A intelixencia artificial está deixando de ser só unha ferramenta de consulta. Cada vez aparece máis integrada en procesos internos, servizos dixitais, operacións técnicas e fluxos de traballo corporativos. Moitas entidades comezaron a utilizala para tarefas acoutadas, como xerar textos, resumir documentos, clasificar información, preparar borradores ou apoiar consultas internas. Ese primeiro uso xa presentaba riscos, aínda que o escenario actual é máis esixente.
O cambio relevante prodúcese cando a IA deixa de limitarse a responder e comeza a actuar. Unha solución pode consultar datos, invocar ferramentas, priorizar incidencias, preparar comunicacións, modificar configuracións, iniciar fluxos de aprobación ou apoiar decisións con impacto operativo, económico, xurídico ou reputacional. Nese punto, a pregunta xa non é só se a resposta xerada é correcta. A pregunta pasa a ser se a acción resultante está autorizada, se é trazable e se pode defender ante unha auditoría, un regulador, un comité de dirección ou a propia cidadanía.
Este cambio obriga a revisar como se goberna a IA dentro dunha entidade. Os inventarios de modelos, as políticas internas, os cuestionarios de avaliación, as aprobacións previas e os rexistros documentais seguen sendo necesarios. Pero xa non abondan cando estes sistemas interveñen en procesos reais. A gobernanza debe chegar á operación, ao momento no que unha decisión pode converterse nunha consecuencia.
No ecosistema galego, esta cuestión será cada vez máis relevante para administracións públicas, entidades locais, tecido empresarial, industria, provedores TIC, pemes e servizos esenciais. A IA estase incorporando progresivamente a servizos dixitais, soporte interno, análise documental, automatización de procesos, atención ás persoas usuarias, xestión de incidencias e toma de decisións asistida. Ese avance pode achegar eficiencia e capacidade de análise, sempre que existan límites claros, controis proporcionados e responsabilidades ben definidas.
Esta cuestión pode parecer abstracta, pero deixa de selo en canto a IA se conecta a un expediente, unha caixa de entrada, unha ferramenta de soporte, unha consola de administración ou un sistema que contén datos persoais. Nese momento, a gobernanza deixa de ser unha cuestión teórica e pasa a formar parte da operación diaria.
O problema de delegar autoridade sen controis suficientes
Un dos principais retos da IA aplicada a procesos corporativos é a delegación de autoridade. Unha administración, empresa ou provedor tecnolóxico pode permitir que unha solución acceda a información, propoña decisións, interactúe con ferramentas ou execute determinadas accións. Cada unha desas capacidades debe estar asociada a un alcance concreto.
O risco non está só en que un sistema xere unha resposta errónea. O risco aumenta cando esa resposta se converte nunha acción. Pode tratarse de modificar unha configuración, enviar unha comunicación, iniciar unha transacción, priorizar unha incidencia, aceptar unha solicitude, rexeitar unha operación, activar un procedemento, consultar datos persoais ou actuar sobre un sistema crítico.
Nunha Administración pública, por exemplo, unha IA pode axudar a preparar unha resposta á cidadanía, pero non necesariamente enviala sen revisión. Pode clasificar unha solicitude, pero non resolvela por si soa. Pode detectar unha anomalía nun sistema, pero non ter autoridade para bloquear unha conta, desconectar un servizo ou modificar unha configuración. Nunha empresa, pode apoiar un proceso de compra, pero non iniciar unha obriga económica sen controis adicionais.
O problema non ten por que ser unha IA maliciosa. Pode estar en obxectivos pouco precisos, permisos excesivos, contexto insuficiente, controis débiles, ausencia dunha revisión proporcional ou falta de mecanismos para deter unha acción antes de que produza consecuencias.
A capacidade técnica e a autoridade organizativa non son o mesmo. Unha ferramenta pode consultar unha base de datos, recomendar unha acción ou automatizar unha tarefa, pero iso non implica que poida facelo para calquera finalidade nin que a entidade delegase nela a responsabilidade sobre o resultado.
A idea de fondo é sinxela. A intelixencia non equivale a autoridade. Un sistema pode tomar unha decisión sen ter dereito a tomala. Pode executar unha acción sen estar autorizado para facelo. Pode dispoñer de información sen ter unha base lexítima para utilizala nun contexto concreto.
