Checklist de Gobernanza de IA Empresarial

Cada fuente de datos usada por IA debe tener propietario funcional, responsable técnico y reglas de ciclo de vida. La ambigüedad en propiedad es la causa más común de incidentes de cumplimiento y bloqueos entre equipos legales, seguridad y producto.

Define también propiedad del modelo en producción: quién aprueba cambios, quién valida calidad y quién responde ante desviaciones. Sin RACI explícito, los modelos evolucionan sin control y se vuelve imposible auditar decisiones críticas.

No todos los perfiles deben ver prompts, datasets sensibles o resultados sin anonimizar. Implementa permisos por rol y entorno (desarrollo, pruebas, producción), con principio de mínimo privilegio y caducidad de accesos temporales.

Añade revisiones periódicas de privilegios y revocación automática para cuentas inactivas. Este control reduce superficie de riesgo y simplifica auditorías, porque demuestra trazabilidad real en lugar de controles declarativos.

Registra quién ejecutó qué modelo, con qué versión, sobre qué datos y con qué resultado. Esta bitácora debe ser consultable por seguridad y compliance sin depender de ingeniería para reconstruir eventos pasados.

Incluye un flujo de change management con aprobación por niveles de riesgo. No es lo mismo ajustar un prompt en un entorno sandbox que actualizar un clasificador que afecta decisiones financieras o regulatorias.

La gobernanza no es un documento único, es una práctica continua. Establece reuniones periódicas de 30 minutos con indicadores de drift, errores críticos, tiempos de respuesta y alertas de seguridad para mantener control sin burocracia excesiva.

Cuando una métrica salga de umbral, define acciones preaprobadas: rollback, revisión humana obligatoria o suspensión temporal. Tener estos protocolos antes del incidente reduce impacto y acelera recuperación operativa.