Lo que cambió afuera mientras estudiábamos adentro

Por qué le importa a un gerente

El artículo 50 es la parte del reglamento que casi nadie leyó y la que toca a casi todo el mundo: un chatbot de servicio al cliente, una pieza de marketing generada, un filtro de hojas de vida. No exige un sistema de gestión de riesgos ni un organismo notificado; exige una etiqueta y un aviso. Es la obligación más barata de cumplir y la más visible de incumplir.

Por qué le importa a un gerente

El caso separa dos cosas que en las juntas se confunden: contener el cifrado no es contener la brecha. El control funcionó contra el ransomware y aun así hubo exfiltración, extorsión y un problema de datos personales. La pregunta de gobernanza no es "¿nos cifraron?" sino "¿qué había en esa carpeta de la nube, quién la clasificó y quién autorizó ese acceso?".

Por qué le importa a un gerente

Una base histórica es el activo más olvidado del inventario: ya no sirve para operar, nadie la mira, nadie la clasifica y casi siempre sigue completa. La pregunta que este caso deja sobre la mesa es de retención, no de firewall: ¿por qué seguía existiendo ese dato, y por qué lo custodiaba un tercero?

Por qué le importa a un gerente

Un gerente de datos gana quince meses para los sistemas de alto riesgo y ni un día para avisarle al usuario que está hablando con una máquina. Las multas ya son exigibles: hasta 35 M€ o 7% de la facturación global.

Por qué le importa a un gerente

Aquí hay dos lecciones y la segunda es la que se les olvida. La primera: un caso de negocio construido sobre una sanción hipotética se cae cuando la sanción no llega. La segunda: en Colombia el régimen de datos personales es ley estatutaria, y por eso tiene que aprobarse en una sola legislatura. Cualquier reforma que no alcance ese ritmo se archiva y hay que volver a empezar. Quien planee un programa de cumplimiento a tres años debería contar con que este intento vuelve.

Por qué le importa a un gerente

Durante una década la respuesta corporativa al riesgo fue capacitar al usuario. Si el vector dominante ya no es la persona sino el parche que nadie aplicó, el presupuesto de seguridad estaba resolviendo el problema del año pasado.

Por qué le importa a un gerente

Los dos casos comparten la misma lección incómoda: el perímetro de la organización incluye a sus terceros. El riesgo de cadena de suministro es la razón por la que el NIST CSF 2.0 lo elevó a la función GOVERN.

Por qué le importa a un gerente

Es la cifra que todo comité cita y casi nadie interroga. El promedio global cayó porque las organizaciones detectan más rápido, no porque haya menos ataques: la variable de decisión es el tiempo de contención, y esa sí se puede presupuestar.

Por qué le importa a un gerente

Al construir un marco de gobernanza hoy se cita el DMBOK2 revisado. Dos errores frecuentes: citar la 3.0 como si existiera, y presentar la revisión de 2024 como si hubiera incorporado gobernanza de IA — no lo hizo. Para gobernar sistemas de IA hay que ir a NIST AI RMF, ISO/IEC 42001 y el EU AI Act; el DMBOK aporta la capa de abajo, quién responde por los datos.

Por qué le importa a un gerente

Ninguna de esas cifras es comparable con las otras: cada proveedor define "intento de ataque" a su manera y mide sobre su propia telemetría. Un gerente que lleve una de ellas a la junta sin decir quién midió y cómo, está haciendo exactamente lo que este curso enseña a no hacer. La cifra no es el dato; la metodología lo es.

Por qué le importa a un gerente

Cuando una organización sufre un incidente, la primera pregunta operativa es a quién se llama. En Colombia la respuesta depende de si el ataque se considera delito, incidente o asunto de defensa nacional — y esa clasificación la hace, en la práctica, la propia víctima.

Por qué le importa a un gerente

Es la cifra que convierte la gobernanza de un gasto administrativo en un prerrequisito de la inversión que la junta ya aprobó. Nadie firma un presupuesto para "mejorar la calidad de los datos"; casi todos firman uno para no perder seis de cada diez pesos puestos en IA.

Por qué le importa a un gerente

Una política CONPES orienta el gasto público y señala hacia dónde irá la regulación, pero no crea obligaciones exigibles para una empresa. Confundir las dos cosas es el error más común en los comités de ética de IA colombianos.

Por qué le importa a un gerente

Quien opera datos en varios países de la región enfrenta cuatro regímenes distintos y en movimiento simultáneo. La transferencia transfronteriza deja de ser un trámite y pasa a ser una decisión de arquitectura.

Por qué le importa a un gerente

No hace falta una ley de IA para que la IA quede regulada. Cualquier autoridad de datos personales con un artículo de decisiones automatizadas ya tiene competencia sobre los modelos. Colombia tiene ese artículo.

Por qué le importa a un gerente

Es el puente explícito entre ciberseguridad y gobernanza de datos: obliga a que la dirección, y no el área técnica, defina y supervise el apetito de riesgo.

Por qué le importa a un gerente

Un marco voluntario como el NIST AI RMF da lenguaje; una norma certificable da un papel que se le muestra al cliente, al auditor y al regulador. La diferencia entre ambos es exactamente la diferencia entre tener criterio y poder demostrarlo.

Por qué le importa a un gerente

Quien opera en ambos regímenes necesita dos protocolos, no uno: en Colombia el reloj corre en días hábiles y solo hacia la autoridad; en la Unión Europea corre en horas corridas y además hacia las personas. El gerente acostumbrado al ritmo colombiano incumple el GDPR sin darse cuenta.