Eso no significa que los consejeros tengan que convertirse en ingenieros. Sí necesitan, en cambio, un nivel común de conocimientos que les permita formular preguntas relevantes y detectar cuándo las hipótesis, los controles o las métricas de la dirección no son suficientes.

Las 7 reglas de la guía

1. Preparar un consejo con conocimientos sobre IA

La guía recomienda que todos los consejeros desarrollen una comprensión práctica de los conceptos básicos de la IA, sus implicaciones empresariales y sus retos de gobernanza. Además, un grupo de miembros del consejo debería poder cuestionar a la dirección sobre estrategia, despliegue, gobernanza de datos y equilibrio entre riesgos. Para las cuestiones técnicas, regulatorias u operativas más complejas, el consejo también debería tener acceso a expertos con conocimientos más profundos.

La prueba no es si los consejeros pueden hablar del último modelo disponible. Es si entienden los casos de uso de la organización, saben qué podría salir mal y pueden evaluar si la dirección está preparada para responder.

2. Medir resultados, no actividad relacionada con la IA

Las inversiones en IA deberían evaluarse por sus resultados empresariales concretos, no por las cifras de adopción. La guía distingue entre actividad —como proyectos piloto, licencias, formación o experimentación— y valor: mejoras en los flujos de trabajo, tiempo ahorrado, experiencia del cliente e impacto operativo.

Estas son algunas preguntas útiles para el consejo:

• ¿Qué problema empresarial resuelve el sistema?
• ¿Qué resultado debería mejorar y en qué medida?
• ¿Cómo se medirá esa mejora?
• ¿Qué pruebas justifican pasar de un proyecto piloto a un despliegue más amplio?
• ¿Cuáles son los costes de supervisión, seguridad, integración y posibles fallos?

Tener muchos experimentos puede demostrar interés, pero no demuestra por sí solo que exista un retorno de la inversión.

3. Convertir la experimentación de los empleados en una capacidad gobernada

Los empleados suelen descubrir aplicaciones útiles de la IA antes de que existan programas oficiales. La guía anima a los consejos y a la dirección a aprovechar ese conocimiento, pero incorporando la experimentación al entorno de control de la organización.

Esto implica documentar las herramientas creadas con IA, aclarar quién puede utilizarlas y con qué fines, y comprobar que cumplen los requisitos de seguridad y gobernanza aplicables. El objetivo no es frenar la innovación, sino evitar que los prototipos útiles se conviertan en sistemas invisibles y sin soporte que afecten a clientes, empleados o datos corporativos sin controles adecuados.

4. Tratar el riesgo de la IA como un riesgo empresarial

La gobernanza de la IA debe abarcar mucho más que el rendimiento del modelo. Los consejeros deben examinar los riesgos éticos, cibernéticos, relacionados con los datos, la seguridad, la privacidad y el talento, así como las consecuencias para la resiliencia y la creación de valor a largo plazo.

Por eso, el consejo debería saber dónde se utiliza la IA, qué datos y proveedores externos intervienen, quién es responsable de cada sistema, cómo se notifican los incidentes y en qué circunstancias debe pausarse o revisarse un despliegue. Los controles deben ser proporcionales al impacto de un posible fallo: una herramienta interna de productividad de bajo riesgo no necesita el mismo nivel de supervisión que un sistema que influye en el empleo, el acceso de clientes o la seguridad.

5. Establecer supervisión humana y límites infranqueables

La guía pide definir de forma explícita los límites de decisión. Los consejos deben determinar cuándo es obligatoria la revisión humana y fijar «líneas rojas» que prohíban las decisiones automatizadas, especialmente cuando afectan a clientes, empleados, la seguridad o la privacidad.

La supervisión humana solo es real si la persona encargada de revisar la decisión dispone de información suficiente, autoridad y tiempo para cuestionar o revocar una recomendación de la IA. Una aprobación meramente formal no debería convertirse en un trámite para ratificar automáticamente el resultado del sistema.

6. Añadir salvaguardas para las decisiones laborales asistidas por IA

El uso de IA en la contratación, los ascensos o la evaluación del desempeño puede afectar a las oportunidades y los medios de vida de las personas. La guía recomienda aplicar revisión humana, pruebas de sesgo y controles de calidad de los datos, además de ofrecer un proceso claro para que quienes se vean afectados puedan impugnar una decisión o solicitar que sea revisada.

