Vocabulario para decidir

Entender el término y detectar cuándo se usa mal

Todo el vocabulario del semestre, de la primera sesión a la última. La parte útil no es memorizar la definición: es reconocer dónde se confunde en una reunión.

Buscar un término

términos explicados: 93
categorías: 5
sesiones conectadas: 16
confusión señalada por entrada: 1

La parte útil de cada entrada no es la definición —esa está en cualquier lado— sino dónde se confunde. Casi todos estos términos se usan mal en las reuniones donde se deciden cosas, y la confusión no es de vocabulario: es de qué se está afirmando cuando se dice la palabra. Un término que no traiga una confusión que valga la pena advertir probablemente no necesitaba entrar aquí.

El dato como activo18

Estrategia, valor, modelo operativo y portafolio.

La máquina de gobernar20

Marcos, políticas, calidad, metadatos y linaje.

Riesgo, seguridad y privacidad30

Clasificación, controles, riesgo cuantitativo y datos personales.

Gobernar la IA16

Marcos de IA, regulación y datos para modelos.

Vocabulario del curso9

Expresiones propias de estas dieciséis sesiones.

93 términos

Activo de datos: Un conjunto de datos del que la organización espera obtener valor y por el que asume un costo de custodia.; Dónde se confunde
Bajo NIIF, un intangible generado internamente por regla general no se capitaliza. El «activo más valioso» aparece en los estados financieros como gasto de operación, o no aparece.; Ver también
Agente: Sistema de IA que ejecuta acciones —consultar, escribir, llamar servicios— para cumplir un objetivo, y no solo produce texto.; Dónde se confunde
Cambia la pregunta de gobernanza: ya no es qué datos leyó el modelo sino con qué credenciales actuó y quién responde por lo que hizo con ellas.
Alucinación: La salida de un modelo que es fluida, verosímil y falsa.; Dónde se confunde
No es un error que se corrige con un modelo mejor: es una propiedad de cómo funcionan estos sistemas. La respuesta de gobernanza es la procedencia —de dónde salió cada afirmación—, no la confianza.; Ver también
Anexo A: El listado de controles de referencia de la ISO/IEC 27001:2022, agrupados en organizacionales, de personas, físicos y tecnológicos.; Dónde se confunde
No es obligatorio implementarlos todos: es un catálogo contra el cual justificar qué se aplica y qué no, y esa justificación es la declaración de aplicabilidad.
Anonimización y seudonimización: Anonimizar es volver imposible la reidentificación; seudonimizar es reemplazar los identificadores por claves que alguien todavía puede revertir.; Dónde se confunde
Casi todo lo que se llama anonimización es seudonimización. Si existe una tabla de equivalencias en algún lado, el dato sigue siendo personal.
Apetito de riesgo: Cuánto riesgo está dispuesta a aceptar la organización, declarado por la dirección y, en el mejor caso, en pesos.; Dónde se confunde
Si no está escrito y aprobado, el apetito de riesgo real es el que resulte de las decisiones que cada área tome por su cuenta, y nadie lo sabrá hasta el incidente.
Artículo 50: Las obligaciones de transparencia del reglamento europeo: avisar que se está interactuando con una IA, marcar el contenido sintético o manipulado en formato legible por máquina, e informar antes de usar reconocimiento de emociones o categorización biométrica.; Dónde se confunde
Es la parte del reglamento que casi nadie leyó y la que toca a casi todo el mundo. No exige sistema de gestión de riesgos ni organismo notificado: exige una etiqueta y un aviso.
Atribución: Cuánto de una mejora de resultado se le puede imputar al dato y no al vendedor, al mercado o a la suerte.; Dónde se confunde
Es la parte del caso de negocio que nadie quiere firmar, y por eso la primera pregunta de cualquier CFO. Sin una hipótesis de atribución escrita y falsable, el caso no se puede evaluar al cierre.
Calidad de datos: La aptitud del dato para el uso al que se destina, medida en dimensiones: exactitud, completitud, consistencia, oportunidad, unicidad, validez.; Dónde se confunde
No existe la calidad en abstracto. Un dato apto para un tablero puede ser inservible para un modelo de crédito: la dimensión que importa la fija el uso, no el área de datos.
