Lo que la gobernanza de la IA exige realmente

La gobernanza de la IA fracasa cuando se escribe como prosa de políticas y se entrega a un equipo que no tiene forma de implementarla. Funciona cuando se especifica como requisitos de ingeniería que el sistema debe satisfacer antes de pasar a producción.

Los compradores empresariales leen el capítulo de gobernanza dos veces. Han visto lo que ocurre cuando un modelo sin gobernar llega a producción: una decisión que nadie puede explicar, una exposición de datos que nadie registró, un regulador que pide pruebas que no existen. La gobernanza es cómo se asegura de que nada de eso sea su historia.

Tres requisitos, redactados para ingenieros

Supervisión

El sistema debe emitir señales de deriva, costo, latencia y comportamiento de forma continua, con alertas antes de que los usuarios noten un problema. «Supervisaremos el modelo» no es un requisito. «La latencia P95, el costo por solicitud en tokens, la tasa de rechazo y la deriva de la distribución de salidas se miden por flujo de trabajo con umbrales de alerta» sí lo es.

Evaluación

Debe haber un conjunto de evaluación específico de la tarea que se ejecute antes de cada publicación y de forma programada en producción. Un cambio de modelo que degrade la calidad debería hacer fallar la compilación, no aparecer como una queja de un cliente tres semanas después.

Registro de auditoría

Cada decisión relevante debe escribirse en un registro inmutable con entradas, salidas, versión del modelo y el rastro del razonamiento. Esto es lo que convierte el «confíe en nosotros» en «aquí está la evidencia».

La gobernanza se integra en el sistema, no se documenta a posteriori.

Mapee los controles mientras el sistema funciona

SOC 2 e ISO 27001 no tienen por qué ser una carrera antes de una auditoría. Cuando el sistema está diseñado para emitir evidencias (registros de acceso, historiales de cambios, resultados de evaluación), el cumplimiento se convierte en una consulta sobre datos que ya está recopilando. Mapee cada control a la señal que lo satisface, y la auditoría pasa a ser un informe en lugar de una excavación.

Trate las regresiones como incidentes

El fallo de gobernanza más común tras el lanzamiento es la regresión silenciosa: alguien cambia un modelo o edita un prompt, la calidad baja y nadie se da cuenta hasta que importa. La disciplina que lo evita es sencilla de enunciar y difícil de saltarse: cada cambio de modelo o de prompt vuelve a ejecutar el arnés de evaluación antes de la publicación, y un fallo bloquea la publicación.