GRC de IA e aplicación da gobernanza, o risco e o cumprimento
O goberno da intelixencia artificial non esixe abandonar todo o aprendido en materia de gobernanza, risco e cumprimento. A IA introduce novas capacidades, maior velocidade, incertezas específicas e riscos propios, pero o problema de fondo segue sendo recoñecible. As entidades necesitan alcanzar obxectivos, xestionar a incerteza e actuar con integridade.
Este enfoque adoita agruparse baixo o concepto de GRC de IA, que aplica de forma coordinada a gobernanza, a xestión do risco e o cumprimento ao ciclo de vida e á operación da intelixencia artificial. A diferenza fronte a outros ámbitos tecnolóxicos é que estes sistemas poden participar cada vez máis en decisións e accións que antes dependían de persoas, procedementos internos ou aplicacións máis previsibles.
A gobernanza da IA debe aclarar para que existe cada sistema, que obxectivo persegue, que decisións pode apoiar, que decisións pode tomar, que accións pode executar, que autoridade se lle delegou, onde remata esa autoridade, quen conserva a responsabilidade e en que situacións debe intervir unha persoa.
A xestión do risco debe centrarse na incerteza asociada a eses obxectivos e decisións. Non abonda con analizar se un modelo pode xerar información incorrecta, desviarse do seu comportamento esperado, ser manipulado ou expoñer datos. É necesario valorar o contexto completo, incluíndo o nivel de autonomía, a criticidade do proceso, o impacto potencial, os datos utilizados, as dependencias tecnolóxicas, os permisos, os controis existentes e as consecuencias dunha actuación inadecuada.
O cumprimento tampouco pode limitarse a unha comprobación formal. A IA non actúa no baleiro. Cada uso queda condicionado por normas, contratos, políticas internas, compromisos coas persoas usuarias ou clientes, requisitos de seguridade, protección de datos e criterios de responsabilidade. Unha decisión pode ser tecnicamente posible e, aínda así, non ser defendible desde o punto de vista xurídico, contractual, reputacional ou ético.
No marco europeo, esta evolución conecta con obrigas e expectativas presentes no Regulamento Europeo de Intelixencia Artificial, o RGPD, o ENS, a Directiva NIS2 e outros marcos aplicables segundo o tipo de entidade, sector e servizo. A supervisión humana, a transparencia, a seguridade, a trazabilidade, a protección de datos e a capacidade de explicar unha decisión adquiren maior peso cando a IA deixa de ser un asistente e pasa a intervir en servizos públicos, procesos internos ou actividades de negocio.
Tres capas para unha GRC de IA madura
Unha forma práctica de ordenar este modelo é pensar en tres capas complementarias. Non funcionan por separado. O seu valor está en operar como unha mesma arquitectura de goberno.
A primeira capa é o contexto de goberno. Inclúe inventarios de modelos e axentes, identificación de responsables, políticas, obxectivos, riscos, controis, avaliacións, aprobacións, fluxos de traballo, incidentes, excepcións, evidencias e responsabilidades. A súa función é establecer que debería ser certo segundo o marco definido pola entidade.
Esta base segue sendo imprescindible. Sen inventario, responsables, avaliación de riscos e políticas claras, unha entidade non pode saber que solucións utiliza nin baixo que condicións deberían operar. Pero en contornas de IA avanzada o inventario de modelos queda curto. Tamén hai que comprender os procesos nos que se integran, as ferramentas que poden invocar, os datos aos que acceden, os sistemas que poden modificar e as relacións entre distintos axentes ou compoñentes.
A segunda capa é a intelixencia continua. A súa función é comprobar que está a ocorrer realmente na contorna operativa. Os modelos actualízanse, os permisos cambian, os datos varían, as configuracións evolucionan, as API cambian e os servizos de terceiros introducen novas versións. Unha avaliación aprobada hai uns meses pode deixar de reflectir a situación actual.
Esta capa debe recoller sinais de observabilidade, avaliación do rendemento, monitorización continua de controis, telemetría de seguridade e identidade, uso de datos, evidencias de cumprimento e eventos relevantes. O seu obxectivo non é só ver que fai a IA. Tamén debe interpretar se ese comportamento segue sendo coherente cos obxectivos, límites, riscos e obrigas definidos.