Caso de negocio: El documento que convierte una petición de presupuesto en una propuesta de inversión: dolor con cifra y dueño, línea base, hipótesis de atribución, flujo, y condición de apagado.; Dónde se confunde
No es una presentación de beneficios. Si usa las palabras «sinergia» o «habilitador», está describiendo un beneficio que ocurre en otra parte y que nadie de la reunión va a responder.
Catálogo de datos: El inventario navegable de los activos de datos de la organización, con su significado, su dueño y su linaje.; Dónde se confunde
Comprar la herramienta no crea el catálogo. Un catálogo sin dueños asignados se llena de tablas huérfanas y muere de desactualización en un año.
Chief Data OfficerCDO: El cargo que responde por el programa de datos, su portafolio y su rendición de cuentas ante la dirección.; Dónde se confunde
El fracaso típico del rol es estructural: se le piden resultados sin darle poder sobre nadie. Un CDO sin autoridad presupuestal ni sobre roles es un coordinador con título.
Ciclo de vida del dato: La biografía del dato, de antes de que exista a después de que dejó de servir. En el DAMA-DMBOK son siete fases: planear, diseñar y habilitar, crear u obtener, almacenar y mantener, usar, enriquecer y disponer. La ISO/IEC 38505-1 corta el mismo terreno con su mapa de rendición de cuentas: recolectar, almacenar, reportar, decidir, distribuir y disponer.; Dónde se confunde
No es un diagrama de proceso ni una secuencia lineal —un dato se usa mientras se mantiene y se vuelve a enriquecer—. Su utilidad es otra: en cada fase hay algo que se hace (gestión) y algo que se decide (gobernanza), y las dos puntas del ciclo son las que casi nadie gobierna.; Ver también
CIS Controls: Lista priorizada de controles de seguridad del Center for Internet Security. La versión 8.1 tiene 18 controles y 153 salvaguardas, repartidas en tres grupos de implementación.; Dónde se confunde
IG1 —las 56 salvaguardas del primer grupo— no es «el nivel de los principiantes». Es la higiene esencial que corta la mayoría de los ataques oportunistas, sea cual sea el tamaño de la organización.
Clasificación de la información: Asignarle a cada activo un nivel de confidencialidad y uno de criticidad, para saber cuánta protección merece.; Dónde se confunde
Clasificar de más cuesta tanto como clasificar de menos. Cuando todo es confidencial, nada lo es: la gente construye rutas alternas y el dato sensible termina fuera de todo control.
COBIT: Marco de gobierno y gestión de la tecnología de la información, con objetivos, prácticas y métricas.; Dónde se confunde
Es un marco de gobierno de TI del que la gobernanza de datos toma la estructura de objetivos, no un marco de datos.
Condición de apagado: La cláusula que dice qué se deja de hacer si a los doce meses el indicador no se movió.; Dónde se confunde
Ofrecerla no es debilidad: es lo que convierte una petición en una propuesta de inversión, y lo que hace que un comité crea el resto del documento.
Confidencialidad, integridad y disponibilidadCIA: Las tres propiedades que se protegen: que no lo vea quien no debe, que no lo altere quien no debe, y que esté cuando se necesita.; Dónde se confunde
No siempre van juntas. Cifrar mejora la confidencialidad y puede empeorar la disponibilidad: casi todo control de seguridad es un intercambio, no una mejora.
CONPES 4144: La Política Nacional de Inteligencia Artificial de Colombia, aprobada el 14 de febrero de 2025, con más de cien acciones a 2030.; Dónde se confunde
Una política CONPES orienta el gasto público y señala hacia dónde irá la regulación, pero no crea obligaciones exigibles para una empresa. Colombia no tiene ley de IA aprobada.
Contrato de datosdata contract: El acuerdo explícito entre quien produce un dato y quien lo consume: esquema, frecuencia, reglas de calidad, y qué pasa si se incumple.; Dónde se confunde
No es documentación. Un contrato sin penalización ni ruta de escalamiento es una expectativa escrita, y el productor lo va a romper el día que tenga afán.; Ver también
DAMA-DMBOK: El cuerpo de conocimiento de gestión de datos de DAMA International, asociación sin ánimo de lucro que trabaja con voluntarios. Dibuja once áreas de conocimiento alrededor de un centro que es la gobernanza, aunque el libro tiene diecisiete capítulos: los seis que no aparecen en la rueda son ética, big data, madurez, roles, gestión del cambio y los trece principios. La referencia vigente es la segunda edición con su revisión de 2024.; Dónde se confunde