Para los consejos, esto convierte la equidad en una cuestión concreta de supervisión: ¿qué pruebas demuestran que el sistema funciona como estaba previsto?, ¿qué grupos podrían verse perjudicados? y ¿cómo puede una persona cuestionar el resultado?

7. Mantener la ciberresiliencia y la rendición de cuentas en el nivel del consejo

La guía sitúa la IA dentro de la responsabilidad más amplia de preservar la resiliencia organizativa y digital. Sus recomendaciones reflejan la expectativa creciente de que los consejos supervisen activamente los riesgos vinculados a la IA, incluidas las amenazas cibernéticas, en lugar de asumir que los equipos técnicos pueden gestionarlos por sí solos.

Los consejeros deberían preguntar a la dirección cómo cambia la IA la superficie de ataque de la organización, cómo se protegen los datos sensibles, cómo se evalúa a los proveedores y cómo respondería la empresa si un sistema fuera comprometido o generara resultados perjudiciales. Los controles concretos variarán según la organización, pero la responsabilidad de hacer las preguntas sigue correspondiendo al consejo.

Cinco preguntas para empezar

Una primera revisión puede partir de estas cinco preguntas:

1. ¿Dónde se utiliza ya la IA, incluidas las herramientas creadas por empleados?
2. ¿Qué despliegues son estratégicos o podrían tener un impacto elevado?
3. ¿Qué métricas de resultados y riesgos presenta la dirección al consejo?
4. ¿Dónde es obligatoria la revisión humana y dónde están prohibidas las decisiones automatizadas?
5. ¿Pueden las personas afectadas impugnar una decisión y puede la organización detener un sistema de forma segura?

La lección general de la guía es que la gobernanza responsable de la IA no se resuelve con una política aprobada una sola vez. Los consejos necesitan suficientes conocimientos para supervisar la estrategia, pruebas suficientes para juzgar el valor y autoridad suficiente para imponer límites cuando los riesgos superen los beneficios.

Eso no significa que los consejeros tengan que convertirse en ingenieros. Sí necesitan, en cambio, un nivel común de conocimientos que les permita formular preguntas relevantes y detectar cuándo las hipótesis, los controles o las métricas de la dirección no son suficientes.

Las 7 reglas de la guía

1. Preparar un consejo con conocimientos sobre IA

La guía recomienda que todos los consejeros desarrollen una comprensión práctica de los conceptos básicos de la IA, sus implicaciones empresariales y sus retos de gobernanza. Además, un grupo de miembros del consejo debería poder cuestionar a la dirección sobre estrategia, despliegue, gobernanza de datos y equilibrio entre riesgos. Para las cuestiones técnicas, regulatorias u operativas más complejas, el consejo también debería tener acceso a expertos con conocimientos más profundos.

La prueba no es si los consejeros pueden hablar del último modelo disponible. Es si entienden los casos de uso de la organización, saben qué podría salir mal y pueden evaluar si la dirección está preparada para responder.

2. Medir resultados, no actividad relacionada con la IA

Las inversiones en IA deberían evaluarse por sus resultados empresariales concretos, no por las cifras de adopción. La guía distingue entre actividad —como proyectos piloto, licencias, formación o experimentación— y valor: mejoras en los flujos de trabajo, tiempo ahorrado, experiencia del cliente e impacto operativo.

Estas son algunas preguntas útiles para el consejo:

• ¿Qué problema empresarial resuelve el sistema?
• ¿Qué resultado debería mejorar y en qué medida?
• ¿Cómo se medirá esa mejora?
• ¿Qué pruebas justifican pasar de un proyecto piloto a un despliegue más amplio?
• ¿Cuáles son los costes de supervisión, seguridad, integración y posibles fallos?

Tener muchos experimentos puede demostrar interés, pero no demuestra por sí solo que exista un retorno de la inversión.

3. Convertir la experimentación de los empleados en una capacidad gobernada

Los empleados suelen descubrir aplicaciones útiles de la IA antes de que existan programas oficiales. La guía anima a los consejos y a la dirección a aprovechar ese conocimiento, pero incorporando la experimentación al entorno de control de la organización.

