Quienes hemos trabajado durante años en tecnología y ciberseguridad dentro del sistema financiero, sabemos que incorporar una nueva tecnología nunca consiste simplemente en instalarla. Siempre aparecen preguntas más complejas: ¿qué información utilizará?, ¿quién tendrá acceso?, ¿qué ocurre si falla? y, finalmente, ¿quién responde cuando algo sale mal?
Con la inteligencia artificial ocurre algo parecido, pero a una velocidad, escala y nivel de autonomía diferentes. Hoy la IA analiza información, asiste a clientes, apoya decisiones y comienza a interactuar con aplicaciones y ejecutar acciones.
Por eso necesitamos hacernos una pregunta fundamental: ¿Qué decisiones estamos dispuestos a delegar en la IA y bajo qué condiciones?
Desde la adopción al gobierno de la IA
La IA ya no solo genera textos o responde preguntas: comienza a integrarse con procesos, consultar información corporativa, recomendar decisiones y, en algunos casos, ejecutar acciones. Cuando pasa de informar a recomendar, y luego a actuar, cambia también la naturaleza del riesgo.
Gobernar la IA no significa frenar proyectos ni llenar la organización de nuevas aprobaciones. Significa algo mucho más práctico: saber qué sistemas de IA tenemos, para qué los utilizamos, con qué datos operan, qué pueden hacer, cuáles son sus límites y quién responde por ellos.
La responsabilidad no puede automatizarse
La IA no invalida los principios fundamentales de seguridad que hemos aplicado durante décadas. Sus sistemas, modelos y datos deben preservar confidencialidad, integridad y disponibilidad, además de asegurar autenticidad y trazabilidad. A estos principios se agregan nuevas dimensiones: procedencia de los datos, sesgos, respuestas no fundamentadas, manipulación de instrucciones, dependencia de terceros y explicabilidad según el impacto de cada uso.
Pero hay una pregunta aún más importante: ¿qué ocurre si un sistema técnicamente correcto produce una recomendación o acción que la organización no está dispuesta a defender? Si afecta a una persona, debemos poder comprenderla en un nivel adecuado a su impacto y asumir la responsabilidad.
Podemos permitir que la tecnología participe de una decisión de negocio. La responsabilidad por esa decisión no puede automatizarse ni delegarse en la tecnología.
Gobernar también significa observar
Desde mi experiencia en ciberseguridad, hay otra dimensión indispensable: no podemos gobernar aquello que no podemos observar.
En IA no basta con mirar el resultado final. Necesitamos señales y trazabilidad suficientes para comprender qué ocurrió durante su operación y contar con evidencia para reconstruirlo.
¿Qué modelo o agente actuó? ¿Con qué información y permisos? ¿A qué sistemas accedió? ¿Qué recomendó o ejecutó y cuál fue el resultado?
Durante años hemos desarrollado capacidades para entender qué ocurre en redes, aplicaciones, identidades y transacciones. Con sistemas más autónomos necesitaremos extender esa lógica: un agente puede encadenar acciones e interactuar con múltiples sistemas en segundos. Descubrir posteriormente que “la IA hizo algo” será insuficiente.
Gobernar la IA exige distinguir entre lo que le permitimos hacer a una plataforma y lo que efectivamente hizo. Esa diferencia puede revelar comportamientos inesperados, fallas de control, configuraciones incorrectas y, eventualmente, incidentes de seguridad.
La regulación ya está cambiando
La propia CMF ha advertido que la inteligencia artificial puede reconfigurar riesgos existentes, entre ellos la ciberseguridad, y que sus efectos sobre el mercado financiero deberán ser monitoreados.
Más que esperar una regulación específica que nos indique qué hacer, las instituciones financieras deberían comenzar a incorporar la IA dentro de sus marcos de gobierno y gestión de riesgos. La regulación podrá establecer los mínimos. La responsabilidad de gobernar la IA comienza antes.
No todas las IA necesitan el mismo control
Gobernar tampoco significa aplicar el máximo nivel de control a todo. No tiene el mismo riesgo resumir un documento público que analizar antecedentes financieros de una persona, ni generar código que revisará un especialista que permitir a un agente ejecutar autónomamente una operación.
La madurez estará en clasificar los usos según su impacto, aplicar controles proporcionales y definir dónde la supervisión humana es necesaria.
La pregunta ya no es simplemente “¿utilizamos inteligencia artificial?”, sino “¿para qué la utilizamos y cuánto riesgo estamos dispuestos a aceptar?”
De la confianza digital a la confianza algorítmica
El sistema financiero funciona sobre un activo difícil de construir y fácil de perder: la confianza. La IA agrega una nueva dimensión: los sistemas que incorporemos deberán ser gobernables, trazables y supervisables.
Después de años trabajando en tecnología y ciberseguridad he aprendido que las innovaciones importantes rara vez fracasan solo por la tecnología. También fallan cuando no definimos a tiempo responsabilidades, límites y criterios de uso.
Con la IA todavía estamos a tiempo. No necesitamos elegir entre innovar y controlar, sino aprender a innovar responsablemente.
La ventaja competitiva no estará solo en quién adopte más rápido la IA, sino en quién logre utilizarla a escala sin perder el control, la responsabilidad y, sobre todo, la confianza de las personas.