No es una norma: nadie audita "cumplimiento DMBOK" y no hay certificación de organizaciones — se certifica la persona, con el examen CDMP. Tampoco trae orden de implantación: describe el territorio, no el itinerario. Y la tercera edición no se ha publicado (meta: 2027): citarla como si existiera delata que no se leyó ninguna de las dos.
Data custodian: Quien responde por el almacenamiento, el respaldo y el control técnico del dato. Suele estar en TI.; Dónde se confunde
Custodiar no es ser dueño. El custodio ejecuta las reglas de acceso; no decide quién debe tener acceso.
Data owner: Quien responde por la definición y el uso legítimo de un activo de datos. Es un rol de negocio, no de TI.; Dónde se confunde
No es quien creó la tabla ni quien la almacena. La prueba: ¿quién pierde algo si este dato está mal? Si nadie, el activo no tiene dueño, tiene usuarios.
Data steward: Quien cuida la calidad y las reglas del día a día de un dominio de datos.; Dónde se confunde
Es el rol más común y el más frustrado del oficio: se le pide responder por la calidad de datos que produce un área sobre la que no manda.
Dato maestroMDM: Las entidades centrales que la organización comparte —cliente, producto, empleado, proveedor— y la disciplina de mantener una versión única de cada una.; Dónde se confunde
Un proyecto de MDM que no resuelve antes quién tiene autoridad para definir «cliente» reproduce el desacuerdo dentro de una herramienta nueva y más cara.
Dato personal: Cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.; Dónde se confunde
Quitar el nombre no lo vuelve impersonal. Si con los campos restantes se puede volver a identificar a alguien, sigue siendo dato personal y sigue teniendo régimen.; Ver también
Dato sensible: El que afecta la intimidad o cuyo uso indebido puede generar discriminación: salud, vida sexual, datos biométricos, origen étnico, convicciones, afiliación sindical o política.; Dónde se confunde
Su tratamiento está prohibido salvo excepciones legales, y nunca se puede obligar a alguien a entregarlo. Pedir huella o rostro «para agilizar» es la infracción que más sanciona la autoridad colombiana.
Dato sintético: Dato generado artificialmente que conserva propiedades estadísticas del original sin corresponder a personas reales.; Dónde se confunde
No es automáticamente anónimo. Un generador entrenado sobre pocos registros puede reproducir casos individuales casi literalmente.
Datos listos para IAAI-ready data: Datos aptos para un caso de uso concreto de IA: representativos, con linaje conocido, permisos claros y calidad medida.; Dónde se confunde
No existe el dato listo para IA en abstracto: la aptitud se define contra un caso de uso. Gartner proyecta que hasta 2026 se abandonará el 60% de los proyectos de IA que no estén respaldados por datos aptos.
Decisión automatizada: La que se toma sin intervención humana significativa y produce efectos jurídicos o afecta de modo relevante a una persona.; Dónde se confunde
No hace falta una ley de IA para que la IA quede regulada: cualquier régimen de datos personales con un artículo de decisiones automatizadas ya tiene competencia sobre los modelos.
Deuda de datos: El costo futuro de las decisiones de hoy que aceleran la entrega a costa de la coherencia: definiciones duplicadas, cargas sin reglas, linaje sin documentar, histórico que nadie borra.; Dónde se confunde
No es deuda técnica. Se acumula en silencio, porque el sistema sigue funcionando, y el interés no lo paga quien la contrajo: lo paga el analista que tres años después reconcilia dos definiciones para un informe de junta.; Ver también
Deuda técnica: La metáfora original: se puede ir más rápido hoy a cambio de ir más lento siempre.; Dónde se confunde
Se distingue de la deuda de datos en que es visible para quien la contrajo. La de datos no se ve hasta que alguien pregunta de dónde salió una cifra.
Estrategia de datos: La respuesta a qué decisiones tiene que tomar mejor la organización para lograr lo que se propuso, y qué capacidades de datos hacen falta para eso.; Dónde se confunde
