguntas, lo que encontró la junta, las conclusiones y la hoja de ruta de 90 días. Déjenos sus datos y reciba también Señales Tempranas, nuestro boletín de alertas sobre riesgos emergentes.
Sin costo. Puede retirar su autorización cuando quiera.
1. ¿Dónde estamos usando IA hoy?
Lo que la administración creía
Tres usos aprobados: un asistente virtual en servicio al cliente, un modelo de pronóstico de demanda y una licencia corporativa de un asistente de redacción.
Lo que encontró
Veintiún usos. Para llegar a esa cifra no bastó con preguntarle a tecnología. El equipo revisó los extractos de las tarjetas corporativas, leyó las cláusulas de los contratos con proveedores de software y aplicó una encuesta anónima a los jefes de área.
Aparecieron, entre otros, un filtro de hojas de vida que venía incluido en el software de selección sin que nadie lo hubiera pedido, un modelo que asignaba cupos de crédito a distribuidores dentro de la plataforma comercial y una herramienta que transcribía y resumía las reuniones del comité de presidencia en servidores externos. Trece de los veintiún usos no habían pasado por ninguna aprobación.
Lo que decidió la junta
El inventario quedó como un registro vivo a cargo de la gerencia de riesgos, con actualización trimestral. Toda compra de software que incluya funciones de IA debe declararlo antes de firmar el contrato.
2. ¿Quién es el dueño de cada uso?
La primera respuesta fue la previsible: «Tecnología». El comité la devolvió. Tecnología mantiene las herramientas, pero no responde por un cupo mal asignado ni por un candidato descartado sin razón. La regla que adoptaron fue sencilla: el dueño es el líder del proceso cuyo resultado cambia si la IA se equivoca.
Así quedaron cuatro de los usos críticos:
3. ¿Qué decisiones no le vamos a delegar a la IA, y quién tiene el botón de apagado?
La junta definió cuatro decisiones que la IA puede preparar pero nunca tomar: descartar de forma definitiva a un candidato, negar o reducir el cupo de un distribuidor, cambiar precios publicados y emitir cualquier comunicación pública a nombre de la empresa.
Con el botón de apagado apareció el hallazgo más incómodo. El asistente de servicio al cliente solo podía desactivarlo el proveedor, mediante un ticket con un tiempo de respuesta de ocho horas hábiles. Se renegoció el contrato. Hoy el gerente de servicio lo apaga desde una consola propia en menos de diez minutos, y existe un procedimiento manual para atender a los clientes mientras el asistente está fuera de línea.
También quedaron escritos los criterios para apagarlo sin pedir permiso a nadie: un error que afecte el dinero de los clientes, una queja de un regulador o una tasa de respuestas erradas por encima de la tolerancia acordada.
4. ¿Hemos simulado nuestra respuesta ante un error público de la IA?
No lo habían hecho. En mayo realizaron un ejercicio de mesa de tres horas con la presidencia, los dueños de los usos críticos, comunicaciones, jurídica y dos miembros de la junta.
El escenario: un viernes por la tarde, el asistente virtual les informa a cerca de 1.200 clientes un descuento que no existe. El sábado circula en redes una captura de pantalla y un periodista pide declaraciones.
Lo que se vio en la mesa
- Pasaron cuarenta minutos antes de que alguien supiera quién debía decidir apagar el asistente.
- El vocero designado no sabía explicar qué hacía el asistente ni quién lo había aprobado.
- Nadie tenía claro si la empresa debía honrar el descuento. Jurídica y comercial dieron respuestas opuestas.
- La junta se enteró por un mensaje de WhatsApp de uno de sus miembros, no por la administración.
Lo que se decidió
Un protocolo de incidentes de IA integrado al plan de gestión de crisis. Incluye un criterio acordado de antemano sobre cuándo se honra lo que la IA prometió, mensajes base para el vocero y el aviso a la presidencia de la junta dentro de la primera hora.
Lo que cambió en la junta
Seis meses después, la IA tiene un punto fijo en la agenda trimestral del comité de auditoría y riesgos. El informe trae el inventario actualizado, los cambios de dueño, los incidentes del periodo y el resultado de una prueba de apagado.
Nada de esto exigió comprar tecnología nueva. Exigió que alguien en la junta hiciera la pregunta y que la administración aceptara que no tenía la respuesta.
Conclusiones
El problema no era tecnológico, era de asignación. La empresa tenía herramientas razonables. Lo que no tenía era a alguien que respondiera por cada una.
El inventario hay que buscarlo, no pedirlo. Si la junta le pregunta a la administración qué IA usa, recibirá la lista de lo aprobado. Lo que no se aprobó aparece en las facturas, en los contratos y en lo que la gente admite cuando la encuesta es anónima.
El control más débil estaba en un contrato. El botón de apagado del asistente no dependía de la empresa sino de un proveedor con ocho horas de plazo. Esa clase de dependencia no aparece en un mapa de riesgos si nadie lee los contratos con esa pregunta en mente.
Lo que no se ensaya falla el día del incidente. Las respuestas que la administración daba en el papel no resistieron tres horas de ejercicio de mesa.
Hoja de ruta: noventa días para corregir lo que está mal
Lo que hizo esta junta puede repetirse en cualquier organización, sin comprar tecnología nueva. Esta es la secuencia, con lo que la junta debe recibir al final de cada fase:
Días 1 a 30
Días 31 a 60
Días 61 a 90
Desde el día 91
¿Podría su junta responder igual?
El autodiagnóstico de IA de RiskFrame parte de estas cuatro preguntas y las amplía a siete dimensiones. Toma tres minutos y le muestra su nivel y sus puntos ciegos: riskframe.co/autodiagnostico-ia
Si su junta quiere pasar de la percepción a la evidencia, el Índice de gobierno y riesgos de inteligencia artificial (IGR-IA) revisa con evidencia, y no solo con percepciones, esos mismos temas y entrega una hoja de ruta: riskframe.co/indice-de-gobierno-riesgos-ia
Este es el primero de una serie de casos de junta. Los siguientes estarán en Sala ACTA, el espacio de RiskFrame para juntas directivas y consejos de administración (próximamente).
Jorge Mario Gómez J.
Director de RiskFrame Consulting SAS
Juan Carlos Echeverri Z.
Asociado de RiskFrame Consulting SAS