La gobernanza de inteligencia artificial no es un trámite reservado para grandes empresas. Una mipyme uruguaya que usa ChatGPT, Copilot, Gemini, automatizaciones o funciones de IA dentro de su software ya toma decisiones sobre datos, proveedores, calidad y responsabilidad. Si esas decisiones quedan dispersas entre cuentas personales y prácticas informales, el riesgo crece aunque la tecnología parezca sencilla.
Uruguay está fortaleciendo su conversación sobre IA responsable. La Estrategia Nacional de Inteligencia Artificial 2024-2030 incluye principios de desarrollo y uso ético, seguro, responsable y favorable a la innovación. En 2026, el LATU se incorporó a la ejecución de una nueva edición de Train the Trainers, una iniciativa para formar asesores que acompañen a mipymes y startups. UNESCO también informó un programa de ética y gobernanza de IA dirigido a empresas, instituciones y profesionales.
Estas iniciativas no significan que cada pequeña empresa deba crear un comité complejo ni que todos los principios públicos sean obligaciones legales idénticas para cualquier negocio. Sí muestran una dirección: adoptar IA con competitividad exige saber dónde se usa, qué información procesa, quién revisa sus resultados y qué hacer cuando falla.
Qué es la gobernanza de IA y por qué importa a una mipyme
La gobernanza de IA es el conjunto de decisiones, responsabilidades y controles que orientan cómo una organización elige, usa y supervisa sistemas de inteligencia artificial. En una mipyme puede caber en una política breve, un inventario y una rutina mensual. Lo importante es que sea aplicable.
Una gobernanza mínima debería responder siete preguntas:
- ¿Qué herramientas y funciones de IA utiliza la empresa?
- ¿Para qué procesos y decisiones se usan?
- ¿Qué datos reciben y dónde pueden almacenarse?
- ¿Qué riesgos tiene cada caso?
- ¿Quién revisa y aprueba el resultado?
- ¿Cómo se evalúa al proveedor?
- ¿Cómo se informa y corrige un incidente?
El objetivo no es frenar cada prueba. Es permitir experimentos controlados, evitar usos claramente inadecuados y aprender antes de escalar.
Señales de que tu empresa ya necesita reglas
- Personas del equipo copian documentos de clientes en cuentas personales de IA.
- Se publican textos o imágenes generados sin revisión.
- Una automatización envía mensajes o modifica registros sin aprobación.
- Nadie sabe qué términos aceptó al abrir una cuenta.
- Se usan respuestas de IA para seleccionar candidatos, evaluar personas o negar servicios.
- Un proveedor afirma que su producto “usa IA”, pero no explica datos, controles ni límites.
- La empresa no podría reconstruir cómo se produjo una recomendación importante.
Estas señales no prueban que exista un daño. Indican que falta trazabilidad y que una falla podría ser difícil de detectar o corregir.
Paso 1: crea un inventario de usos y herramientas
No empieces con una política de veinte páginas. Empieza por saber qué ocurre hoy. Reúne a representantes de administración, ventas, marketing, operaciones, tecnología y Recursos Humanos. Pregunta qué herramientas usan, para qué tareas, con qué datos y qué resultado generan.
| Campo | Ejemplo | Por qué importa |
|---|---|---|
| Herramienta | Asistente generativo incluido en suite de oficina | Permite identificar proveedor y condiciones. |
| Proceso | Borrador de propuestas comerciales | Ubica el uso dentro del negocio. |
| Datos | Descripción de servicio sin información de clientes | Ayuda a evaluar privacidad y confidencialidad. |
| Resultado | Primera versión revisada por ejecutivo | Define el nivel de supervisión. |
| Responsable | Líder comercial | Evita que la decisión quede sin dueño. |
| Frecuencia | Semanal | Ayuda a priorizar controles. |
Incluye funciones de IA integradas en plataformas existentes. Muchas empresas no compran un “sistema de inteligencia artificial” como producto separado: la capacidad aparece en el CRM, el correo, la edición de imágenes o la analítica.