Si se puede copiar y pegar en otra empresa cambiando el logo, no es una estrategia de datos: es un catálogo de buenas intenciones.; Ver también
Excepción: El permiso formal para incumplir una regla, con solicitante, aprobador, motivo y fecha de vencimiento.; Dónde se confunde
Una política sin ruta de excepción no se cumple más: se evade en silencio. Las excepciones sin fecha de cierre son el mecanismo por el que una línea base endurecida se degrada sola.
Exfiltración: La extracción no autorizada de datos fuera de la organización.; Dónde se confunde
Suele ser lenta y silenciosa, y no deja el sistema caído. Por eso la pregunta después de un incidente no es «¿nos cifraron?» sino «¿qué salió, quién lo clasificó y quién autorizó ese acceso?».
Explicabilidad: La capacidad de dar cuenta de por qué un sistema produjo una salida determinada, en términos que el afectado pueda entender.; Dónde se confunde
Explicar el algoritmo no es explicar la decisión. A quien le negaron el crédito no le sirve saber la arquitectura del modelo: necesita saber qué habría tenido que ser distinto.
FAIR: Método para cuantificar riesgo de información en unidades monetarias, descomponiéndolo en frecuencia de eventos y magnitud de pérdida.; Dónde se confunde
No promete precisión. Promete que los supuestos quedan explícitos y discutibles, que es exactamente lo que una matriz de colores impide.
Fuente autoritativa: La fuente que la organización declaró como la buena para una cifra, y a la que le puso un dueño y una consecuencia por ignorarla.; Dónde se confunde
No es la más exacta ni la más nueva: es la que alguien con autoridad declaró y sostuvo. Mientras no exista esa declaración, el Excel del vicepresidente es tan autoritativo como el tablero.
GDPR: El reglamento europeo de protección de datos. Fija 72 horas para notificar una brecha a la autoridad y obliga a comunicarla al interesado cuando el riesgo es alto.; Dónde se confunde
Aplica por el lugar donde están las personas, no por el lugar donde está la empresa. Una organización colombiana que ofrece servicios a residentes europeos queda dentro.
Gestión de datos: Todo lo que hace que el dato funcione: modelarlo, cargarlo, integrarlo, almacenarlo, servirlo.; Dónde se confunde
No es lo mismo que gobernarlo. La gestión responde *cómo hacemos que funcione*; la gobernanza, *quién decide y qué le pasa si decide mal*. Confundirlas es el error fundador de la mayoría de los programas. Regla rápida: lo que se puede comprar es gestión.; Ver también
Glosario de negocio: El acuerdo escrito sobre qué significa cada término del negocio: qué es un cliente activo, qué cuenta como venta, cuándo un estudiante deserta.; Dónde se confunde
No es un diccionario técnico de columnas. El diccionario describe la base; el glosario resuelve la pelea entre áreas, que es un problema de autoridad.
Gobernanza de datos: La disciplina que decide quién tiene derecho a decidir sobre el dato, con qué autoridad y respondiendo ante quién.; Dónde se confunde
No es una herramienta ni un equipo. Si al preguntar «¿quién gobierna el dato?» le responden con el nombre de un software, todavía no hay gobernanza.; Ver también
Gobernanza de IA: Extender al modelo las mismas preguntas que se le hacen al dato: quién responde por su comportamiento, qué decisiones altera, qué pasa cuando se equivoca y quién queda del otro lado.; Dónde se confunde
No es un capítulo aparte de la gobernanza de datos. Un modelo no se puede gobernar si el dato con el que se entrena no tiene dueño, definición ni linaje.
GOVERNGV: La sexta función que la versión 2.0 del CSF añadió y que envuelve a las otras cinco: estrategia de riesgo, roles y autoridades, política, supervisión y riesgo de cadena de suministro.; Dónde se confunde
No es una función más al lado de las otras. Su llegada es el puente explícito entre ciberseguridad y gobernanza: obliga a que la dirección, no el área técnica, defina cuánto riesgo se acepta.
Habeas data: El derecho de toda persona a conocer, actualizar, rectificar y suprimir la información que exista sobre ella.; Dónde se confunde
No es sinónimo de privacidad. Es un derecho de control sobre el dato propio, y por eso convive con tratamientos legítimos que el titular no puede impedir.