A terceira capa é o control en tempo de execución. É a máis crítica cando a IA pasa de responder a actuar. Aquí xa non abonda con saber se o sistema foi aprobado ou se figura como conforme nun rexistro. O importante é determinar se unha acción concreta, nun momento concreto e baixo unhas condicións concretas, debe permitirse.
Ese control debe valorar se o axente está autorizado, se utiliza unha versión aprobada, se o obxectivo é lexítimo, se a acción entra dentro do alcance delegado, se os datos utilizados son adecuados, se os controis seguen funcionando, se existe unha excepción activa, se se superan os limiares permitidos ou se a incerteza esixe revisión humana.
A resposta non ten por que ser sempre permitir ou bloquear. En función do contexto, pode abondar con rexistrar a acción. Noutros casos será necesario limitala, solicitar evidencia adicional, reducir permisos, elevar a decisión a unha persoa, rexistrar unha excepción, atrasar a execución ou detela completamente.
Gobernar o sistema non é o mesmo que gobernar a decisión
Unha entidade pode ter realizado correctamente o traballo previo. Pode ter inventariado o sistema, asignado un responsable, avaliado os riscos, aprobado o caso de uso, definido controis, realizado probas de rendemento e despregado a solución de forma controlada. Sobre o papel, o sistema pode estar gobernado.
Iso non garante que cada decisión individual xerada por ese sistema sexa adecuada, defendible ou autorizada.
Un modelo pode funcionar segundo o deseñado e producir unha mala resposta nun caso concreto. Unha solución pode manterse dentro das súas métricas aceptadas e, aínda así, emitir unha recomendación sen evidencia suficiente. Un axente pode ter permisos lexítimos sobre unha base de datos, pero intentar utilizalos para unha finalidade non autorizada.
Por iso, a garantía da decisión vólvese esencial. Non abonda con confiar en que o sistema foi aprobado. Debe existir capacidade para avaliar se unha saída, recomendación ou acción concreta conta con evidencia suficiente, autoridade adecuada, trazabilidade e coherencia co contexto.
Este punto será especialmente importante en sectores regulados ou con decisións de alto impacto, como a Administración pública, os servizos financeiros, a sanidade, a industria, a enerxía, as telecomunicacións, a educación ou os servizos esenciais. Nestes ámbitos, a entidade deberá poder explicar non só que sistema utilizou, senón por que se tomou unha decisión concreta e baixo que controis.
Unha decisión non poderá xustificarse unicamente en que foi xerada por un modelo. Haberá que demostrar que existía unha finalidade lexítima, que os datos empregados eran adecuados, que o sistema actuou dentro dos límites autorizados e que os controis eran proporcionais ao nivel de risco.
A supervisión humana debe estar deseñada
A supervisión humana adoita mencionarse como resposta xeral aos riscos da IA. É unha medida importante, pero por si soa non garante un control efectivo.
Para que achegue valor, debe estar deseñada. Hai que definir que persoa intervén, en que momento, con que información, con que autoridade, de acordo con que criterios e dentro de que prazo. Tamén debe quedar claro que ocorre se a persoa discrepa da recomendación da IA ou se non dispón de información suficiente para decidir.
De non ser así, a supervisión humana pode converterse nunha formalidade. Unha persoa que recibe centos de aprobacións automáticas ao día e preme en aceptar para non bloquear o traballo pode estar tecnicamente dentro do proceso, pero non está a exercer unha supervisión real.
A intervención humana debería reservarse para os puntos nos que achega valor, especialmente ante decisións ambiguas, consecuencias relevantes, excepcións, limiares de risco, conflitos normativos, falta de evidencia ou situacións nas que a entidade non queira delegar completamente a autoridade nun sistema autónomo.
O obxectivo non é colocar unha persoa entre cada acción da IA e cada proceso corporativo. O obxectivo é definir unha autonomía gobernada que permita á IA achegar valor, pero dentro dunha marxe de actuación claramente establecida.
A confianza na IA debe ser dinámica
En moitas entidades fálase de IA fiable como se a confianza fose unha condición permanente obtida no momento da aprobación do sistema. Ese enfoque é insuficiente. A confianza debe ser contextual, condicional e dinámica.