Paso 2: clasifica los casos por riesgo
No todos los usos necesitan el mismo control. Un borrador interno con datos ficticios no equivale a una recomendación que afecta a una persona. Una matriz simple de impacto y posibilidad de daño permite concentrar atención.
| Nivel | Ejemplos | Control mínimo |
|---|---|---|
| Bajo | Ideas para una agenda, esquema de documento o texto con información pública. | Revisión de la persona que lo utiliza. |
| Medio | Contenido externo, resumen de reuniones, clasificación de consultas o análisis operativo. | Fuente identificada, verificación, aprobación y registro básico. |
| Alto | Decisiones sobre empleo, crédito, salud, seguridad, datos sensibles o derechos. | Evaluación formal, responsable designado, controles reforzados y revisión humana significativa. |
| No permitido | Compartir credenciales, secretos comerciales o datos personales sin base y autorización. | Bloqueo del uso y canal para pedir una alternativa segura. |
La categoría depende del contexto. Redactar un correo puede ser de bajo riesgo si usa información general, pero sube de nivel si contiene datos de salud o una decisión disciplinaria. Documenta el criterio y revísalo cuando cambie el proceso.
Paso 3: protege datos y confidencialidad
Antes de ingresar información en una herramienta, pregunta si es necesaria. Muchas tareas pueden probarse con datos ficticios, anonimizados o reducidos. Evita cargar documentos completos cuando basta un fragmento sin identificadores.
Una regla inicial puede separar la información en tres grupos:
- Permitida: contenido público, ejemplos ficticios y materiales aprobados.
- Condicionada: información interna que solo puede usarse en herramientas autorizadas y bajo controles definidos.
- Prohibida: contraseñas, tokens, datos bancarios, información médica, datos de menores, secretos comerciales o datos personales innecesarios.
Revisa las obligaciones que correspondan en Uruguay, incluidos protección de datos personales, contratos, confidencialidad, propiedad intelectual y normas sectoriales. Una guía editorial no sustituye asesoría jurídica ni evaluación técnica.
Paso 4: evalúa proveedores y condiciones
No elijas una herramienta solo porque ofrece una demostración atractiva. Solicita información comprensible y proporcional al riesgo.
- ¿Qué datos recibe y para qué los utiliza?
- ¿Usa el contenido para entrenar o mejorar modelos?
- ¿Dónde se almacena la información y durante cuánto tiempo?
- ¿Qué controles de acceso y seguridad ofrece?
- ¿Permite eliminar o exportar datos?
- ¿Qué terceros participan en el servicio?
- ¿Cómo informa cambios, incidentes o interrupciones?
- ¿Qué opciones existen para una cuenta empresarial?
- ¿Qué ocurre si la empresa deja de utilizar la plataforma?
Para un caso de bajo riesgo puede bastar una revisión breve. Para procesos críticos, involucra asesoría técnica y legal. Conserva la versión de los términos revisados y la fecha de la decisión.
Paso 5: define supervisión humana real
“Hay una persona revisando” no es suficiente si esa persona no tiene tiempo, criterio o autoridad para cambiar el resultado. La supervisión debe indicar qué se verifica, con qué fuente y cuándo se detiene el proceso.
| Resultado de IA | Revisión humana útil |
|---|---|
| Borrador de contenido | Comprobar hechos, marca, derechos de uso, sesgos y promesa comercial. |
| Resumen de documento | Contrastar con la fuente y verificar excepciones, cifras y fechas. |
| Clasificación de consultas | Revisar muestras, errores de prioridad y mecanismo de escalamiento. |
| Recomendación sobre personas | No delegar la decisión; revisar criterios, evidencia, impacto y posibilidad de corrección. |
| Automatización operativa | Probar permisos, excepciones, registro y reversión antes de activar. |
La persona responsable debe poder decir “no”, corregir el resultado y documentar por qué. Si solo confirma automáticamente lo que produce el sistema, no existe una revisión significativa.
Paso 6: asigna responsabilidades sin crear burocracia
Una mipyme puede distribuir funciones entre roles existentes:
- Dirección: aprueba el nivel de riesgo aceptable y asigna recursos.