IA en la sombrashadow AI: El uso de herramientas de IA por parte de áreas de la organización sin que exista inventario, autorización ni control.; Dónde se confunde
No se resuelve prohibiendo. La prohibición sin alternativa mueve el uso a dispositivos personales, donde no hay registro de qué información salió.
Incidente y brecha: Un incidente es un evento que compromete la seguridad; una brecha es el incidente en el que efectivamente se accedió, se extrajo o se expuso información.; Dónde se confunde
Contener el cifrado no es contener la brecha. Un ransomware bloqueado a tiempo puede convivir con exfiltración ya consumada: son dos relojes distintos.
ISO/IEC 27001: Norma certificable de sistema de gestión de seguridad de la información. La versión 2022 trae 93 controles en el Anexo A, once de ellos nuevos.; Dónde se confunde
La certificación acredita que el sistema de gestión existe y se opera, no que la organización sea segura. Son cosas distintas y se confunden en toda licitación.; Ver también
ISO/IEC 38505: Norma de gobernanza de datos que aplica el modelo EDM: la dirección evalúa, dirige y monitorea; la gerencia planea, construye y opera.; Dónde se confunde
No es certificable como la 27001. Sirve para separar los dos planos, que es justo lo que se confunde cuando un comité de datos termina revisando tickets.; Ver también
ISO/IEC 42001: Primera norma internacional certificable de sistema de gestión de inteligencia artificial, publicada en diciembre de 2023. Cubre riesgos, evaluación de impacto, ciclo de vida y supervisión de proveedores.; Dónde se confunde
La diferencia con un marco voluntario es la diferencia entre tener criterio y poder demostrarlo. Certificar el sistema de gestión no dice nada sobre la calidad de un modelo en particular.
k-anonimato: Propiedad de un conjunto de datos en el que cada registro es indistinguible de al menos otros k−1 según los atributos que podrían identificarlo.; Dónde se confunde
Un k alto no garantiza privacidad: si todos los registros de un grupo comparten el mismo valor sensible, saber a qué grupo pertenece alguien basta para saber su dato.
La advertencia que se dispara sola: El control implementado dentro de un instrumento, que aparece cuando la configuración entra en zona peligrosa y desaparece cuando sale.; Dónde se confunde
Es lo contrario de una política en PDF: no depende de que alguien la lea. Es la forma más barata de resolver el modo de fracaso «sin consecuencia».
La prueba de la columna vacía: Recorrer hacia atrás la cadena objetivo del negocio → decisión → dato → capacidad. Las capacidades que no llegan a ninguna decisión son la columna vacía.; Dónde se confunde
Lo que queda en esa columna no es inútil necesariamente: es indefendible en la primera revisión de presupuesto, que en la práctica da lo mismo.
Ley 1273 de 2009: La ley colombiana de delitos informáticos: acceso abusivo a sistema, interceptación, daño informático, violación de datos personales, entre otros.; Dónde se confunde
Es la vía penal, distinta de la sanción administrativa de la SIC. Un mismo incidente puede activar las dos, y la denuncia penal no sustituye el reporte a la autoridad de datos.
Ley 1581 de 2012: El régimen general de protección de datos personales en Colombia: principios, derechos del titular, deberes del responsable y competencia sancionatoria de la Superintendencia de Industria y Comercio.; Dónde se confunde
Su artículo 17 obliga a informar a la autoridad cuando hay violación de los códigos de seguridad, pero no fija plazo. El plazo de quince días hábiles lo impone la Circular Única de la SIC, no la ley.; Ver también
Ley de Conway: Las organizaciones producen diseños que copian su propia estructura de comunicación (Melvin Conway, 1968).; Dónde se confunde
Aplicada al dato: si ventas y operaciones no se hablan, van a tener dos definiciones de «cliente activo», y ninguna herramienta de catálogo va a arreglar eso.
Linajelineage: La trazabilidad de un dato desde su origen hasta el informe donde aparece, incluyendo cada transformación.; Dónde se confunde
No sirve para auditar solamente: sirve para discutir. Cuando dos áreas traen cifras distintas, el linaje muestra dónde se separaron en vez de dejar que gane quien hable más fuerte.
