Gobernanza de IA

Conviene no confundir gobernanza con regulación. La regulación es la ley: normas vinculantes emitidas por un Estado, con sanciones si no se cumplen. La gobernanza es el paraguas más amplio: incluye la regulación, pero también estándares técnicos voluntarios (cómo medir el riesgo, cómo documentar un modelo), principios internacionales no vinculantes, prácticas internas de las empresas que desarrollan IA (revisiones de seguridad antes de lanzar un modelo, políticas de uso), y el trabajo de organismos de estandarización. Un país puede tener gobernanza de IA robusta con poca regulación dura, y viceversa.

Uno de los primeros marcos internacionales fue la Recomendación de la OCDE sobre Inteligencia Artificial (2019, actualizada en 2024), adoptada por decenas de países como un conjunto de principios no vinculantes —transparencia, robustez, rendición de cuentas—. En 2023, NIST publicó el AI Risk Management Framework, un marco voluntario para que cualquier organización, no sólo gobiernos, identifique y gestione el riesgo de sus sistemas de IA a lo largo de su ciclo de vida. Y en 2024 la Unión Europea aprobó el Reglamento de IA (Ley de IA), la primera ley integral y vinculante sobre IA de un bloque económico grande, con obligaciones que varían según el nivel de riesgo del sistema.

En la práctica, la gobernanza de un sistema de IA suele combinar varias capas: principios de alto nivel (qué valores se persiguen), estándares técnicos (cómo medir y documentar), procesos internos de la organización que lo construye (evaluaciones antes de lanzar, canales de reporte de fallas) y, cuando existe, ley dura con sanciones. Ninguna capa sola resuelve el problema: los principios sin estándares son declarativos, y la ley sin capacidad técnica de fiscalización es difícil de hacer cumplir.

Además de los tres marcos mencionados, hay organismos de estandarización (ISO/IEC, IEEE) desarrollando normas técnicas específicas, iniciativas de gobiernos nacionales —incluido Chile, con su propio proceso regulatorio en curso— y prácticas de gobernanza corporativa cada vez más formalizadas dentro de los propios laboratorios de IA (comités de seguridad, políticas de uso aceptable, evaluaciones previas al lanzamiento).

Hay tensión entre normas vinculantes y voluntarias: las voluntarias son más rápidas de adoptar y se adaptan mejor a una tecnología que cambia rápido, pero dependen de la buena fe de quien las sigue; las vinculantes dan certeza jurídica pero tardan años en tramitarse y pueden quedar obsoletas antes de entrar en vigor. También se discute la fragmentación entre jurisdicciones —una empresa que opera en distintos países enfrenta reglas distintas— y el riesgo de "captura regulatoria", donde las mismas empresas que se busca regular terminan definiendo, de facto, los estándares con los que se las evalúa.