Gobernar la inteligencia artificial
NIST AI RMF, ISO/IEC 42001 y el enfoque por niveles de riesgo del EU AI Act
¿Se gobierna el modelo, el dato o la decisión?
- secciones
- 1
- interactivos
- 1
- preguntas de cierre
- 4
Al terminar, usted podrá
- 1Clasificar un sistema de IA según niveles de riesgo y derivar las obligaciones que le corresponden.
- 2Situar el NIST AI RMF y la norma ISO/IEC 42001 como sistema de gestión auditable.
- 3Construir el inventario de modelos como pieza central: no se gobierna lo que no se ha inventariado.
El objeto que se resiste a ser gobernado
Toda la maquinaria de gobernanza que se estudió hasta aquí presupone un objeto estable: una tabla tiene un esquema, un esquema tiene un dueño, un dueño responde. Un modelo de lenguaje no tiene esquema. Su comportamiento cambia con el prompt, con la temperatura, con la versión que el proveedor desplegó anoche sin avisar. La organización responde legalmente por decisiones que no puede reproducir.
La respuesta regulatoria dominante fue no intentar gobernar el modelo, sino el uso. El mismo modelo es de riesgo mínimo si resume actas y de riesgo alto si filtra hojas de vida. La obligación no viaja con la tecnología: viaja con el contexto de aplicación. Eso desplaza la carga hacia donde ustedes van a trabajar: el inventario de casos de uso.
Triage de riesgo · enfoque del EU AI Act
La obligación no viaja con la tecnología. Viaja con el uso. El mismo modelo cambia de nivel según sobre quién decide.
Pregunta 1 de 3
¿El sistema manipula el comportamiento mediante técnicas subliminales, explota vulnerabilidades de un grupo, hace puntuación social de personas, o realiza identificación biométrica remota en tiempo real en espacios públicos para aplicación de la ley?
Este es el umbral de lo inadmisible. Si la respuesta es sí, no hay conversación de mitigación que valga.
Herramienta pedagógica, no asesoría legal. Las fechas provienen del Radar de coyuntura del curso y se citan con fuente. El calendario del reglamento fue modificado y puede volver a serlo.
Coyuntura de esta sesión
Hechos verificados que tocan directamente lo que se discute aquí.
El EU AI Act aplaza el alto riesgo, pero no la transparencia
Un gerente de datos gana quince meses para los sistemas de alto riesgo y ni un día para avisarle al usuario que está hablando con una máquina. Las multas ya son exigibles: hasta 35 M€ o 7% de la facturación global.
Consejo de la UE y Comisión Europea (marco regulatorio de IA) →El 2 de agosto de 2026 hay que avisar que la máquina es una máquina
El artículo 50 es la parte del reglamento que casi nadie leyó y la que toca a casi todo el mundo: un chatbot de servicio al cliente, una pieza de marketing generada, un filtro de hojas de vida. No exige un sistema de gestión de riesgos ni un organismo notificado; exige una etiqueta y un aviso. Es la obligación más barata de cumplir y la más visible de incumplir.
Comisión Europea — marco regulatorio de IA (Reglamento UE 2024/1689, art. 50) →CONPES 4144: Colombia tiene política de IA, no ley de IA
Una política CONPES orienta el gasto público y señala hacia dónde irá la regulación, pero no crea obligaciones exigibles para una empresa. Confundir las dos cosas es el error más común en los comités de ética de IA colombianos.
DNP — CONPES 4144 →ISO/IEC 42001: la gobernanza de IA ya se puede certificar
Un marco voluntario como el NIST AI RMF da lenguaje; una norma certificable da un papel que se le muestra al cliente, al auditor y al regulador. La diferencia entre ambos es exactamente la diferencia entre tener criterio y poder demostrarlo.
ISO →Brasil regula la IA por la puerta de los datos personales
No hace falta una ley de IA para que la IA quede regulada. Cualquier autoridad de datos personales con un artículo de decisiones automatizadas ya tiene competencia sobre los modelos. Colombia tiene ese artículo.
Senado Federal de Brasil →Quiz · Semana 13
Gobernar lo que no se puede explicar
Cuatro preguntas sobre gobernanza de IA.
- 1
Una empresa usa el mismo modelo de lenguaje para (a) resumir actas de reuniones internas y (b) preseleccionar hojas de vida. Bajo el enfoque por niveles de riesgo del EU AI Act:
- 2
Como las obligaciones de alto riesgo del EU AI Act se aplazaron a diciembre de 2027, una empresa que despliega un chatbot de atención al público en 2026 no tiene obligaciones bajo el reglamento.
- 3
¿Cuál es la diferencia práctica entre el NIST AI RMF y la norma ISO/IEC 42001?
- 4
Colombia no ha aprobado una ley de inteligencia artificial. ¿Significa que los sistemas de IA que deciden sobre personas no están regulados en el país?
Para leer
- Marco
- Norma
ISO/IEC 42001 — AI management systems
ISO