Un axente pode ser fiable para resumir unha política interna, pero non para modificala. Pode ser adecuado para identificar operacións sospeitosas, pero non para bloquear contas. Pode estar autorizado a realizar compras por debaixo dun determinado limiar, pero requirir aprobación humana por riba dese límite. Tamén pode operar correctamente hoxe e deixar de ser fiable mañá se cambian os seus permisos, os seus datos, a súa configuración, o seu modelo base ou o contexto normativo.
Por iso, un modelo maduro de GRC de IA debe manter unha avaliación continua das condicións que xustifican a confianza depositada no sistema. A primeira capa define baixo que condicións se considera aceptable o seu uso. A segunda verifica se esas condicións seguen cumpríndose. A terceira decide se unha acción concreta entra dentro dos límites desa confianza.
A confianza non debería entenderse como unha certificación estática. Debe funcionar como un estado de goberno que se reavalía durante a operación. Isto resulta especialmente importante cando a IA se integra con ferramentas corporativas, sistemas de identidade, repositorios documentais, plataformas de xestión, aplicacións de negocio ou contornas cloud.
A trazabilidade debe reconstruír a decisión de principio a fin
O avance da IA autónoma tamén cambia o concepto de evidencia e trazabilidade. Tradicionalmente, unha pista de auditoría podía demostrar que unha política fora aprobada, que un control fora probado, que unha avaliación fora completada ou que unha excepción fora aceptada.
No caso da IA con capacidade de decisión ou acción, iso non abonda. Será necesario reconstruír a historia completa dunha decisión relevante. A entidade deberá poder explicar que sistema actuou, que versión utilizaba, que configuración estaba activa, que obxectivo perseguía, que datos consultou, que evidencias tivo en conta, que controis eran aplicables, que nivel de autoridade se lle delegara, se houbo revisión humana e que consecuencias se produciron despois.
Esta trazabilidade non é só un requisito técnico. É unha condición de responsabilidade. Nalgún momento, un regulador, auditor, cliente, comité de dirección ou responsable interno pode preguntar por que se tomou unha determinada decisión. A resposta terá que apoiarse en evidencias, non nunha referencia xenérica ao uso da intelixencia artificial.
Unha trazabilidade madura debería permitir reconstruír a decisión de principio a fin. Debería identificar que sistema ou axente actuou, que obxectivo perseguía, que datos utilizou, que permisos tiña, que controis se aplicaron, que validacións se realizaron, quen autorizou a consecuencia e que impacto tivo a acción. Este nivel de detalle será esencial para auditoría, cumprimento normativo, xestión de incidentes, investigación interna e rendición de contas.
Habilitar a IA sen caer no bloqueo
Unha boa gobernanza da IA non debería converterse nun obstáculo sistemático para a innovación. Se a resposta ao risco consiste unicamente en centralizar, prohibir, ralentizar ou someter calquera uso a procesos excesivamente pesados, é probable que apareza IA na sombra. Os equipos seguirán tendo obxectivos que cumprir e, se as canles oficiais non permiten avanzar, buscarán alternativas non controladas.
O obxectivo da GRC de IA non é deter a tecnoloxía, senón permitir o seu uso con garantías. Unha administración, empresa ou provedor cun inventario claro, responsables definidos, límites de autoridade, controis continuos, criterios de decisión, evidencias e mecanismos de intervención pode permitir maiores niveis de autonomía que outra entidade que só dispoña de políticas xenéricas e avaliacións puntuais.
A gobernanza non debe entenderse como un freo, senón como un habilitador. A autonomía pode ser positiva se está ben delimitada. O risco non está en que a IA actúe, senón en que o faga sen límites claros, sen contexto, sen supervisión proporcional, sen trazabilidade e sen capacidade de intervención.
Cómpre evitar dous extremos. Por unha banda, a autonomía sen control, na que os sistemas actúan sen límites claros nin mecanismos de rendición de contas. Pola outra, unha gobernanza excesivamente ríxida que impide calquera uso práctico e empurra os equipos cara a solucións non autorizadas. Entre ambos os extremos sitúase a autonomía gobernada, entendida como capacidade de actuación dentro de límites definidos e verificables.