Esto implica documentar las herramientas creadas con IA, aclarar quién puede utilizarlas y con qué fines, y comprobar que cumplen los requisitos de seguridad y gobernanza aplicables. El objetivo no es frenar la innovación, sino evitar que los prototipos útiles se conviertan en sistemas invisibles y sin soporte que afecten a clientes, empleados o datos corporativos sin controles adecuados.

4. Tratar el riesgo de la IA como un riesgo empresarial

La gobernanza de la IA debe abarcar mucho más que el rendimiento del modelo. Los consejeros deben examinar los riesgos éticos, cibernéticos, relacionados con los datos, la seguridad, la privacidad y el talento, así como las consecuencias para la resiliencia y la creación de valor a largo plazo.

Por eso, el consejo debería saber dónde se utiliza la IA, qué datos y proveedores externos intervienen, quién es responsable de cada sistema, cómo se notifican los incidentes y en qué circunstancias debe pausarse o revisarse un despliegue. Los controles deben ser proporcionales al impacto de un posible fallo: una herramienta interna de productividad de bajo riesgo no necesita el mismo nivel de supervisión que un sistema que influye en el empleo, el acceso de clientes o la seguridad.

5. Establecer supervisión humana y límites infranqueables

La guía pide definir de forma explícita los límites de decisión. Los consejos deben determinar cuándo es obligatoria la revisión humana y fijar «líneas rojas» que prohíban las decisiones automatizadas, especialmente cuando afectan a clientes, empleados, la seguridad o la privacidad.

La supervisión humana solo es real si la persona encargada de revisar la decisión dispone de información suficiente, autoridad y tiempo para cuestionar o revocar una recomendación de la IA. Una aprobación meramente formal no debería convertirse en un trámite para ratificar automáticamente el resultado del sistema.

6. Añadir salvaguardas para las decisiones laborales asistidas por IA

El uso de IA en la contratación, los ascensos o la evaluación del desempeño puede afectar a las oportunidades y los medios de vida de las personas. La guía recomienda aplicar revisión humana, pruebas de sesgo y controles de calidad de los datos, además de ofrecer un proceso claro para que quienes se vean afectados puedan impugnar una decisión o solicitar que sea revisada.

Para los consejos, esto convierte la equidad en una cuestión concreta de supervisión: ¿qué pruebas demuestran que el sistema funciona como estaba previsto?, ¿qué grupos podrían verse perjudicados? y ¿cómo puede una persona cuestionar el resultado?

7. Mantener la ciberresiliencia y la rendición de cuentas en el nivel del consejo

La guía sitúa la IA dentro de la responsabilidad más amplia de preservar la resiliencia organizativa y digital. Sus recomendaciones reflejan la expectativa creciente de que los consejos supervisen activamente los riesgos vinculados a la IA, incluidas las amenazas cibernéticas, en lugar de asumir que los equipos técnicos pueden gestionarlos por sí solos.

Los consejeros deberían preguntar a la dirección cómo cambia la IA la superficie de ataque de la organización, cómo se protegen los datos sensibles, cómo se evalúa a los proveedores y cómo respondería la empresa si un sistema fuera comprometido o generara resultados perjudiciales. Los controles concretos variarán según la organización, pero la responsabilidad de hacer las preguntas sigue correspondiendo al consejo.

Cinco preguntas para empezar

Una primera revisión puede partir de estas cinco preguntas:

1. ¿Dónde se utiliza ya la IA, incluidas las herramientas creadas por empleados?
2. ¿Qué despliegues son estratégicos o podrían tener un impacto elevado?
3. ¿Qué métricas de resultados y riesgos presenta la dirección al consejo?
4. ¿Dónde es obligatoria la revisión humana y dónde están prohibidas las decisiones automatizadas?
5. ¿Pueden las personas afectadas impugnar una decisión y puede la organización detener un sistema de forma segura?

La lección general de la guía es que la gobernanza responsable de la IA no se resuelve con una política aprobada una sola vez. Los consejos necesitan suficientes conocimientos para supervisar la estrategia, pruebas suficientes para juzgar el valor y autoridad suficiente para imponer límites cuando los riesgos superen los beneficios.