- Dueño del proceso: explica la necesidad, valida el resultado y mide impacto.
- Responsable de tecnología o proveedor: revisa integración, acceso, seguridad y continuidad.
- Responsable de datos o administración: verifica calidad, permisos y conservación.
- Personas y formación: prepara al equipo, recoge dudas y comprueba que las reglas se comprendan.
- Asesoría especializada: interviene cuando el riesgo jurídico, técnico o sectorial lo exige.
Un AI Officer o comité puede ser útil en organizaciones con muchos sistemas o decisiones sensibles. No debe convertirse en un título sin autoridad. Para una empresa pequeña, puede funcionar una reunión mensual de treinta minutos con responsables claros y un registro de decisiones.
Paso 7: redacta una política de una página
La primera versión debe ser breve y accionable. Incluye:
- propósito y alcance;
- herramientas autorizadas;
- usos permitidos, condicionados y prohibidos;
- reglas de datos y confidencialidad;
- obligación de verificar resultados;
- procesos que requieren aprobación;
- canal para dudas e incidentes;
- fecha de revisión y responsable.
No copies una política extranjera sin adaptarla. Los controles deben corresponder a las tareas, datos, contratos y capacidades reales de la empresa.
Plan de 30 días para implementar gobernanza mínima
| Semana | Acciones | Resultado |
|---|---|---|
| 1 | Relevar herramientas, procesos, datos y responsables. | Inventario inicial. |
| 2 | Clasificar riesgos y detener usos claramente inadecuados. | Matriz priorizada. |
| 3 | Elegir un piloto, revisar proveedor y definir controles. | Ficha del caso y política breve. |
| 4 | Capacitar, ejecutar pruebas, registrar errores y decidir. | Piloto evaluado y plan de mejora. |
Elige un proceso acotado, reversible y medible. Por ejemplo, estructurar borradores de propuestas sin datos de clientes o clasificar consultas ficticias. Evita comenzar con decisiones sobre personas o información sensible.
Cómo medir valor sin ignorar el riesgo
Medir solo tiempo ahorrado puede incentivar resultados rápidos pero incorrectos. Combina productividad, calidad, adopción y seguridad.
- tiempo por tarea antes y después;
- porcentaje de resultados que requieren corrección;
- errores relevantes detectados;
- casos escalados a una persona;
- personas capacitadas que pueden explicar el procedimiento;
- incidentes, accesos indebidos o datos compartidos incorrectamente;
- uso real de la mejora después del piloto.
No inventes ahorros. Registra una línea base y compara durante un período suficiente. Si aumenta la velocidad pero también el retrabajo, la implementación necesita ajustes.
Qué hacer ante un incidente
Define un canal simple para reportar que se compartió información incorrecta, apareció una respuesta discriminatoria, se envió contenido sin aprobar o una automatización ejecutó una acción indebida. La reacción inicial debería incluir:
- detener o limitar el uso afectado;
- conservar evidencia sin exponer más datos;
- identificar personas, sistemas e información involucrados;
- avisar a responsables internos y especialistas cuando corresponda;
- corregir el impacto posible;
- actualizar controles, capacitación y documentación.
Una cultura que castiga automáticamente a quien reporta un error incentiva el silencio. La responsabilidad exige distinguir entre una falla informada de buena fe y una conducta que ignoró reglas conocidas.
Conclusión: gobernar para poder innovar con confianza
La gobernanza de inteligencia artificial para mipymes en Uruguay puede empezar de forma sencilla: inventario, clasificación de riesgos, reglas de datos, revisión humana, responsables y aprendizaje de incidentes. La sofisticación debe crecer con el impacto del uso, no con la moda.
Si tu empresa necesita formar equipos por rol, acompañar la adopción de IA y convertir las reglas en habilidades aplicables, conoce G-Talent HR. El siguiente paso útil no es acumular herramientas, sino construir una capacidad compartida para usarlas con productividad, criterio y responsabilidad.