Implicacións prácticas para as organizacións
As organizacións que xa utilizan IA ou prevén implantar sistemas máis autónomos deberían comezar por ir máis alá do inventario de ferramentas. Non abonda con saber que solucións están en uso. É necesario identificar que procesos soportan, en que decisións inflúen, que datos manexan, que accións poden executar e que terceiros participan.
Tamén deben definir dereitos de decisión. Cada sistema ou axente necesita un alcance claro de autoridade. Debe quedar determinado que pode facer, que non pode facer, cando debe solicitar aprobación, cando debe escalar e quen pode suspender a súa operación.
Outro punto clave é conectar a gobernanza documental coa realidade operativa. As políticas e aprobacións deben estar vinculadas a sinais técnicas, evidencias, configuracións, permisos, eventos e controis en funcionamento. De non ser así, o marco de goberno pode describir unha situación que xa non coincide coa realidade.
Os controis en tempo de execución serán cada vez máis relevantes. En casos de baixo impacto pode abondar co rexistro e a monitorización. En accións críticas pode ser necesario un bloqueo preventivo, revisión humana, dobre validación, limiares de autorización ou limitación automática de permisos.
A trazabilidade específica para decisións de IA tamén debe prepararse desde o deseño. Será necesaria para o cumprimento normativo, a auditoría, a defensa xurídica, a xestión de incidentes e a rendición de contas.
O papel dos provedores e terceiros merece unha revisión específica. Moitas capacidades de IA intégranse a través de servizos externos, API, plataformas cloud, asistentes corporativos ou funcionalidades integradas en ferramentas xa existentes. Isto esixe avaliar dependencias, responsabilidades contractuais, localización e tratamento dos datos, controis de seguridade, transparencia do provedor e capacidade de auditoría.
A formación dos equipos é outro elemento imprescindible. A gobernanza da IA non é só unha cuestión tecnolóxica ou xurídica. Afecta ao negocio, á seguridade, ao cumprimento, ás compras, aos recursos humanos, ás operacións, á dirección e ás persoas usuarias finais. As persoas que deseñan, aproban, utilizan ou supervisan estes sistemas deben entender que poden delegar, que non deberían delegar e como actuar ante resultados incertos ou inesperados.
Tamén convén avaliar os casos de uso antes de conectalos a datos reais ou sistemas de produción. Unha proba interna de baixo impacto pode cambiar de natureza se o sistema obtén acceso a expedientes, información persoal, ferramentas de administración, repositorios corporativos ou fluxos de aprobación.
En entidades locais, administracións públicas, industria, provedores tecnolóxicos e pemes, estas implicacións serán cada vez máis relevantes a medida que a IA se incorpore a servizos dixitais, atención ás persoas usuarias, automatización documental, soporte técnico, xestión de expedientes, operacións internas e toma de decisións asistida.
Un reto clave para a próxima década
A intelixencia artificial introduce unha nova tensión entre velocidade, autonomía e responsabilidade. As decisións automatizadas poden producirse en segundos, mentres que a gobernanza tradicional adoita operar en ciclos de semanas ou meses. Esa diferenza obriga a crear mecanismos capaces de manter aliñados o estado declarado, o estado observado e o estado executado.
A próxima etapa da gobernanza da IA non consistirá unicamente en aprobar sistemas. Tamén será necesario controlar comportamentos, decisións e accións durante o seu funcionamento real. Será necesario contar cunha arquitectura continua que conecte obxectivos, riscos, controis, obrigas, evidencias, autoridade e capacidade de intervención.
A conclusión principal é clara. A IA pode aumentar a eficiencia, mellorar a capacidade de análise e ampliar a autonomía operativa, pero esa autonomía debe estar gobernada. A capacidade técnica non equivale a permiso. A intelixencia non substitúe a responsabilidade. Unha decisión automatizada só será defendible se a entidade pode explicar por que se permitiu, baixo que condicións e con que controis.
A medida que a IA pase de xerar respostas a executar accións, a GRC de IA perfílase como un dos principais retos de goberno corporativo, seguridade, cumprimento e xestión do risco. Para o ecosistema galego, abordalo de forma temperá contribuirá a reforzar a madurez dixital, a confianza nos servizos dixitais e a resiliencia das administracións, empresas e sectores esenciais.