Línea base: La medición del indicador tomada antes de intervenir.; Dónde se confunde
Sin ella, cualquier mejora posterior es una anécdota: no hay contra qué comparar. Es el paso que más se salta porque no cuesta plata, solo disciplina.
Línea de corte: El punto donde se acaba la capacidad del período. Lo que queda debajo no se hace.; Dónde se confunde
La conversación difícil no es la lista de arriba: es la de abajo, que hay que ir a explicarle a un área que ya contaba con eso. Y explicarla diciendo «no hay capacidad» es cierto e inútil.
Los cuatro modos de fracaso: La lista de chequeo con la que se lee casi todo naufragio de un programa de datos: sin dueño, sin pregunta, sin consecuencia, sin confianza.; Dónde se confunde
No se suman ni son independientes: están encadenados. Sin alguien que responda, ninguna política, ninguna reconciliación y ningún tablero se sostienen tres meses.
Malla de datosdata mesh: Modelo en el que cada dominio publica su dato como producto, con dueño, contrato y nivel de servicio, sobre una plataforma de autoservicio común.; Dónde se confunde
Sin plataforma de autoservicio real, una malla es un silo con nombre nuevo. Es el modo de fracaso más caro del catálogo, porque se paga el costo de coordinación sin recibir la autonomía.; Ver también
Matriz de calor: La cuadrícula de probabilidad por impacto pintada de verde, amarillo y rojo.; Dónde se confunde
Su problema no es estética: convierte magnitudes muy distintas en la misma casilla, no se puede sumar entre riesgos y esconde la incertidumbre. Dos «rojos» pueden diferir en dos órdenes de magnitud.
Metadatos: El dato sobre el dato: qué significa, de dónde salió, quién lo toca, cada cuánto se actualiza, qué nivel de protección exige.; Dónde se confunde
No es burocracia documental. Es lo único que permite responderle a un regulador qué campos salieron en una brecha sin tardarse tres semanas.
Minimización: Tratar únicamente los datos necesarios para la finalidad declarada.; Dónde se confunde
Es el único control que reduce el impacto en vez de la probabilidad: el dato que no se recogió no se puede filtrar. Y el campo que se pide de más envenena el resto, porque la gente lo llena con información falsa.
Mínimo privilegio: Cada persona y cada sistema reciben solo los permisos que necesitan para su función, y solo mientras los necesitan.; Dónde se confunde
La parte que casi nadie hace es el «mientras»: los permisos se otorgan para un proyecto y se quedan para siempre. Sin revisión periódica, el principio es decorativo.
Modelo de madurez: Instrumento que ubica a la organización en una escala por área de conocimiento, para saber dónde intervenir.; Dónde se confunde
El nivel promedio no significa nada. Lo que importa es el cuello de botella: el área cuyo atraso bloquea a las demás, que casi nunca es la de puntaje más bajo.
Modelo EDM: Evaluar, dirigir, monitorear. Las tres cosas que hace un cuerpo de gobierno, frente a planear, construir y operar, que son las que hace la gerencia.; Dónde se confunde
Gobernar no es gestionar mejor. Una junta que no sabe escribir una consulta puede —y debe— gobernar el dato: define el apetito de riesgo, aprueba las políticas y exige rendición de cuentas.
Modelo operativo de datos: Dónde vive la autoridad sobre el dato: centralizado, federado, hub-and-spoke o malla.; Dónde se confunde
No hay un modelo correcto. Hay uno que resuelve el conflicto que esa organización tiene: la estructura es una consecuencia, no una preferencia.; Ver también
NIST AI RMF: Marco voluntario del NIST para gestionar riesgos de sistemas de IA, organizado en cuatro funciones: gobernar, mapear, medir y gestionar.; Dónde se confunde
Da lenguaje, no certificado. Sirve para estructurar la conversación interna; no es lo que se le muestra a un cliente que exige garantías.
NIST CSF 2.0: Marco de ciberseguridad del NIST, versión de febrero de 2024: seis funciones —gobernar, identificar, proteger, detectar, responder, recuperar—, veintidós categorías y ciento seis subcategorías.; Dónde se confunde
No es una lista de controles para comprar. Es un lenguaje para conversar con la dirección sobre resultados, y por eso conviene usarlo con la ISO y los CIS, no en vez de ellos.; Ver también
