Los directivos no necesitan convertirse en ingenieros de modelos, pero sí deben formular siete preguntas que revelan responsabilidad, datos, autoridad, pruebas, fallos, economía y condiciones de salida. El objetivo no es sembrar miedo ni tender trampas; es combinar curiosidad con rendición de cuentas. Bien utilizadas, estas preguntas convierten riesgos abstractos de IA en realidades operativas que el consejo puede entender y sobre las que el equipo puede actuar.
Responsabilidad y linaje de los datos
La primera pregunta se refiere a la responsabilidad: «¿Quién responde del caso de uso y qué derechos tenemos sobre sus entradas y salidas?». Una respuesta sólida nombra al responsable de negocio, traza las fuentes de datos importantes e identifica las cuestiones contractuales, de privacidad, derechos de autor y conservación que necesitan revisión jurídica.
Las respuestas débiles ofrecen promesas vagas de «cumplimiento» sin especificar qué contratos rigen el flujo de datos. A menudo no distinguen los datos internos de entrenamiento de las entradas externas y dejan a la dirección sin visibilidad sobre posibles responsabilidades por infracciones de derechos de autor o de privacidad. Según el marco de gestión de riesgos para IA generativa de NIST, el gobierno debe incluir un mapa claro de las fuentes de datos y los usos previstos para asegurar la rendición de cuentas durante todo el ciclo de vida.
Estas preguntas conectan la responsabilidad empresarial sobre el riesgo de ciberseguridad, la necesidad del consejo de disponer de información de ciberseguridad apta para decidir y los controles del gobierno mínimo viable de IA.
Autoridad y supervisión humana
La segunda pregunta aborda la autoridad: «¿Dónde termina la decisión autónoma y dónde empieza la supervisión humana?». En las aplicaciones agénticas, la frontera entre ayudar con una herramienta y actuar de forma independiente se está desdibujando. Una respuesta sólida define umbrales concretos para la intervención humana según el nivel de riesgo, por ejemplo en operaciones financieras o interacciones con clientes. Aclara quién tiene el veto final y qué activa esa anulación.
Una respuesta débil describe el sistema de IA como una caja negra que se limita a «hacer su trabajo», sin definir su autoridad. Un agente que puede aprobar un pago o cambiar la configuración de un sistema tiene un perfil de riesgo distinto al que redacta una recomendación. El trabajo de OWASP sobre amenazas en aplicaciones agénticas destaca los riesgos de identidad y abuso de herramientas. La dirección debe preguntar qué acciones necesitan aprobación, cuáles son reversibles y qué límites se aplican a la ejecución autónoma.
Pruebas y verificación
La tercera pregunta trata sobre las pruebas: «¿Qué evidencias nos dicen que el resultado es lo bastante bueno para esta decisión?». Una respuesta sólida define comprobaciones y revisiones apropiadas para el caso de uso: contrastar con un sistema de referencia, tomar muestras para que las revise una persona cualificada, basar el resultado en fuentes aprobadas o bloquear una acción cuando la confianza no sea suficiente.
Las respuestas débiles se apoyan en la reputación del modelo o en una cifra genérica de precisión sin conectarla con la decisión real. El nivel de garantía necesario debe crecer con las consecuencias de un mal resultado. Un asistente para generar ideas y una decisión automatizada sobre elegibilidad no deberían compartir la misma ruta de verificación.
Modos de fallo y resiliencia
La cuarta pregunta se centra en el fallo: «¿Qué ocurre cuando falla el modelo y quién responde de la recuperación?». Todo sistema tiene casos límite en los que el rendimiento se degrada de manera inesperada. Una respuesta sólida detalla el plan de respuesta a incidentes, incluidos los procedimientos de reversión, los mecanismos alternativos y canales de comunicación claros para los usuarios afectados. También asigna roles concretos para gestionar la crisis durante un fallo de IA.
Una respuesta débil supone que el sistema siempre se comportará según lo previsto o carga toda la responsabilidad sobre el usuario. Resiliencia significa identificar qué fallos deben detener la función de IA, cuáles deben derivarse a un proceso manual y cuáles permiten una degradación segura mientras siguen funcionando las operaciones esenciales del negocio.
Impacto económico y control de costes
La quinta pregunta examina la economía: «¿Cuál es el coste real del fracaso frente al coste del éxito?». La dirección debe entender las consecuencias financieras tanto de automatizar en exceso como de rendir por debajo de lo esperado. Una respuesta sólida desglosa el coste de la indisponibilidad, las sanciones regulatorias y la erosión de marca frente al valor que genera la eficiencia de la IA. Evita considerar la IA exclusivamente como centro de costes o como gasto sin límite.
Las respuestas débiles presentan previsiones optimistas que ignoran posibles responsabilidades o no tienen en cuenta los rendimientos decrecientes de escalar modelos sin mejorar a la vez la calidad de los datos. La economía de la tecnología exige una visión realista: el cálculo del ROI debe incluir costes ocultos como mantenimiento, supervisión y corrección.
Condiciones de salida y dependencia del proveedor
La sexta pregunta se ocupa de la salida: «¿Qué nos haría detenernos y cómo saldríamos?». Una respuesta sólida define los desencadenantes para interrumpir el sistema y explica cómo se trasladarían o retirarían los datos, prompts, evaluaciones, flujos de trabajo y procesos dependientes. La salida puede costar tiempo y dinero; fingir que es instantánea no es señal de madurez.
Las respuestas débiles expresan una lealtad profunda a un único proveedor o dan por hecho que cambiar resulta prohibitivo. Esa mentalidad contradice la agilidad y la resiliencia. Poder abandonar una herramienta de forma ordenada demuestra una gestión de riesgos madura y permite que las decisiones estratégicas sigan siendo válidas aunque cambie la tecnología subyacente.
Mejora continua y métricas
La última pregunta mira hacia delante: «¿Qué métricas seguiremos para demostrar que el sistema mejora con el tiempo?». Sin un progreso medible no se puede saber si una iniciativa de IA aporta valor o acumula deuda oculta. Una respuesta sólida especifica indicadores clave relacionados con precisión, latencia, incidentes de seguridad y satisfacción del usuario. Y los vincula directamente a resultados de negocio, no a métricas técnicas de vanidad.
Las respuestas débiles se refugian en ideas vagas de «innovación» sin datos cuantificables. Así es difícil que el consejo evalúe el progreso o exija responsabilidades a los equipos. La mejora continua necesita un ciclo de feedback en el que se analicen los fallos, se aprendan las lecciones y se itere sobre los modelos con pruebas rigurosas.
Un plan de acción para una sola reunión
Para llevar estas preguntas a la práctica, elija un caso de uso de IA de alto impacto que esté en producción o en planificación. Incluya cada pregunta en la agenda y pida a los responsables que aporten pruebas procedentes de contratos, arquitectura, registros, evaluaciones, planes de incidentes o análisis financieros, no solo opiniones.
La reunión debe terminar con una única decisión: avanzar con controles reforzados, pausar el desarrollo hasta reducir los riesgos o cerrar el piloto. Así la conversación pasa del debate teórico a la ejecución práctica. Al anclarla en estas siete preguntas, el equipo se asegura de que cada proyecto de IA parta de una base de claridad, responsabilidad y resiliencia.
Repita la revisión cuando cambien de forma sustancial el modelo, los datos, las herramientas, la autoridad, el proveedor o el uso de negocio. Las siete preguntas no son un formulario de aprobación que se rellena una sola vez. Son una forma compacta de mantener la responsabilidad y las pruebas unidas a un sistema que no deja de moverse.
