Inicio / Blog / IA y Compliance
IA · Compliance · Empresas · PyMEsGobernanza de IA en PyMEs: quién decide, quién controla y quién responde
El problema ya no es si una empresa usa inteligencia artificial. La pregunta es qué puede hacer cada sistema, con qué información, bajo qué controles y quién responde cuando una decisión tiene consecuencias.
La adopción de inteligencia artificial en las empresas está entrando en una segunda etapa. Primero fue experimentar: redactar correos, resumir documentos, generar imágenes o analizar información. Después llegó la automatización: agentes que contestan consultas, clasifican clientes, actualizan sistemas o ejecutan tareas.
Ahí cambia el problema. Cuando una herramienta deja de asistir a una persona y empieza a actuar dentro de un proceso empresario, ya no alcanza con preguntarse si funciona. Hay que definir qué está autorizada a hacer.
De usar IA a gobernar IA
Gobernanza de IA significa establecer reglas internas sobre herramientas, datos, permisos, supervisión y responsabilidades. No exige crear una burocracia enorme. Una PyME puede empezar con un protocolo breve si identifica correctamente sus riesgos.
La discusión regulatoria europea sirve como referencia porque está llevando a las organizaciones a trabajar con criterios de riesgo, transparencia, trazabilidad y supervisión humana. Esto no significa que las obligaciones del AI Act europeo se apliquen automáticamente a toda empresa argentina. Sí muestra hacia dónde se mueve el estándar de gestión responsable.
De hecho, determinadas obligaciones de transparencia del AI Act se aplican desde el 2 de agosto de 2026, mientras que varias reglas específicas para sistemas de alto riesgo tienen un calendario posterior. Por eso conviene distinguir entre una referencia de buenas prácticas y una obligación jurídica aplicable al caso concreto.
Primera pregunta: ¿qué herramientas utiliza realmente la empresa?
Muchas empresas no lo saben. Un empleado utiliza una cuenta personal de IA, otro conecta una aplicación al correo, marketing automatiza respuestas y administración carga documentos para resumirlos.
El primer inventario debería registrar herramienta, usuario, finalidad, información a la que accede y acciones que puede ejecutar.
Segunda pregunta: ¿qué datos puede recibir?
No toda información empresaria tiene el mismo nivel de sensibilidad.
Datos de bajo riesgo
Información pública, textos comerciales generales o contenidos ya publicados pueden tener un tratamiento distinto.
Datos sensibles para el negocio
Contratos, precios negociados, información financiera, bases de clientes, claves, estrategias comerciales, documentación laboral o datos personales requieren controles mayores.
La regla debería ser simple: si una persona no enviaría determinada información a un tercero desconocido sin revisar condiciones, tampoco debería cargarla automáticamente en una herramienta de IA.
Tercera pregunta: ¿qué puede hacer sola?
Una IA puede preparar borradores, clasificar consultas o sugerir respuestas con riesgo relativamente bajo si existe supervisión adecuada.
El nivel cambia cuando puede comprometer a la empresa: aceptar condiciones, conceder descuentos, confirmar plazos, modificar precios, contratar, despedir, transferir dinero, revelar información o asumir obligaciones frente a clientes y proveedores.
Esas acciones deberían tener límites y, en muchos casos, aprobación humana previa.
Automatizar no significa darle permiso para decidir todo
Cuanto mayor sea el impacto económico, jurídico, reputacional o sobre datos sensibles, mayor debería ser el nivel de control y trazabilidad.
Cuarta pregunta: ¿quién revisa?
“Lo hizo la IA” no es un sistema de responsabilidades.
Cada proceso automatizado debería tener una persona responsable de supervisar resultados, revisar excepciones y detener el sistema cuando aparece una conducta inesperada.
Quinta pregunta: ¿queda registro?
Cuanto mayor sea el impacto de una acción, mayor debería ser la trazabilidad. Saber qué herramienta intervino, qué información recibió, qué resultado produjo y quién lo aprobó permite corregir errores y reconstruir decisiones.
Un protocolo mínimo para una PyME
Una política inicial puede definir cinco cosas: herramientas autorizadas; información prohibida o restringida; acciones permitidas; decisiones que requieren aprobación humana; responsable de cada automatización.
Después puede agregarse capacitación, revisión periódica, gestión de proveedores tecnológicos y mecanismos para reportar incidentes.
Automatizar más no siempre significa automatizar mejor
El objetivo no debería ser eliminar intervención humana de todos los procesos. Debería ser utilizarla donde agrega valor y mantener controles donde una equivocación puede producir una pérdida económica, un conflicto contractual o una exposición de información.
Una empresa madura en IA no es la que deja todo en manos de un agente. Es la que sabe exactamente hasta dónde puede llegar cada herramienta.
Definí reglas antes de ampliar permisos
Si tu empresa ya utiliza IA o está empezando a automatizar procesos, conviene ordenar operación, contratos, confidencialidad, responsabilidades y control humano antes de escalar.
Fuentes
- Comisión Europea — AI Act: marco regulatorio y calendario de aplicación.
- Comisión Europea — directrices sobre obligaciones de transparencia para proveedores e implementadores de IA.
Contenido informativo general. La aplicación jurídica de normas sobre IA, datos, contratos y responsabilidad debe analizarse según la jurisdicción, actividad y sistemas concretos de cada organización.