En corto
- El marco de gestión de riesgos de IA del NIST, el instituto de estándares de Estados Unidos, se publicó el 26 de enero de 2023 y es de uso voluntario.
- ISO/IEC 42001, publicada en diciembre de 2023, es según ISO la primera norma internacional de sistemas de gestión de IA.
- En Ecuador, la Ley Orgánica de Protección de Datos Personales (LOPDP) exige una evaluación de impacto cuando hay perfiles automatizados con efectos jurídicos (artículo 42).
¿Qué es el gobierno de la IA?
Cuando una empresa empieza a usar inteligencia artificial, aparecen preguntas que ninguna herramienta responde sola: ¿quién aprobó este uso?, ¿con qué datos trabaja?, ¿quién revisa sus errores?, ¿qué pasa si discrimina a un cliente? El gobierno de la IA es la respuesta organizada a esas preguntas: políticas, responsables, procesos y controles.
No es un comité que frena todo. Bien hecho, permite avanzar más rápido, porque cada nuevo caso de uso pasa por un camino conocido en lugar de discutirse desde cero.
¿Qué marcos de referencia existen?
| Marco | Qué es | Carácter |
|---|---|---|
| IA RMF 1.0 del NIST | Marco de gestión de riesgos de IA del instituto de estándares de Estados Unidos, publicado el 26 de enero de 2023 | Voluntario |
| ISO/IEC 42001:2023 | Norma internacional que especifica requisitos para establecer, implementar, mantener y mejorar un sistema de gestión de IA; publicada en diciembre de 2023 | Voluntaria |
| Reglamento de IA de la UE | Reglamento 2024/1689, del 13 de junio de 2024, con obligaciones según el nivel de riesgo de cada sistema | Obligatorio en la Unión Europea |
El NIST propone acciones para gobernar, mapear, medir y gestionar los riesgos de la IA. En julio de 2024 publicó, además, un perfil para IA generativa (NIST IA 600-1), que incluye riesgos como la confabulación y la privacidad de los datos. ISO, por su parte, presenta la 42001 como la primera norma de sistemas de gestión de IA y la dirige a organizaciones de cualquier tamaño que desarrollan, ofrecen o usan productos con IA.
¿Qué aplica hoy en Ecuador?
Para cualquier sistema de IA que trate datos personales, la Ley Orgánica de Protección de Datos Personales (LOPDP) ya trae obligaciones concretas. Dos de las más relevantes:
- Artículo 42: la evaluación de impacto es obligatoria, entre otros casos, cuando hay una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, que sirve para tomar decisiones con efectos jurídicos.
- Artículo 20: las personas tienen derecho a no ser sometidas a decisiones basadas, total o parcialmente, en valoraciones automatizadas que produzcan efectos jurídicos, con las excepciones que prevé la ley.
Sobre una ley específica de inteligencia artificial, revisa el estado actualizado en la guía ley de inteligencia artificial en Ecuador.
¿Cómo empezar en una empresa mediana?
- Inventario: lista qué herramientas de IA se usan, incluidas las que los empleados usan por su cuenta.
- Clasifica por riesgo: no es lo mismo resumir actas que decidir un crédito.
- Define responsables: un dueño de negocio por cada sistema, además del delegado de protección de datos cuando corresponda.
- Fija reglas de datos: qué información puede salir de la empresa, hacia qué proveedores y bajo qué contrato.
- Pon controles en producción: registro de cada acción, revisión humana en lo crítico y un indicador acordado para medir resultados.
- Revisa periódicamente: los modelos cambian y los procesos también.
Un ejemplo en una empresa ecuatoriana
Imagina un banco mediano que quiere usar IA para priorizar solicitudes de crédito. Su gobierno de la IA exige, antes de llegar a producción, una evaluación de impacto conforme a la LOPDP, pruebas de sesgo por género y edad, un analista que apruebe cada rechazo y un procedimiento para explicar la decisión si el cliente la impugna.
¿Cómo se relaciona con otros términos?
El gobierno de la IA incluye el principio de human-in-the-loop, la gestión del sesgo algorítmico y la explicabilidad de las decisiones. Es, en la práctica, lo que permite pasar de pilotos sueltos a procesos con IA en producción.
Preguntas frecuentes
¿Qué es el gobierno de la inteligencia artificial?
Es el conjunto de políticas, responsables, procesos y controles con que una organización decide qué sistemas de IA usa, con qué datos, bajo qué supervisión y quién responde por sus resultados. Su objetivo es aprovechar la IA con riesgos conocidos y controlados.
¿Qué normas existen para el gobierno de la IA?
Dos referencias internacionales son el marco de gestión de riesgos de IA del NIST, publicado en enero de 2023 y de uso voluntario, y la norma ISO/IEC 42001, de diciembre de 2023, para sistemas de gestión de IA. En la Unión Europea rige además el Reglamento 2024/1689.
¿Qué exige la ley de Ecuador sobre el uso de IA?
Si el sistema trata datos personales, aplica la LOPDP: por ejemplo, la evaluación de impacto obligatoria cuando hay perfiles automatizados con efectos jurídicos (artículo 42) y los derechos frente a decisiones automatizadas (artículo 20). Sobre una ley específica de IA, conviene revisar su estado vigente.
Fuentes
- National Institute of Standards and Technology (NIST) · IA Risk Management Framework (2023-01-26)
- ISO · ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system (2026-11-11)
- EUR-Lex · Diario Oficial de la Unión Europea · Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (Reglamento de Inteligencia Artificial) (2024-06-13)
- National Institute of Standards and Technology (NIST) · NIST IA 600-1: Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (2024-07-26)
- Asamblea Nacional del Ecuador · Registro Oficial Suplemento 459 (publicada en gob.ec) · Ley Orgánica de Protección de Datos Personales (2021-05-26)
Revisado el 11 de noviembre de 2026 contra las fuentes citadas. Los precios y normas de terceros pueden cambiar: confirma en la fuente.