Nivel de servicioSLA / SLO: El compromiso medible sobre un servicio de datos —disponibilidad, frescura, completitud— y el objetivo interno que lo sostiene.; Dónde se confunde
Prometer 99,9% de disponibilidad sin medirla no es un SLA: es una cifra en una diapositiva.
Pérdida esperada: El valor promedio de la pérdida anual de un riesgo, obtenido de la distribución completa y no de un solo escenario.; Dónde se confunde
El promedio es el peor resumen de una distribución con cola larga. Lo que decide un presupuesto no es la pérdida esperada sino el percentil alto: cuánto se pierde en el mal año.
Perfilamiento de datosdata profiling: Examinar un conjunto de datos para describir su estructura, sus valores y sus anomalías antes de confiar en él.; Dónde se confunde
No es limpieza. Es el diagnóstico que dice si vale la pena limpiar y qué.
Plazo de recuperaciónpayback: Cuánto tarda la inversión en devolverse, sin descontar.; Dónde se confunde
Es el número que los comités entienden más rápido y el que peor mide: ignora todo lo que pasa después de la fecha de recuperación.
Política: La norma interna que fija qué se debe y qué no se puede hacer con el dato, quién la aprueba y qué pasa cuando se incumple.; Dónde se confunde
Una norma que se puede incumplir sin costo no es una norma: es una sugerencia bien redactada. Si en dos años tres áreas la incumplieron sin consecuencia, la organización ya aprendió que es opcional.; Ver también
Portafolio de datos: El conjunto de iniciativas de datos vivas, ordenadas por criterios explícitos y limitadas por la capacidad real.; Dónde se confunde
Una lista de veinte iniciativas todas marcadas como prioritarias no es un portafolio: es una lista de deseos con formato de plan. Una priorización en la que nadie queda insatisfecho no fue una priorización.; Ver también
Procedencia: La regla del curso: toda cifra llega marcada como verificada —con fuente consultable— o como supuesto, con quién lo asume y qué observación lo dejaría en falso.; Dónde se confunde
No es rigor académico por deporte. Es lo que separa un análisis que sobrevive una pregunta incómoda de uno que se cae con un «¿de dónde sacaste eso?».
Producto de datos: Un conjunto de datos tratado como producto: tiene dueño, usuarios conocidos, documentación, versiones y un compromiso de servicio.; Dónde se confunde
No es una tabla con documentación. Si nadie responde por su disponibilidad ante un usuario que se puede quejar, es una tabla.
RAG: Recuperación aumentada: el modelo consulta una base documental propia antes de responder, en vez de depender solo de lo que aprendió.; Dónde se confunde
No elimina la necesidad de gobernar el dato: la traslada. Si el repositorio tiene documentos desactualizados o a los que el usuario no debería acceder, el sistema los va a servir con toda confianza.
RBAC, ABAC y PBAC: Tres formas de decidir quién entra: por rol, por atributos del usuario y del recurso, o por políticas evaluadas en contexto.; Dónde se confunde
RBAC se degrada solo: los roles se multiplican hasta que hay cuatrocientos roles para trescientas personas, y entonces nadie sabe qué concede cada uno.
Reglamento europeo de IAEU AI Act: Regulación de la Unión Europea con enfoque por niveles de riesgo. Las prácticas prohibidas rigen desde febrero de 2025; las obligaciones de modelos de propósito general y el régimen sancionatorio desde agosto de 2025; las de transparencia del artículo 50, desde el 2 de agosto de 2026. El alto riesgo del Anexo III se aplazó a diciembre de 2027.; Dónde se confunde
No aplica solo a quien desarrolla. Alcanza también a quien despliega un sistema de IA en su actividad profesional, que es la mayoría de las organizaciones.; Ver también
Rendición de cuentasaccountability: La obligación de responder por una decisión ante alguien, con consecuencia.; Dónde se confunde
No es responsabilidad. Se puede repartir la responsabilidad entre cinco áreas; la rendición de cuentas recae sobre una persona o no existe.
Reporte de brechas: La obligación de informar un incidente que comprometa datos personales. En Colombia, a la autoridad, dentro de los quince días hábiles que fija la Circular Única de la SIC. Bajo el GDPR, a la autoridad en 72 horas corridas y al interesado si hay alto riesgo.; Dónde se confunde
En Colombia notificar a los titulares afectados no es obligatorio: es buena práctica del principio de responsabilidad demostrada. Quien opera en ambos regímenes necesita dos protocolos, no uno.
Retención y disposición: La decisión de cuánto tiempo se conserva cada tipo de dato y el procedimiento que efectivamente lo elimina cuando vence, incluidos los respaldos y los proveedores.; Dónde se confunde
Guardar es barato hasta el día en que deja de serlo. La base histórica que ya no sirve para operar, que nadie clasificó porque nadie la miraba y que sigue completa, es el activo que más aparece en los incidentes recientes.
Riesgo: La combinación de qué tan probable es que ocurra algo y cuánto costaría si ocurre.; Dónde se confunde
Decir «riesgo alto» no es decir nada: no permite comparar, ni presupuestar, ni decidir si el control cuesta menos que el daño que evita.; Ver también
Riesgo de terceros: La exposición que entra por proveedores, contratistas y servicios externos con acceso a datos o sistemas.; Dónde se confunde
El perímetro de una organización incluye a sus terceros. La debida diligencia que se hace una vez al firmar y no se repite es la que convierte al proveedor seguro de hace tres años en el incidente de este año.
Sesgo algorítmico: El comportamiento sistemáticamente distinto de un modelo frente a grupos distintos de personas, casi siempre heredado de los datos de entrenamiento.; Dónde se confunde
No se corrige quitando la variable sensible. Los sustitutos —barrio, colegio, nombre— la reconstruyen, y el modelo queda igual de sesgado pero más difícil de auditar.
Simulación de Monte Carlo: Correr miles de veces un modelo con supuestos inciertos para obtener la distribución de resultados posibles.; Dónde se confunde
Un modelo de riesgo que cambia de respuesta en cada corrida no se puede auditar. Con semilla fija, los mismos supuestos devuelven siempre el mismo resultado, y la discusión vuelve a ser sobre los supuestos.
Sistema de alto riesgo: En el reglamento europeo, el sistema de IA usado en contextos como empleo, educación, crédito, servicios esenciales o justicia, sujeto a obligaciones reforzadas.; Dónde se confunde
La clasificación no depende de la técnica ni del tamaño del modelo, sino del uso. El mismo modelo puede ser de riesgo mínimo en una aplicación y de alto riesgo en otra.
Titular, responsable y encargado: El titular es la persona de quien son los datos; el responsable decide para qué se tratan; el encargado los trata por cuenta del responsable.; Dónde se confunde
Contratar a un tercero no traslada la responsabilidad. Ante la autoridad y ante el titular sigue respondiendo quien decidió el tratamiento.
Uso real: La proporción de las decisiones donde el dato efectivamente se consulta, frente a todas las que podría informar.; Dónde se confunde
No es lo mismo que disponibilidad ni que calidad. Un dato impecable consultado en el 10% de las decisiones vale una décima parte de lo que su ficha técnica promete.
Valor presente netoVPN: La suma de los flujos futuros de una inversión, descontados a una tasa, menos lo que cuesta hoy.; Dónde se confunde
Un VPN positivo no vuelve buena una iniciativa: solo traduce sus supuestos a un número comparable con las otras solicitudes de la mesa. La discusión sigue siendo sobre los supuestos.
Valoración de informacióninfonomics: Ponerle un número al valor de un activo de datos. Tres enfoques: costo (cuánto costaría reponerlo), mercado (cuánto paga alguien por uno comparable) y económico (cuánto mejora el resultado de las decisiones que habilita).; Dónde se confunde
Los tres no convergen, y esa divergencia no es un error de cálculo: cada uno responde una pregunta distinta. Antes de citar una cifra de valor hay que decir cuál de las tres se está respondiendo.; Ver también

Cómo usarlo

No sirve estudiarlo de corrido. Sirve tenerlo abierto mientras se lee una sesión, y sobre todo cuando alguien use uno de estos términos en una reunión: la pregunta que hay que hacerse no es «¿qué significa?» sino «¿está usándolo en el sentido que resiste una pregunta incómoda?».

Si aparece en clase una palabra que no está aquí, tráigala. El glosario crece con lo que se pregunta, no con lo que se me ocurra agregar.